Vertrag zur Auftragsverarbeitung für Energieberater

Stand: 23.09.2026

Online abrufbar unter: <https://thermo.app/avv-energieberater>

1. Vertragsparteien und Rollen

(1) Dieser Vertrag zur Auftragsverarbeitung ("AVV") wird zwischen dem jeweiligen Energieberater beziehungsweise dem ihn tragenden Unternehmen als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO und der

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de

als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO geschlossen.

(2) Soweit ein Nutzerkonto von einer natürlichen Person für ein Energieberaterbüro, eine Gesellschaft oder einen sonstigen Organisationsträger genutzt wird, ist diese Organisation Verantwortlicher.

(3) Dieser AVV ergänzt die für Energieberater geltenden AGB und Nutzungsbedingungen der Thermoapp. Für die eigentliche Auftragsverarbeitung gehen seine Regelungen vor.

(4) Der beauftragende Betrieb wird nachfolgend auch als Auftraggeber bezeichnet. Soweit er selbst als Auftragsverarbeiter handelt, gilt die Rollenabgrenzung in Ziffer 2 Absatz 5.

2. Gegenstand und Abgrenzung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Core-N im Auftrag des Energieberaters im Rahmen der Bereitstellung und des Betriebs der Thermoapp.

(2) Dieser AVV erfasst nur die Verarbeitung, bei der Core-N als Auftragsverarbeiter für den Energieberater tätig wird.

(3) Core-N verarbeitet Daten für die eigene Vertragsverwaltung, Abrechnung und gesetzliche Pflichten in eigener Verantwortung, soweit Core-N dafür die Zwecke und wesentlichen Mittel bestimmt. Die betreffenden Zwecke werden in den Datenschutzhinweisen erläutert.

(4) Sicherheitsmaßnahmen, Protokollierung, Fehlerbehebung und Wiederherstellung bleiben Bestandteil dieses Auftrags, soweit sie der beauftragten Verarbeitung dienen. Sie werden nicht allein wegen ihres technischen Charakters einer eigenen Verantwortlichkeit von Core-N zugeordnet.

(5) Handelt der beauftragende Betrieb für bestimmte Daten selbst als Auftragsverarbeiter, wird Core-N insoweit als weiterer Auftragsverarbeiter tätig. Der Betrieb stellt die erforderliche Genehmigung des Verantwortlichen sicher und gibt dessen Weisungen und Schutzpflichten weiter.

3. Dauer

(1) Dieser AVV gilt ab dem Zeitpunkt seines wirksamen Abschlusses in Textform oder durch eine sonst rechtlich wirksame Einbeziehung in das Hauptvertragsverhältnis.

(2) Er gilt für die Dauer der beauftragten Verarbeitung. Die Pflichten gelten nach Beendigung des Hauptvertrags fort, solange Core-N noch personenbezogene Daten aus diesem Auftrag verarbeitet oder zurückzugeben beziehungsweise zu löschen hat.

4. Art und Zweck der Verarbeitung

Core-N verarbeitet personenbezogene Daten für den Energieberater insbesondere zu folgenden Zwecken:

Bereitstellung, Hosting und technischer Betrieb der Thermoapp,
Speicherung und Verwaltung projektbezogener Kunden-, Objekt- und Dokumentationsdaten,
Bereitstellung von Rollen, Zugriffsrechten und projektbezogenen Freigaben,
technischer Zugriff auf projektbezogene Dateien, Signaturen, Notizen, Status- und Termininformationen,
Bereitstellung des Kundenportals für projektbezogene Kommunikation und Dokumentenbereitstellung,
transaktionale Benachrichtigungen und Versand projektbezogener E-Mails im Rahmen der Plattformnutzung,
Sicherstellung von Verfügbarkeit, Wiederherstellung und sicherem Plattformbetrieb, soweit dies der beauftragten Verarbeitung dient.

