Auftrags­verarbeitung
nach Art. 28 DSGVO.

Vertrag über die Auftragsverarbeitung
zwischen dem Vertragspartner nach den AGB (nachfolgend „Auftraggeber“)
und der EENetzwerk UG (haftungsbeschränkt), Hohenzollernstr. 16, 70178 Stuttgart (nachfolgend „Auftragnehmer“)

Dieser Vertrag gilt mit Annahme der AGB, eine Unterschrift ist dafür nicht nötig. Auf Wunsch stellen wir Ihnen eine von uns unterzeichnete Fassung zur Verfügung. Schreiben Sie uns dazu an support@eenetzwerk.de.

Inhalt: Vertrag · Anlage 1: Technische und organisatorische Maßnahmen · Anlage 2: Unterauftragsverarbeiter

1. Gegenstand und Dauer

(1) Der Auftragnehmer stellt dem Auftraggeber die Software EENetzwerk als Software-as-a-Service bereit (Hauptvertrag nach den AGB). Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber, seine Mitarbeiter oder seine Kunden in die Software eingeben (nachfolgend „Auftragsdaten“).

(2) Dieser Vertrag ist Bestandteil der AGB und wird mit deren Annahme geschlossen. Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Auftragsdaten verarbeitet.

(3) Nicht Gegenstand dieses Vertrags ist die Weiterleitung von Daten an den Auftragnehmer im Rahmen des Angebots-Service nach § 5 Abs. 12 AGB. Dafür ist der Auftragnehmer selbst Verantwortlicher.

(4) Ebenfalls nicht Gegenstand dieses Vertrags sind Daten, die der Auftragnehmer als eigener Verantwortlicher zur Durchführung des Hauptvertrags verarbeitet, etwa Vertrags-, Abrechnungs- und Kommunikationsdaten des Auftraggebers. Dafür gilt die Datenschutzerklärung.

2. Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Speichern, Organisieren, Auslesen, Berechnen, Darstellen, Übermitteln (z. B. E-Mail-Versand an Kunden des Auftraggebers), Exportieren und Löschen.

(2) Zweck: Bereitstellung der Funktionen der Software, insbesondere Kunden- und Projektverwaltung, Gebäudedokumentation, Heizlast- und weitere energetische Berechnungen, Energieausweise, Angebote und Rechnungen, Aufgaben, Kundenportal und Datei-Uploads, KI-gestützte Funktionen sowie Support.

(3) Kategorien betroffener Personen:

• Kunden und Interessenten des Auftraggebers (Gebäudeeigentümer, Mieter, Bewohner)
• Ansprechpartner und Beteiligte von Projekten (z. B. Handwerksbetriebe, Hausverwaltungen)
• Mitarbeiter des Auftraggebers, die die Software nutzen

(4) Kategorien personenbezogener Daten:

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer)
• Gebäude- und Objektdaten mit Personenbezug (Adresse, Baudaten, Raumdaten, Heizungsanlage, Fotos, Pläne)
• Verbrauchsdaten (Energieverbräuche, Abrechnungen)
• Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Zahlungsinformationen, soweit erfasst)
• Kommunikations- und Aktivitätsdaten (Notizen, Anrufe, Nachrichten, Aufgaben)
• Hochgeladene Dokumente und Dateien
• Nutzungs- und Protokolldaten der Nutzer

(5) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber gibt solche Daten nicht ein.

(6) Die Software und die Auftragsdaten werden in Rechenzentren in Deutschland betrieben und gespeichert. Einzelne Unterauftragsverarbeiter verarbeiten Auftragsdaten auch in Drittländern. Welche das sind, steht in Anlage 2. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

3. Weisungen

(1) Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software und ihrer Einstellungen gilt als Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform an datenschutz@eenetzwerk.de.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(3) Ohne Weisung verarbeitet der Auftragnehmer Auftragsdaten nur, soweit Unionsrecht oder das Recht eines Mitgliedstaats ihn dazu verpflichtet. Er teilt dies vorher mit, sofern das Recht es nicht verbietet.

(4) Der Auftragnehmer nutzt Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen. Zulässig sind anonymisierte Auswertungen ohne Bezug zu einzelnen Personen, die der Verbesserung der Software dienen.

(5) Weisungen, die über den Funktionsumfang der Software hinausgehen oder sich mit vertretbarem Aufwand nicht umsetzen lassen, muss der Auftragnehmer nicht ausführen. Setzt er sie auf Wunsch des Auftraggebers dennoch um, gilt Ziffer 4 Abs. 5. Ist dem Auftraggeber die weitere Nutzung der Software ohne die Umsetzung nicht zumutbar, kann er den Hauptvertrag außerordentlich kündigen.

