Vertrag zur Auftragsverarbeitung für Energieberater

Stand: 21.04.2026

Online abrufbar unter: <https://thermo.app/avv-energieberater>

1. Vertragsparteien und Rollen

(1) Dieser Vertrag zur Auftragsverarbeitung ("AVV") wird zwischen dem jeweiligen Energieberater beziehungsweise dem ihn tragenden Unternehmen als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO und der

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de

als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO geschlossen.

(2) Soweit ein Nutzerkonto von einer natürlichen Person für ein Energieberaterbüro, eine Gesellschaft oder einen sonstigen Organisationsträger genutzt wird, ist diese Organisation Verantwortlicher.

(3) Dieser AVV ergänzt die für Energieberater geltenden AGB und Nutzungsbedingungen der Thermoapp. Für die eigentliche Auftragsverarbeitung gehen seine Regelungen vor.

2. Gegenstand und Abgrenzung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Core-N im Auftrag des Energieberaters im Rahmen der Bereitstellung und des Betriebs der Thermoapp.

(2) Dieser AVV erfasst nur die Verarbeitung, bei der Core-N als Auftragsverarbeiter für den Energieberater tätig wird.

(3) Nicht Gegenstand dieses AVV sind Verarbeitungen, bei denen Core-N eigenständig Verantwortlicher bleibt, insbesondere für:

• die eigene Vertrags- und Kontoverwaltung gegenüber Core-N,
• IT-Sicherheit, Missbrauchserkennung und Plattformstabilität,
• gesetzliche Nachweis- und Aufbewahrungspflichten,
• Abwehr, Verfolgung oder Geltendmachung eigener Ansprüche,
• sonstige Verarbeitungen, bei denen Core-N die Zwecke und wesentlichen Mittel selbst bestimmt.

3. Dauer

(1) Dieser AVV gilt ab dem Zeitpunkt seines wirksamen Abschlusses in Textform oder durch eine sonst rechtlich wirksame Einbeziehung in das Hauptvertragsverhältnis.

(2) Er endet spätestens mit Wegfall des Hauptvertragsverhältnisses, soweit keine fortbestehenden datenschutzrechtlichen Pflichten bestehen.

4. Art und Zweck der Verarbeitung

Core-N verarbeitet personenbezogene Daten für den Energieberater insbesondere zu folgenden Zwecken:

• Bereitstellung, Hosting und technischer Betrieb der Thermoapp,
• Speicherung und Verwaltung projektbezogener Kunden-, Objekt- und Dokumentationsdaten,
• Bereitstellung von Rollen, Zugriffsrechten und projektbezogenen Freigaben,
• technischer Zugriff auf projektbezogene Dateien, Signaturen, Notizen, Status- und Termininformationen,
• Bereitstellung des Kundenportals für projektbezogene Kommunikation und Dokumentenbereitstellung,
• transaktionale Benachrichtigungen und Versand projektbezogener E-Mails im Rahmen der Plattformnutzung,
• Sicherstellung von Verfügbarkeit, Wiederherstellung und sicherem Plattformbetrieb, soweit dies der beauftragten Verarbeitung dient.

5. Kategorien personenbezogener Daten und betroffener Personen

(1) Verarbeitet werden können insbesondere:

• Stamm- und Kontaktdaten von Endkunden und Ansprechpartnern,
• Objekt-, Gebäude-, Projekt- und Förderdaten,
• Dokumente, Bilder, Nachweise, Signaturen und Zeitstempel,
• Kontaktdaten und rollenbezogene Daten von Mitarbeitenden des Energieberaters,
• Kommunikations-, Termin-, Status- und Freigabedaten,
• technische Nutzungs-, Zugriffs- und Sicherheitsdaten.

(2) Betroffene Personen sind insbesondere:

• Endkunden,
• Mitarbeitende und Nutzer des Energieberaters,
• Ansprechpartner des beteiligten Handwerksbetriebs,
• sonstige Personen, deren Daten in die Projektbearbeitung einbezogen werden.

6. Weisungsrecht des Verantwortlichen

(1) Core-N verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Energieberaters, soweit nicht eine unions- oder mitgliedstaatliche Rechtsvorschrift eine abweichende Verarbeitung verlangt.

(2) Weisungen werden insbesondere durch die Plattformnutzung, die vom Energieberater veranlassten Projektbearbeitungsschritte, Freigaben, Dateiverwaltung und sonstige Anweisungen in Textform erteilt.