5. Kategorien personenbezogener Daten und betroffener Personen

(1) Verarbeitet werden können insbesondere:

Stamm- und Kontaktdaten von Endkunden und Ansprechpartnern,
Objekt-, Gebäude-, Projekt- und Förderdaten,
Dokumente, Bilder, Nachweise, Signaturen und Zeitstempel,
Kontaktdaten und rollenbezogene Daten von Mitarbeitenden des Energieberaters,
Kommunikations-, Termin-, Status- und Freigabedaten,
technische Nutzungs-, Zugriffs- und Sicherheitsdaten.

(2) Betroffene Personen sind insbesondere:

Endkunden,
Mitarbeitende und Nutzer des Energieberaters,
Ansprechpartner des beteiligten Handwerksbetriebs,
sonstige Personen, deren Daten in die Projektbearbeitung einbezogen werden.

6. Weisungsrecht des Verantwortlichen

(1) Core-N verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Energieberaters, soweit nicht eine unions- oder mitgliedstaatliche Rechtsvorschrift eine abweichende Verarbeitung verlangt.

(2) Weisungen werden insbesondere durch die Plattformnutzung, die vom Energieberater veranlassten Projektbearbeitungsschritte, Freigaben, Dateiverwaltung und sonstige Anweisungen in Textform erteilt.

(3) Erkennt Core-N, dass eine Weisung gegen Datenschutzrecht verstößt, wird Core-N den Energieberater unverzüglich darauf hinweisen. Bis zur Klärung darf Core-N die betreffende Verarbeitung aussetzen, soweit dies rechtlich geboten ist.

(4) Ist eine Verarbeitung aufgrund einer unionsrechtlichen oder mitgliedstaatlichen Vorschrift vorgeschrieben, informiert Core-N den Auftraggeber vorab über diese Pflicht, soweit das betreffende Recht eine solche Information nicht untersagt.

7. Pflichten von Core-N als Auftragsverarbeiter

Core-N verpflichtet sich insbesondere,

personenbezogene Daten nur entsprechend diesem AVV und dokumentierten Weisungen zu verarbeiten,
zugriffsberechtigte Personen zur Vertraulichkeit zu verpflichten,
geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO vorzuhalten,
den Energieberater bei Datenschutzvorfällen, Betroffenenrechten und Folgemaßnahmen angemessen zu unterstützen,
den Energieberater unverzüglich über bekannt gewordene Datenschutzverletzungen im Auftragsverhältnis zu informieren,
weitere Auftragsverarbeiter nur nach Maßgabe dieses AVV einzusetzen,
personenbezogene Daten nach Beendigung der Verarbeitung nach Maßgabe dieses AVV zu löschen oder zurückzugeben.

8. Pflichten des Energieberaters als Verantwortlicher

Der Energieberater bleibt für die Rechtmäßigkeit der Verarbeitung insgesamt verantwortlich und verpflichtet sich insbesondere,

personenbezogene Daten nur bei bestehender Rechtsgrundlage in die Thermoapp einzubringen oder dort verarbeiten zu lassen,
Informationspflichten gegenüber betroffenen Personen zu erfüllen,
die Rechtmäßigkeit seiner Weisungen sicherzustellen,
Zugriffsrechte, Freigaben und Projektzuordnungen sorgfältig zu verwalten,
eigene Endgeräte, E-Mail-Postfächer und Zugangsdaten zu schützen,
zu prüfen, welche Daten zu berichtigen, einzuschränken oder zu löschen sind.

9. Unterauftragsverhältnisse

(1) Der Energieberater erteilt Core-N eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.

(2) Core-N wird den Energieberater über jede beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter informieren und vor deren Einsatz eine angemessene Einspruchsfrist einräumen. Die Mitteilung benennt Anbieter, Aufgabe und Verarbeitungsorte. Bei einem begründeten datenschutzrechtlichen Einwand klären die Parteien eine geeignete Alternative oder die Beendigung der betroffenen Leistung.