4. Pflichten des Auftragnehmers

(1) Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

(3) Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Verletzungen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde.

(4) Ansprechpartner für den Datenschutz ist Steffen Rommel, Geschäftsführer, erreichbar unter datenschutz@eenetzwerk.de. Einen Datenschutzbeauftragten hat der Auftragnehmer nicht benannt, da er dazu nach Art. 37 DSGVO und § 38 BDSG nicht verpflichtet ist.

(5) Unterstützung, die über die Funktionen der Software hinausgeht (Absatz 3, Ziffer 6 Abs. 1, Ziffer 8 Abs. 1), vergütet der Auftraggeber angemessen nach Aufwand. Das gilt nicht, wenn der Bedarf auf einem Verstoß des Auftragnehmers gegen diesen Vertrag oder gegen Datenschutzvorschriften beruht.

5. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die in Anlage 2 genannten Unterauftragsverarbeiter gelten mit Abschluss dieses Vertrags als genehmigt.

(2) Will der Auftragnehmer einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Auftraggeber unverzüglich per E-Mail, sobald er von der Änderung erfährt. Das gilt auch für Änderungen bei den Unterauftragsverarbeitern der Unterauftragsverarbeiter. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen; den Grund legt er im Widerspruch dar. Geht innerhalb der Frist kein Widerspruch ein, gilt die Änderung als genehmigt. Bei einem Widerspruch bemühen sich die Parteien um eine Lösung. Kommt keine Einigung zustande, kann er den Hauptvertrag außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Er haftet für dessen Einhaltung nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Auftragsdaten, etwa Telekommunikation, Post oder die Abrechnung des Hauptvertrags mit dem Auftraggeber.

6. Rechte betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO. Die Software ermöglicht es dem Auftraggeber, Auftragsdaten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

7. Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem er davon Kenntnis erlangt hat. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht er nach, sobald sie vorliegen.

8. Löschung und Rückgabe nach Vertragsende

(1) Der Auftraggeber kann seine Daten bis zum Vertragsende jederzeit über die Exportfunktion der Software herunterladen. Eine Herausgabe darüber hinaus, etwa in einem anderen Format oder mit Mitwirkung des Auftragnehmers, erfolgt auf Verlangen nach Ziffer 4 Abs. 5.

(2) Nach Vertragsende löscht der Auftragnehmer sämtliche Auftragsdaten auf Verlangen des Auftraggebers, spätestens jedoch zwölf Monate nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis dahin kann der Auftraggeber einen Export anfordern.

(3) Datensicherungen werden nicht einzeln bereinigt, sondern im Rahmen des regulären Sicherungszyklus überschrieben. Bis dahin bleiben sie gegen Zugriff geschützt und werden nicht wiederhergestellt.

(4) Der Auftragnehmer bestätigt die Löschung auf Anfrage in Textform.

9. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2) Als Nachweis genügen in der Regel schriftliche Auskünfte sowie die Nachweise der Unterauftragsverarbeiter, etwa Zertifikate nach ISO 27001 oder Berichte nach SOC 2.

(3) Bestehen im Einzelfall begründete Zweifel, dass diese Nachweise ausreichen, kann der Auftraggeber Kontrollen einschließlich Inspektionen selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragnehmers ist. Die Zweifel sind in Textform zu begründen. Kontrollen sind mindestens 14 Tage vorher anzumelden und finden während der Geschäftszeiten ohne Störung des Betriebs statt. Außer bei einem konkreten Anlass, etwa einer Datenschutzverletzung, ist eine Kontrolle pro Kalenderjahr zulässig.

(4) Der Auftraggeber trägt seine eigenen Kosten und vergütet den Aufwand des Auftragnehmers für Kontrollen nach Absatz 3 nach Ziffer 4 Abs. 5. Deckt die Kontrolle einen wesentlichen Verstoß des Auftragnehmers gegen diesen Vertrag auf, trägt der Auftragnehmer seinen Aufwand selbst.

10. Pflichten des Auftraggebers und Haftung

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich, insbesondere für die Rechtsgrundlage gegenüber seinen Kunden und den übrigen betroffenen Personen.

(2) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

(3) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der AGB.

(4) Der Auftraggeber stellt den Auftragnehmer von Ansprüchen Dritter einschließlich angemessener Kosten der Rechtsverteidigung frei, soweit diese darauf beruhen, dass der Auftraggeber Daten ohne Rechtsgrundlage verarbeiten lässt, entgegen Ziffer 2 Abs. 5 besondere Kategorien personenbezogener Daten eingibt oder rechtswidrige Weisungen erteilt.

11. Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht in Fragen des Datenschutzes dieser Vertrag vor.