(3) Erkennt Core-N, dass eine Weisung offensichtlich rechtswidrig sein könnte, wird Core-N den Energieberater unverzüglich darauf hinweisen. Bis zur Klärung darf Core-N die betreffende Verarbeitung aussetzen, soweit dies rechtlich geboten ist.

7. Pflichten von Core-N als Auftragsverarbeiter

Core-N verpflichtet sich insbesondere,

• personenbezogene Daten nur entsprechend diesem AVV und dokumentierten Weisungen zu verarbeiten,
• zugriffsberechtigte Personen zur Vertraulichkeit zu verpflichten,
• geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO vorzuhalten,
• den Energieberater bei Datenschutzvorfällen, Betroffenenrechten und Folgemaßnahmen angemessen zu unterstützen,
• den Energieberater unverzüglich über bekannt gewordene Datenschutzverletzungen im Auftragsverhältnis zu informieren,
• weitere Auftragsverarbeiter nur nach Maßgabe dieses AVV einzusetzen,
• personenbezogene Daten nach Beendigung der Verarbeitung nach Maßgabe dieses AVV zu löschen oder zurückzugeben.

8. Pflichten des Energieberaters als Verantwortlicher

Der Energieberater bleibt für die Rechtmäßigkeit der Verarbeitung insgesamt verantwortlich und verpflichtet sich insbesondere,

• personenbezogene Daten nur bei bestehender Rechtsgrundlage in die Thermoapp einzubringen oder dort verarbeiten zu lassen,
• Informationspflichten gegenüber betroffenen Personen zu erfüllen,
• die Rechtmäßigkeit seiner Weisungen sicherzustellen,
• Zugriffsrechte, Freigaben und Projektzuordnungen sorgfältig zu verwalten,
• eigene Endgeräte, E-Mail-Postfächer und Zugangsdaten zu schützen,
• zu prüfen, welche Daten zu berichtigen, einzuschränken oder zu löschen sind.

9. Unterauftragsverhältnisse

(1) Der Energieberater erteilt Core-N eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.

(2) Core-N wird den Energieberater über wesentliche Änderungen bei der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter informieren und eine angemessene Einspruchsfrist einräumen.

(3) Core-N stellt sicher, dass weitere Auftragsverarbeiter mindestens gleichwertigen Datenschutzpflichten unterliegen.

(4) Aktuell oder je nach technischer Konfiguration können insbesondere folgende Kategorien weiterer Auftragsverarbeiter eingesetzt werden:

• Anbieter für Hosting, Infrastruktur, Datenbanken, Speicher und Backups,
• Anbieter für transaktionale E-Mail-Zustellung,
• Anbieter für Monitoring, Wartung und betriebsnotwendige Sicherheitsdienste,
• OpenStreetMap- und Nominatim-Dienste für Karten- und Adressfunktionen, soweit diese Funktionen genutzt werden.

10. Drittlandübermittlungen

(1) Übermittlungen in Drittländer dürfen nur erfolgen, soweit die gesetzlichen Voraussetzungen hierfür vorliegen.

(2) Soweit Unterauftragsverarbeiter oder sonstige technische Dienste in Drittländer eingebunden werden, stellt Core-N sicher, dass geeignete Garantien nach der DSGVO bestehen, etwa ein Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO.

11. Technische und organisatorische Maßnahmen

(1) Core-N hält angemessene technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung vor. Diese richten sich nach dem Risiko, dem Stand der Technik sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Zu den Maßnahmen gehören insbesondere:

• Transportverschlüsselung bei der Datenübertragung,
• rollen- und berechtigungsbasierte Zugriffskonzepte,
• Authentifizierungs- und Sitzungsmanagement,
• vertrauliche Speicherung von Passwörtern nur als Hash,
• Protokollierung sicherheitsrelevanter Vorgänge,
• Verfahren für Backup, Wiederherstellung und Verfügbarkeit,
• Verfahren für Updates, Wartung und Schwachstellenbehandlung,
• logische Trennung von Rollen, Betrieben und Projektbereichen innerhalb der Plattform.

(3) Eine weitergehende Beschreibung der aktuell vorgesehenen TOM findet sich in Anlage 1 dieses AVV.