(3) Core-N stellt sicher, dass weitere Auftragsverarbeiter mindestens gleichwertigen Datenschutzpflichten unterliegen.

(4) Aktuell oder je nach technischer Konfiguration können insbesondere folgende Kategorien weiterer Auftragsverarbeiter eingesetzt werden:

Anbieter für Hosting, Infrastruktur, Datenbanken, Speicher und Backups,
Anbieter für transaktionale E-Mail-Zustellung,
Anbieter für Monitoring, Wartung und betriebsnotwendige Sicherheitsdienste,
Dienste für optionale Fehleranalyse, Leistungsmessung und Nutzungsanalyse,
Dienste für Authentifizierung und Push-Zustellung, soweit sie Auftragsdaten verarbeiten.

Öffentliche Karten- und Adressdienste sind nach ihrer tatsächlichen Rolle gesondert zu beurteilen. Ihre Einbindung macht sie nicht automatisch zu Unterauftragsverarbeitern von Core-N.

10. Drittlandübermittlungen

(1) Übermittlungen in Drittländer dürfen nur erfolgen, soweit die gesetzlichen Voraussetzungen hierfür vorliegen.

(2) Soweit Unterauftragsverarbeiter oder sonstige technische Dienste in Drittländer eingebunden werden, stellt Core-N sicher, dass geeignete Garantien nach der DSGVO bestehen, etwa ein Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO.

11. Technische und organisatorische Maßnahmen

(1) Core-N hält angemessene technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung vor. Diese richten sich nach dem Risiko, dem Stand der Technik sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Zu den Maßnahmen gehören insbesondere:

Transportverschlüsselung bei der Datenübertragung,
rollen- und berechtigungsbasierte Zugriffskonzepte,
Authentifizierungs- und Sitzungsmanagement,
Authentifizierung über Firebase Authentication und Schutz der zugehörigen Zugänge,
Protokollierung sicherheitsrelevanter Vorgänge,
Verfahren für Backup, Wiederherstellung und Verfügbarkeit,
Verfahren für Updates, Wartung und Schwachstellenbehandlung,
logische Trennung von Rollen, Betrieben und Projektbereichen innerhalb der Plattform.

(3) Eine weitergehende Beschreibung der aktuell vorgesehenen TOM findet sich in Anlage 1 dieses AVV.

12. Unterstützung bei Betroffenenrechten und Pflichten nach Kapitel III und IV DSGVO

(1) Core-N unterstützt den Energieberater unter Berücksichtigung der Art der Verarbeitung und der Core-N zur Verfügung stehenden Informationen im angemessenen Umfang dabei,

Anfragen betroffener Personen zu beantworten,
Berichtigungen, Löschungen oder Einschränkungen umzusetzen,
die Pflichten nach Art. 32 bis 36 DSGVO einschließlich Datenschutz-Folgenabschätzungen und gegebenenfalls vorheriger Konsultationen der Aufsichtsbehörde zu erfüllen,
Vorfälle zu dokumentieren und aufsichtliche Anfragen zu unterstützen.

(2) Gehen Betroffenenanfragen unmittelbar bei Core-N ein, wird Core-N diese unverzüglich an den Energieberater weiterleiten, sofern die Anfrage dem Auftragsverhältnis zugeordnet werden kann.

13. Meldung von Datenschutzvorfällen

Core-N informiert den Energieberater unverzüglich, nachdem Core-N von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, soweit diese Verletzung Daten im Rahmen dieses Auftrags betrifft.

Soweit verfügbar, enthält die Meldung Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, getroffene Gegenmaßnahmen und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung ergänzt. Die erste Meldung wird nicht bis zum Abschluss aller Untersuchungen zurückgestellt.

14. Nachweise und Audits

(1) Core-N stellt alle Informationen bereit, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind. Core-N ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und wirkt daran mit.

(2) Geeignete Unterlagen und Auskünfte können zur Vorbereitung und Durchführung einer Prüfung verwendet werden. Sie ersetzen erforderliche Inspektionen nicht. Umfang, Termin und Vertraulichkeit werden unter Berücksichtigung des Prüfzwecks und des Schutzes anderer Auftraggeber abgestimmt.