(2) Änderungen bedürfen der Textform. Die Anlagen ändern sich nach Ziffer 4 Abs. 2 und Ziffer 5 Abs. 2.

(3) Ändern sich gesetzliche Vorgaben, die Rechtsprechung oder Vorgaben der Aufsichtsbehörden zur Auftragsverarbeitung, oder wird dieser Vertrag sonst angepasst, ohne den Schutz der Auftragsdaten zu verringern, kann der Auftragnehmer ihn ändern. Er teilt die Änderung mindestens sechs Wochen vor ihrem Inkrafttreten in Textform mit. Widerspricht der Auftraggeber nicht innerhalb dieser Frist, gilt die Änderung als angenommen; darauf weist der Auftragnehmer in der Mitteilung hin. Widerspricht er, kann jede Partei den Hauptvertrag zum Inkrafttreten der Änderung kündigen. Für Änderungen der Anlagen gelten Ziffer 4 Abs. 2 und Ziffer 5 Abs. 2.

(4) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.

Anlage 1: Technische und organisatorische Maßnahmen

Die Maßnahmen sind nach den Schutzzielen des Art. 32 Abs. 1 DSGVO gegliedert. Die Rechenzentren betreiben die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer betreibt keine eigenen Serverräume.

1. Vertraulichkeit

Zutrittskontrolle

• Server und Speicher stehen in Rechenzentren der Hetzner Online GmbH (Nürnberg) und von Amazon Web Services (Frankfurt am Main), beide zertifiziert nach ISO 27001. Den Zutritt regeln die Betreiber.
• Büroräume sind abschließbar. Im Homeoffice wird nur in abgetrennten Arbeitsräumen gearbeitet.

Zugangskontrolle

• Nutzer melden sich mit E-Mail-Adresse und Passwort an. Passwörter werden nur als bcrypt-Hash gespeichert und gegen bekannte Datenlecks geprüft.
• Anmeldeversuche sind begrenzt (Rate Limiting).
• Administratoren können sich zusätzlich mit Passkey anmelden.
• Kunden des Auftraggebers melden sich im Portal mit einem zeitlich befristeten Anmeldelink an.
• Zugriff auf die Server nur per SSH-Schlüssel ohne Passwort, beschränkt auf dafür bestimmtes IT-Personal.
• Arbeitsgeräte der Mitarbeiter sind nach Firmenrichtlinie mit Festplattenverschlüsselung und automatischer Bildschirmsperre ausgestattet.

Zugriffskontrolle

• Strikte Mandantentrennung: Jeder Datensatz gehört zu genau einem Beratungsunternehmen, Abfragen sind auf dieses beschränkt.
• Rollen und Rechte innerhalb seines Beratungsunternehmens legt der Auftraggeber fest.
• Interne Administrationsrechte sind nach Rollen abgestuft und auf das für die jeweilige Aufgabe Nötige beschränkt.
• Mitarbeiter des Auftragnehmers greifen auf Auftragsdaten nur zur Fehlerbehebung und im Support zu, soweit dies dafür erforderlich ist.

Trennungskontrolle

• Logische Trennung der Mandanten in einer gemeinsamen Datenbank.
• Getrennte Umgebungen für Entwicklung, Test und Produktion.

KI-gestützte Funktionen

• KI-Funktionen werden nur auf aktive Auswahl des Nutzers ausgelöst und arbeiten nur mit Daten seines Beratungsunternehmens.
• Vorschläge der KI werden dem Nutzer vor der Speicherung zur Prüfung angezeigt und erst nach seiner Bestätigung übernommen.
• Eingesetzt werden nur KI-Anbieter, bei denen das Training mit übermittelten Daten vertraglich ausgeschlossen ist.
• Anfragen laufen ausschließlich über das EU-Routing von OpenRouter. Steht kein europäischer Endpunkt zur Verfügung, wird die Anfrage abgelehnt statt außerhalb Europas verarbeitet. Die Protokollierung von Ein- und Ausgaben bei OpenRouter ist abgeschaltet.

2. Integrität

Weitergabekontrolle

• Alle Verbindungen sind per TLS verschlüsselt. HTTPS wird erzwungen (HSTS).
• Dateien liegen verschlüsselt im Objektspeicher (serverseitige Verschlüsselung).
• Downloadlinks für Exporte sind zeitlich befristet, die Exportdateien werden danach automatisch gelöscht.

Eingabekontrolle

• Aktivitäten in Projekten werden mit Nutzer und Zeitpunkt protokolliert.
• Fehler- und Performance-Überwachung zur Erkennung von Auffälligkeiten.

