Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Auftraggeber. Die folgenden Angaben werden automatisch aus den bei der Registrierung angegebenen Kontodaten des Kunden übernommen und identifizieren den Auftraggeber; eine gesonderte Eingabe ist nicht erforderlich:

• Firmenname des Auftraggebers (Registrierungsfeld „Firma")
• Anschrift (Registrierungsfelder „Straße und Hausnummer", „PLZ", „Ort", „Land" - per Adress-Autovervollständigung)
• Vertretungsberechtigte Person(en) (Registrierungsfeld „Account-Inhaber": Vor- und Nachname)
• Datenschutz-Kontakt (Registrierungsfeld „Geschäfts-E-Mail")

Präambel

Dieser Vertrag über Auftragsverarbeitung („AVV") konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Rahmen des zwischen ihnen bestehenden SaaS-Nutzungsvertrags („Hauptvertrag") beauftragten Verarbeitung personenbezogener Daten ergeben. Er gilt für alle Tätigkeiten, bei denen Beschäftigte des Auftragnehmers oder von ihm beauftragte Dritte personenbezogene Daten des Auftraggebers verarbeiten (Art. 28 DSGVO).

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in Fragen des Datenschutzes vor. Verbindliche Fassung ist die deutsche Sprachfassung.

Gegenstand und Dauer des Auftrags

(1) Gegenstand der Verarbeitung ist die Bereitstellung des SaaS „Batteriepasswerk" zur Erstellung, Verwaltung und Veröffentlichung digitaler Batteriepässe nach Verordnung (EU) 2023/1542, einschließlich damit verbundener Funktionen (Konten- und Team-Verwaltung, Lieferantenportal, Zertifikatsverwaltung, Support-Ticketsystem, Zahlungsabwicklung).

(2) Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags. Kündigungen richten sich nach dem Hauptvertrag; eine gesonderte Kündigung dieses AVV ist nicht möglich, solange der Hauptvertrag besteht.

Art und Zweck der Verarbeitung

(1) Die Verarbeitung dient dem Zweck, dem Auftraggeber die vertragsgegenständliche Nutzung des SaaS zu ermöglichen. Sie umfasst insbesondere: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Verbreiten, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich zur Erfüllung des Hauptvertrags und dieses AVV sowie nach den dokumentierten Weisungen des Auftraggebers und nicht für eigene Zwecke.

(2) Ort der Verarbeitung ist die Europäische Union sowie in Bezug auf einzelne Unterauftragsverarbeiter Drittländer im Sinne des Art. 44 DSGVO; siehe Anlage 1 und § 9.

Art der personenbezogenen Daten

Verarbeitet werden folgende Kategorien personenbezogener Daten:

• Stammdaten der Team-Mitglieder des Auftraggebers (Vor-/Nachname, E-Mail-Adresse, ggf. Telefonnummer, Rolle);
• Authentifizierungsdaten (verschlüsselte Passwort-Hashes, Session-Token, Magic-Link-Token);
• Firmendaten des Auftraggebers (Firmierung, Anschrift, USt-IdNr., Ansprechpartner);
• Kontaktdaten externer Lieferanten des Auftraggebers, sofern der Auftraggeber diese über das Lieferantenportal einlädt (Name, E-Mail);
• Inhalte von Support-Tickets, inklusive der vom Auftraggeber übermittelten Anfragen und Anlagen;
• Nutzungsprotokolle (Login-Zeitpunkte, Audit-Log-Einträge zu sicherheitsrelevanten Vorgängen);
• Zahlungs-Metadaten (Kunden-ID des Zahlungsdienstleisters, Abo-Status, Rechnungs-IDs). Kartendaten selbst werden nicht vom Auftragnehmer verarbeitet, sondern ausschließlich vom Zahlungsdienstleister, der insoweit als eigenständig Verantwortlicher handelt; hinsichtlich der Zahlungs-Metadaten wird er als Unterauftragsverarbeiter tätig (Anlage 1).

Der Auftragnehmer verarbeitet keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO.

Kategorien betroffener Personen

• Beschäftigte und sonstige Mitarbeitende des Auftraggebers, die das SaaS nutzen;
• Ansprechpartner beim Auftraggeber (Inhaber, Buchhaltung, Support);
• Externe Lieferanten des Auftraggebers, die über das Lieferantenportal Daten oder Zertifikate übermitteln.

Rechte und Pflichten des Auftraggebers

(1) Für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen (Art. 12–23 DSGVO) ist allein der Auftraggeber verantwortlich.

