Entwurf: Dieser Text wurde noch nicht rechtlich geprüft.

Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag gehört zum Vertrag über heizcheck. Der Kunde ist Verantwortlicher. Angelista Enterprise B.V. ist Auftragsverarbeiter.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur, um heizcheck zu erbringen, solange der Vertrag läuft.

2. Art, Zweck und Daten

Prüfplan für Heizungsanlagen nach §60a und §60b GModG (ehem. GEG): Fristen berechnen und Prüfberichte von Fachbetrieben einsammeln.

• E-Mail-Adresse der Hausverwaltung (Anmeldung)
• Gebäudeadressen und Anzahl der Einheiten
• Anlagenart, Baujahr und Datum der letzten Prüfung
• Name des Fachbetriebs, Prüfdatum und Prüfbericht (PDF)
• E-Mail-Adressen von Fachbetrieben, an die ein Upload-Link gesendet wird

Betroffene: Beschäftigte, Kunden, Mieter oder Geschäftspartner des Kunden, soweit sie in seinen Dateien stehen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die bestimmungsgemäße Nutzung des Dienstes gilt als Weisung.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Der Auftragsverarbeiter trifft geeignete Maßnahmen (Art. 32 DSGVO): verschlüsselte Verbindungen (HTTPS), Zugang nur mit Anmeldung, Server im EWR, beschränkter Administratorzugang und Backups.

6. Unterauftragsverarbeiter

Der Kunde genehmigt allgemein diese Unterauftragsverarbeiter:

• OVHcloud SAS, Roubaix, Frankreich (Hosting von Server und Datenbank)
• Heinlein Hosting GmbH (mailbox.org), Berlin, Deutschland (Versand und Empfang von E-Mails)

Einen neuen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter 30 Tage vorher an. Der Kunde kann widersprechen und dann kündigen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener und bei den Pflichten aus Art. 32 bis 36 DSGVO.

8. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung unverzüglich, spätestens 48 Stunden nach Kenntnis, an den Kunden (Art. 33 DSGVO).

9. Ende

Nach Vertragsende kann der Kunde die Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter sie, auch aus Backups innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht.

10. Kontrollen

Der Auftragsverarbeiter stellt alle nötigen Informationen zum Nachweis bereit und ermöglicht angemessene Überprüfungen.

11. Übermittlung

Es werden keine Daten in Länder außerhalb des EWR übermittelt.