12. Unterstützung bei Betroffenenrechten und Pflichten nach Kapitel III und IV DSGVO

(1) Core-N unterstützt den Energieberater unter Berücksichtigung der Art der Verarbeitung und der Core-N zur Verfügung stehenden Informationen im angemessenen Umfang dabei,

• Anfragen betroffener Personen zu beantworten,
• Berichtigungen, Löschungen oder Einschränkungen umzusetzen,
• Datenschutz-Folgenabschätzungen vorzubereiten,
• Vorfälle zu dokumentieren und aufsichtliche Anfragen zu unterstützen.

(2) Gehen Betroffenenanfragen unmittelbar bei Core-N ein, wird Core-N diese unverzüglich an den Energieberater weiterleiten, sofern die Anfrage dem Auftragsverhältnis zugeordnet werden kann.

13. Meldung von Datenschutzvorfällen

Core-N informiert den Energieberater unverzüglich, nachdem Core-N von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, soweit diese Verletzung Daten im Rahmen dieses Auftrags betrifft.

14. Nachweise und Audits

(1) Core-N weist die Einhaltung der in diesem AVV geregelten Pflichten auf angemessene Weise nach.

(2) Audits erfolgen vorrangig über geeignete Nachweise, Dokumentationen, Selbstauskünfte oder sonstige remote verfügbare Informationen.

(3) Vor-Ort-Prüfungen sind nur bei berechtigtem Anlass, unter Wahrung der Betriebs- und Sicherheitsinteressen von Core-N und mit angemessener Vorankündigung zulässig.

15. Löschung und Rückgabe

(1) Nach Beendigung des Auftrags wird Core-N personenbezogene Daten nach Wahl des Energieberaters löschen oder zurückgeben, soweit keine gesetzliche Pflicht oder ein zulässiger eigener Rechtsgrund für eine weitere Speicherung besteht.

(2) Vom Energieberater innerhalb der Plattform veranlasste Löschungen, Freigabebeendigungen oder vergleichbare Entfernungsvorgänge gelten als dokumentierte Löschanweisung für die betroffenen operativen Datenbestände.

(3) Es ist technisch möglich, dass Daten nach der operativen Löschung vorübergehend noch in Backups, Wiederherstellungsmedien oder Soft-Delete-Prozessen vorhanden sind. Solche Restbestände dürfen während dieser Zeit nicht für andere Zwecke verwendet werden.

16. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.

(2) Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.

Anlage 1: Konkretisierung der technischen und organisatorischen Maßnahmen

Die konkreten Maßnahmen können im Rahmen technischer Weiterentwicklungen angepasst werden, sofern das Schutzniveau insgesamt nicht unangemessen abgesenkt wird.

1. Vertraulichkeit

• Zugriff auf Produktivsysteme nur für autorisierte Personen nach Rollen- und Berechtigungskonzept
• Authentifizierungsmechanismen für Nutzerkonten und administrative Zugänge
• vertrauliche Speicherung von Passwörtern nur als Hash
• Verschlüsselung der Datenübertragung

2. Integrität

• Protokollierung sicherheitsrelevanter Änderungen und Zugriffe
• Schutz vor unbefugten Änderungen durch Rollen- und Freigabekonzepte
• geregelte Prozesse für Updates, Wartung und Änderungen

3. Verfügbarkeit und Belastbarkeit

• Backup- und Wiederherstellungsverfahren
• betriebliche Maßnahmen gegen Ausfall und Missbrauch
• laufende Pflege und Härtung sicherheitsrelevanter Komponenten

4. Verfahren zur regelmäßigen Überprüfung

• interne Überprüfung von Berechtigungen und Betriebsprozessen
• Behandlung von Sicherheitsmeldungen und Schwachstellen
• Anpassung der Schutzmaßnahmen nach Risiko und technischer Entwicklung

Anlage 2: Kategorien weiterer Auftragsverarbeiter

Aktuell oder je nach technischer Konfiguration können folgende Kategorien weiterer Auftragsverarbeiter eingesetzt werden:

• Hosting- und Infrastrukturprovider
• Datenbank-, Speicher- und Backup-Dienstleister
• E-Mail- und Zustellprovider für transaktionale Nachrichten
• Monitoring-, Logging- und Sicherheitsdienstleister
• Karten- und Adressdienste, soweit innerhalb der Plattform aufgerufen

Eine aktuelle Liste mit wesentlichen Änderungen wird dem Energieberater auf Anfrage oder im Rahmen des vorgesehenen Informationsprozesses zugänglich gemacht.