(2) Der Auftraggeber erteilt sämtliche Weisungen an den Auftragnehmer schriftlich oder in nachweisbarer Textform (E-Mail an compliance@batteriepasswerk.com). Mündliche Weisungen werden vom Auftragnehmer unverzüglich schriftlich bestätigt. Weisungsberechtigt sind die in Anlage 3 benannten Personen; Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.

(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Auftraggeber unverzüglich darauf hinzuweisen. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

Meldepflichten des Auftragnehmers

(1) Der Auftragnehmer meldet dem Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung:

• jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO;
• jede Beschlagnahme, Sicherstellung oder erhebliche Störung, die die Sicherheit oder Verfügbarkeit der verarbeiteten Daten betrifft;
• jede Anfrage einer Aufsichtsbehörde, die den Auftraggeber betrifft (soweit gesetzlich zulässig).

(2) Die Meldung erfolgt an die vom Auftraggeber hinterlegten Kontaktdaten (in-app: Einstellungen → Firma; hilfsweise per E-Mail an den vom Auftraggeber angegebenen Datenschutz-Kontakt). Sie enthält mindestens die Angaben nach Art. 33 Abs. 3 DSGVO, soweit dem Auftragnehmer bekannt.

(3) Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung seiner Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzungen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach Art. 15–22 DSGVO. Insbesondere stellt er im SaaS bereit:

• einen vollständigen, vom Inhaber auslösbaren Datenexport aller Firmendaten als strukturierte Datei (Art. 15, 20 DSGVO); Zugangsgeheimnisse werden dabei ausgefiltert;
• Berichtigungs- und Löschfunktionen in der Anwendung (Art. 16, 17 DSGVO);
• die Löschung der personenbezogenen Daten eines einzelnen Nutzers durch den Auftraggeber über die Team-Verwaltung (Inhaber bzw. Administrator; kein Self-Service); dabei werden Zugang und Profil endgültig gelöscht und der eingefrorene Klartext-Name im manipulationssicheren Audit-Log durch einen neutralen Platzhalter ersetzt (Anonymisierung), sodass der Audit-Trail lückenlos, aber ohne Personenbezug erhalten bleibt.

Anfragen betroffener Personen, die direkt an den Auftragnehmer gerichtet werden, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht eigenständig, es sei denn, der Auftraggeber weist ausdrücklich anderes an.

Über die Betroffenenrechte hinaus unterstützt der Auftragnehmer den Auftraggeber auf Anfrage angemessen bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO), jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer ist berechtigt, sie fortlaufend an den Stand der Technik anzupassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

Unterauftragsverhältnisse

(1) Der Auftraggeber erteilt hiermit seine allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 1 aufgeführten Unterauftragsverarbeiter für die dort angegebenen Zwecke.

(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen der Liste (Aufnahme oder Ersetzung von Unterauftragsverarbeitern) mindestens 14 Kalendertage vor deren Wirksamwerden. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem, datenschutzrechtlichem Grund widersprechen. Im Widerspruchsfall sind die Parteien bemüht, eine einvernehmliche Lösung zu finden; ist dies nicht möglich, steht dem Auftraggeber ein Sonderkündigungsrecht des Hauptvertrags zu.

(3) Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter vertraglich auf die datenschutzrechtlichen Pflichten aus diesem AVV oder auf im Kern gleichwertige Regelungen. Bei Übermittlung in Drittländer schließt er Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO ab und trifft, soweit erforderlich, ergänzende Maßnahmen.

Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, sich vor Beginn der Verarbeitung sowie regelmäßig während der Vertragslaufzeit von der Einhaltung dieses AVV zu überzeugen.

(2) Der Auftragnehmer weist die Einhaltung in erster Linie durch geeignete Nachweise nach (u.a. Zertifikate der Unterauftragsverarbeiter, dokumentierte TOMs, Auditberichte Dritter, dieser AVV). Weitergehende Prüfungen vor Ort sind mit angemessener Vorankündigung (mindestens 14 Tage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und höchstens einmal pro Kalenderjahr durchzuführen. Der berechtigte Aufwand des Auftragnehmers ist zu erstatten, sofern die Prüfung nicht durch einen konkreten datenschutzrechtlichen Anlass veranlasst ist.

Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen vor Aufnahme ihrer Tätigkeit schriftlich zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b, Art. 29 DSGVO, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung des Beschäftigungsverhältnisses fort.

Löschung und Rückgabe der Daten

(1) Nach Beendigung der Erbringung der Verarbeitungsleistungen hat der Auftragnehmer alle personenbezogenen Daten nach Wahl des Auftraggebers zurückzugeben oder zu löschen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO), soweit nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur weiteren Speicherung besteht (z.B. handels-/steuerrechtliche Aufbewahrungsfristen; Aufbewahrungsvorgaben für Batteriepässe nach VO (EU) 2023/1542).