3. Verfügbarkeit und Belastbarkeit

• Datenbank und Anwendungsdaten werden mindestens täglich gesichert. Die Sicherungen liegen bei Amazon Web Services in Frankfurt am Main.
• Dateien im Objektspeicher werden vom Betreiber redundant in mehreren Rechenzentren der Region gespeichert.
• Deployments ohne Ausfallzeit, Überwachung der Erreichbarkeit und der Hintergrundprozesse mit Alarmierung.
• Regelmäßige Sicherheitsupdates von Betriebssystem, Laufzeitumgebung und Bibliotheken, automatische Prüfung auf bekannte Schwachstellen.
• Sicherungen werden regelmäßig testweise eingespielt.

4. Regelmäßige Überprüfung

• Jede Änderung an der Software durchläuft ein Code-Review, automatisierte Tests und eine statische Sicherheitsanalyse.
• Mitarbeiter sind schriftlich auf Vertraulichkeit und Datenschutz verpflichtet.
• Diese Maßnahmen und die Unterauftragsverarbeiter werden mindestens jährlich überprüft.
• Ein festgelegter Ablauf stellt sicher, dass Auftraggeber bei Datenschutzverletzungen binnen 48 Stunden informiert werden.

Anlage 2: Unterauftragsverarbeiter

Aufgeführt sind alle Dienste, die Auftragsdaten speichern oder zu Gesicht bekommen können, gruppiert nach Zweck. Interne Werkzeuge für Support und Kommunikation gehören dazu. Dienste ausschließlich für eigene Daten des Auftragnehmers, etwa Zahlungsabwicklung, Buchhaltung oder Newsletter, gehören nicht dazu.

Infrastruktur und Betrieb

Hier laufen die Software und werden alle Auftragsdaten gespeichert.

E-Mail-Versand

E-Mails, die Nutzer aus der Software an ihre Kunden schicken, sowie Benachrichtigungen der Software.

Fehler- und Performance-Überwachung

Diese Dienste erfassen technische Daten zum Betrieb. Personenbezogene Daten fallen nur im Einzelfall an, etwa in Fehlerberichten, und werden so weit wie möglich herausgefiltert.

KI-gestützte Funktionen

Nur wenn Nutzer eine KI-Funktion auslösen. Übermittelt werden die für die jeweilige Anfrage nötigen Inhalte.

Bildauslieferung

Fotos, Pläne und Vorschaubilder hochgeladener Dateien werden über einen Bilddienst verkleinert und ausgeliefert. Die Originale bleiben im Speicher bei Amazon Web Services in Frankfurt.

Reichweitenmessung

Aufrufe von Seiten der Software und des Kundenportals werden ohne Cookies und ohne Speicherung von IP-Adressen gezählt.

Softwareentwicklung

Werkzeuge, mit denen der Auftragnehmer die Software entwickelt und Fehler analysiert. Auftragsdaten fallen hier nur im Einzelfall an, etwa wenn ein Fehler an konkreten Daten nachvollzogen werden muss oder eine Fehlermeldung einen Screenshot enthält. Anthropic darf die Daten nach seinen Geschäftsbedingungen nicht zum Training von KI-Modellen nutzen.

Kundenservice und Kommunikation

Anfragen an den Support und E-Mails von Nutzern können Projektdaten, Screenshots und Anhänge enthalten. Diese Daten fallen unstrukturiert an und werden nur zur Bearbeitung der Anfrage genutzt.

Übermittlungen in Drittländer stützen sich auf einen Angemessenheitsbeschluss der EU-Kommission, für die USA auf das EU-US Data Privacy Framework, oder auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Im Einzelnen: Postmark, Google und Slack auf das Data Privacy Framework und zusätzlich auf Standardvertragsklauseln; ImageKit auf das Data Privacy Framework und zusätzlich auf Standardvertragsklauseln; Hatchbox, Honeybadger, Anthropic, Linear und OpenRouter (nur Konto- und Abrechnungsdaten) auf Standardvertragsklauseln. Amazon Web Services verarbeitet die Daten nur in der Region Frankfurt; für den Fall einer Übermittlung gelten Standardvertragsklauseln.

Keine Unterauftragsverarbeiter sind öffentliche Stellen, an die Daten auf Veranlassung des Auftraggebers übermittelt werden, etwa das Deutsche Institut für Bautechnik (DIBt) bei der Registrierung von Energieausweisen die Gemeinsame Forschungsstelle der EU-Kommission (PVGIS) bei der Ertragsberechnung für Photovoltaikanlagen oder das Bundesamt für Kartographie und Geodäsie (basemap.de) beim Abruf von Kartenausschnitten. Übermittelt werden nur die dafür nötigen Angaben.

Über Änderungen dieser Liste informiert der Auftragnehmer nach Ziffer 5 Abs. 2 per E-Mail.

Fassung vom 1. November 2026