(3) Bei dringendem Anlass oder behördlichen Anforderungen darf eine Vorankündigungsfrist die erforderliche Prüfung nicht verhindern. Rechte zuständiger Aufsichtsbehörden bleiben unberührt.

15. Löschung und Rückgabe

(1) Nach Abschluss der beauftragten Verarbeitung löscht Core-N die personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück und löscht vorhandene Kopien. Ausgenommen sind Daten, deren Speicherung unionsrechtlich oder nach mitgliedstaatlichem Recht vorgeschrieben ist.

(2) Rückgabe- und Löschanweisungen können an info@core-n.de gerichtet werden. Die Parteien stimmen Umfang, ein geeignetes Übergabeformat und die Abwicklung ab. Core-N informiert über gesetzlich aufzubewahrende Daten, deren Rechtsgrundlage und Aufbewahrungsdauer.

(3) Eine Kontolöschung, die Entfernung einer Betriebsmitgliedschaft oder das Ende einer Freigabe ist nicht automatisch eine Anweisung zur Löschung der gesamten Projektakte. Bei einer ausdrücklich veranlassten Datenlöschung sind die betroffenen Daten und gegebenenfalls die Weisungsbefugnis zu klären.

(4) Verbleibende Sicherungskopien dürfen ausschließlich für zulässige Wiederherstellungszwecke vorgehalten werden und sind nach dem vereinbarten Löschkonzept zu entfernen. Bei Wiederherstellung sind bereits erteilte Löschanweisungen erneut zu berücksichtigen.

(5) Core-N bestätigt die Durchführung einer Lösch- oder Rückgabeanweisung auf Anfrage. Eine darüber hinausgehende Verarbeitung für eigene Zwecke bedarf einer gesonderten rechtlichen Prüfung und darf die Löschpflicht nach Art. 28 Abs. 3 lit. g DSGVO nicht umgehen.

16. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.

Anlage 1: Konkretisierung der technischen und organisatorischen Maßnahmen

Die konkreten Maßnahmen können im Rahmen technischer Weiterentwicklungen angepasst werden, sofern das vereinbarte Schutzniveau nicht abgesenkt wird.

1. Vertraulichkeit

Zugriff auf Produktivsysteme nur für autorisierte Personen nach Rollen- und Berechtigungskonzept
Authentifizierungsmechanismen für Nutzerkonten und administrative Zugänge
Authentifizierung über Firebase Authentication und Schutz der zugehörigen Zugänge
Verschlüsselung der Datenübertragung

2. Integrität

Protokollierung sicherheitsrelevanter Änderungen und Zugriffe
Schutz vor unbefugten Änderungen durch Rollen- und Freigabekonzepte
geregelte Prozesse für Updates, Wartung und Änderungen

3. Verfügbarkeit und Belastbarkeit

Backup- und Wiederherstellungsverfahren
betriebliche Maßnahmen gegen Ausfall und Missbrauch
laufende Pflege und Härtung sicherheitsrelevanter Komponenten

4. Verfahren zur regelmäßigen Überprüfung

interne Überprüfung von Berechtigungen und Betriebsprozessen
Behandlung von Sicherheitsmeldungen und Schwachstellen
Anpassung der Schutzmaßnahmen nach Risiko und technischer Entwicklung