(2) Das SaaS unterscheidet hierfür drei getrennte Vorgänge. Eine Kündigung des Hauptvertrags löst für sich genommen keine Löschung aus; personenbezogene Daten werden ausschließlich nach den nachstehenden Regelungen gelöscht:

• a) Datenexport: Dem Auftraggeber steht jederzeit ein vollständiger Export sämtlicher Daten seiner Firma als strukturierte Datei zur Verfügung (Art. 15, 20 DSGVO); Zugangsgeheimnisse (Secrets, Token-Hashes, Passwörter) werden dabei ausgefiltert.
• b) Kündigung: Die Kündigung ist ein reiner Abrechnungsvorgang und löscht keine Daten. Das Konto wird nach Ablauf der bezahlten Periode auf den kostenlosen Tarif zurückgesetzt; die Firmen- und Passdaten bleiben lesbar und exportierbar.
• c) Aufbewahrung: Für die nach VO (EU) 2023/1542 aufbewahrungspflichtigen Batteriepässe stehen ein Archiv-Zugang (laufendes Abo) und ein Lifetime-Archiv (einmalige Zahlung) zur Verfügung. In beiden Zuständen sind die Pass- und Produktdaten technisch gegen Änderungen gesperrt, bleiben jedoch öffentlich über QR auflösbar (Art. 77).
• d) Löschung einzelner Betroffener: Die Löschung der personenbezogenen Daten eines einzelnen Nutzers erfolgt durch den Auftraggeber über die Team-Verwaltung (Entfernen des Mitarbeiter-Kontos). Dabei werden Zugang und Profil gelöscht sowie der Klartext-Name im manipulationssicheren Audit-Log anonymisiert; die Produktdaten der Firma bleiben unberührt.
• e) Endgültige Löschung der gesamten Firma: Diese erfolgt ausschließlich auf ausdrückliche, protokollierte Weisung des Auftraggebers (Inhaber) und nur aus dem kostenlosen Tarif heraus. Der Inhaber bestätigt die Weisung bewusst (Eingabe des Firmennamens und Bestätigung der Aufbewahrungsverantwortung als Wirtschaftsakteur); der Vorgang wird als Nachweis des Haftungsübergangs in einem tenant-unabhängigen Lösch-Register (deletion_log) festgehalten. Nach einer Bedenkzeit von 30 Kalendertagen (Soft-Delete, in der eine Wiederherstellung durch den Support möglich ist) löscht ein automatischer Hintergrundprozess die Daten unwiderruflich: zunächst die Dateien im Objekt-Speicher, sodann die Auth-Konten der Mitglieder sowie die Firma samt aller Fachtabellen (einschließlich Modelle, Pässe und Lebenszyklus-Ereignisse); anschließend wird der Zeitpunkt der Löschung im Lösch-Register vermerkt.

Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags. Die Haftung nach Art. 82 DSGVO bleibt unberührt.

Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt. Die Parteien werden eine unwirksame Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung möglichst nahekommt.

(2) Änderungen und Ergänzungen dieses AVV bedürfen der Textform (E-Mail genügt).

(3) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Hamburg, soweit der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Anlage 1 - Unterauftragsverarbeiter

Der Auftragnehmer setzt zur Erbringung der Leistungen die folgenden Unterauftragsverarbeiter ein. Änderungen der Liste werden mit einer Ankündigungsfrist von 14 Kalendertagen angezeigt (§ 9).

Anlage 2 - Technische und organisatorische Maßnahmen

Übersicht der Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

Anlage 3 - Weisungsberechtigte Personen

Weisungen im Sinne des § 5 dieses AVV werden ausschließlich durch die nachfolgend benannten Personen erteilt (Auftraggeber) bzw. entgegengenommen (Auftragnehmer). Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.

Auftraggeber. Die weisungsberechtigte Person des Auftraggebers wird automatisch aus den Registrierungsdaten übernommen (Account-Inhaber: Name und Geschäfts-E-Mail); weitere Personen kann der Auftraggeber in Textform benennen.

Auftragnehmer.
Majid Goschka, Gesellschafter - compliance@batteriepasswerk.com
Grigor Muradyan, Gesellschafter - compliance@batteriepasswerk.com

Abschluss. Dieser AVV wird mit Annahme der AGB bei der Registrierung in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragnehmer handelt durch beide Gesellschafter gemeinschaftlich; die Zustimmung des Auftraggebers erfolgt durch den Account-Inhaber.