Anlage 2: Eingesetzte Dienste und Verarbeitungsorte

| Dienst | Aufgabe und betroffene Daten |
| --- | --- |
| Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland | Infrastruktur an EU-Serverstandorten für App, Datenbank, E-Mail-Versand, Backups und Monitoring. Je nach Aufgabe Konto- und Projektdaten, Dokumente, Nachrichten, Sicherungskopien und technische Protokolle. |
| Firebase Authentication, nach Google-Cloud-Standardbedingungen für deutsche Rechnungsadresse Google Cloud EMEA Limited, Irland | Authentifizierung, Nutzerkennungen und Verifizierungsstatus. Laut Google ausschließlich in den USA verarbeitet. Aufnahme in dieses Unterauftragsverhältnis, soweit Auftragsdaten des Betriebs verarbeitet werden. |
| Firebase Cloud Messaging, nach Google-API-Standardbedingungen Google LLC, USA | Push-Zustellung mit Installations- und Zustellkennungen sowie allgemeinen Ereignishinweisen. Auf Apple-Geräten erfolgt die Zustellung über den Apple Push Notification Service. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für Google Analytics for Firebase | App-Nutzungsereignisse sowie Online-, Installations- und Gerätekennungen. Für dieses Analytics-Projekt ist Deutschland als Datenstandort eingestellt. Es gelten die deutschen Google Analytics Terms und die Google Ads Data Processing Terms. Die aktuelle Google-Analytics-Unterauftragsverarbeiterliste enthält die weiteren Anbieter. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für Firebase Crashlytics | Absturz- und Fehlerberichte, Stacktraces, Diagnoseprotokolle sowie technische Angaben zu App, Gerät und Installation. Die Crashlytics-Bedingungen nennen Google Ireland Limited für Entwickler mit Sitz in EMEA. Firebase führt Firebase, Inc. in den USA als Unterauftragsverarbeiter für Crashlytics-Infrastruktur, Support und IT-Facility-Management. Die Verarbeitung kann auf globaler Google-Infrastruktur stattfinden. |
| Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043, USA, für Firebase Performance Monitoring | Leistungsspuren und Messwerte zu App-Starts, Abläufen und Netzwerkverbindungen sowie technische Angaben zu App, Gerät, Betriebssystem und Installation. Die Google APIs Terms nennen Google LLC als Vertragspartner. Die Verarbeitung kann auf globaler Google-Infrastruktur stattfinden. |

Die für diese Services genutzte Contabo-Serverregion ist die EU. Für Google-Dienste gelten die nachfolgend genannten Datenschutzbedingungen und Transferregelungen.

Firebase Authentication unterliegt dem Cloud Data Processing Addendum. Für Crashlytics gelten die Crashlytics-Bedingungen. Sie nennen Google Ireland Limited als Vertragspartner für Entwickler mit Sitz in EMEA. Für Performance Monitoring gelten die Google APIs Terms, die Google LLC als Vertragspartner nennen. Für beide Dienste gelten außerdem die Firebase Data Processing and Security Terms. Google Analytics for Firebase unterliegt den deutschen Google Analytics Terms und den Google Ads Data Processing Terms. Für Analytics ist Deutschland als Datenstandort ausgewählt. Für Crashlytics und Performance Monitoring ist keine Datenverarbeitung ausschließlich in Deutschland zugesagt. Google kann diese Daten in Ländern verarbeiten, in denen Google oder seine Unterauftragsverarbeiter Einrichtungen betreiben. Für Übermittlungen an zertifizierte Google-Unternehmen in den USA gilt das EU-US Data Privacy Framework. Wo dieses nicht greift, gelten Standardvertragsklauseln.

Google veröffentlicht weitere aktuelle Namen, Standorte und Aufgaben in den Firebase und Google Cloud Unterauftragsverarbeiterlisten. Core-N informiert über beabsichtigte Änderungen nach Ziffer 9 Absatz 2.

Stripe für die eigene Softwareabrechnung von Core-N und unmittelbar aufgerufene öffentliche Kartendienste sind nach der jeweiligen tatsächlichen Rolle zu beurteilen. Sie gehören nicht allein wegen ihrer Einbindung in die App zum Unterauftragsverzeichnis dieses AVV.

Eine gesonderte Beauftragung von Thermopartner durch den Energieberater richtet sich nach dem Berechnungsauftrag und dem zugehörigen AVV. Sie wird nicht allein durch diesen Plattform-AVV genehmigt.