Vertrag zur Auftragsverarbeitung für Handwerksbetriebe

Stand: 23.09.2026

Online abrufbar unter: <https://thermo.app/avv-handwerker>

1. Vertragsparteien und Rollen

(1) Dieser Vertrag zur Auftragsverarbeitung ("AVV") wird zwischen dem jeweiligen Handwerksbetrieb als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO und der

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de

als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO geschlossen.

(2) Soweit ein Nutzerkonto von einer natürlichen Person eingerichtet oder genutzt wird, die für einen Handwerksbetrieb handelt, ist nicht die einzelne Person, sondern der jeweilige Handwerksbetrieb Verantwortlicher.

(3) Dieser AVV ergänzt die für den Handwerksbetrieb geltenden AGB und Nutzungsbedingungen der Thermoapp. Im Fall von Widersprüchen gehen die Regelungen dieses AVV für die Auftragsverarbeitung vor.

(4) Der beauftragende Betrieb wird nachfolgend auch als Auftraggeber bezeichnet. Soweit er selbst als Auftragsverarbeiter handelt, gilt die Rollenabgrenzung in Ziffer 2 Absatz 5.

2. Gegenstand und Abgrenzung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Core-N im Auftrag des Handwerksbetriebs im Rahmen der Bereitstellung und des Betriebs der Thermoapp.

(2) Dieser AVV erfasst nur solche Verarbeitungen, bei denen Core-N personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Handwerksbetriebs verarbeitet.

(3) Core-N verarbeitet Daten für die eigene Vertragsverwaltung, Abrechnung und gesetzliche Pflichten in eigener Verantwortung, soweit Core-N dafür die Zwecke und wesentlichen Mittel bestimmt. Die betreffenden Zwecke werden in den Datenschutzhinweisen erläutert.

(4) Sicherheitsmaßnahmen, Protokollierung, Fehlerbehebung und Wiederherstellung bleiben Bestandteil dieses Auftrags, soweit sie der beauftragten Verarbeitung dienen. Sie werden nicht allein wegen ihres technischen Charakters einer eigenen Verantwortlichkeit von Core-N zugeordnet.

(5) Handelt der beauftragende Betrieb für bestimmte Daten selbst als Auftragsverarbeiter, wird Core-N insoweit als weiterer Auftragsverarbeiter tätig. Der Betrieb stellt die erforderliche Genehmigung des Verantwortlichen sicher und gibt dessen Weisungen und Schutzpflichten weiter.

3. Dauer

(1) Dieser AVV gilt ab dem Zeitpunkt seines wirksamen Abschlusses in Textform oder durch eine sonst rechtlich wirksame Einbeziehung in das Hauptvertragsverhältnis.

(2) Er gilt für die Dauer der beauftragten Verarbeitung. Die Pflichten gelten nach Beendigung des Hauptvertrags fort, solange Core-N noch personenbezogene Daten aus diesem Auftrag verarbeitet oder zurückzugeben beziehungsweise zu löschen hat.

4. Art und Zweck der Verarbeitung

Core-N verarbeitet personenbezogene Daten im Auftrag des Handwerksbetriebs insbesondere zu folgenden Zwecken:

Bereitstellung, Hosting und technischer Betrieb der Thermoapp,
Anlage und Verwaltung von Nutzerkonten, Betrieben, Kunden und Projekten,
Speicherung und Verarbeitung von Projekt-, Objekt-, Termin- und Statusdaten,
Bereitstellung des passwortlosen Kundenportals für projektbezogene Kommunikation,
Upload, Speicherung, Abruf und Weitergabe von Dateien und Dokumenten innerhalb der vom Handwerksbetrieb gesteuerten Projektabläufe,
technische Einbindung und projektbezogene Zuweisung von Energieberatern,
Versand transaktionaler Nachrichten, Links und Hinweise im Rahmen der Plattformfunktion,
Protokollierung und Wiederherstellung, soweit dies für den sicheren Betrieb und die Verfügbarkeit der beauftragten Verarbeitung erforderlich ist.

5. Kategorien personenbezogener Daten und betroffener Personen

(1) Es können insbesondere folgende Datenkategorien verarbeitet werden:

Stamm- und Kontaktdaten von Kunden, Ansprechpartnern und Mitarbeitenden,
Objekt-, Adress- und Projektdaten,
Angaben zu Sanierungsvorhaben, Förderungen, Investitionen und Projektstatus,
Dokumente, Bilder, Nachweise, Rechnungen und sonstige Projektdateien,
digitale Signaturen, Zeitstempel und projektbezogene Historien,
Termin-, Kommunikations- und Freigabedaten,
technische Nutzungs-, Zugriffs-, Protokoll- und Sicherheitshinweise.

(2) Betroffene Personen sind insbesondere:

Endkunden und sonstige projektbezogene Kontaktpersonen,
Mitarbeitende und Nutzer des Handwerksbetriebs,
dem Projekt zugeordnete Energieberater und deren Mitarbeitende,
sonstige Personen, deren Daten im Auftrag des Handwerksbetriebs in Projekten verarbeitet werden.

6. Weisungsrecht des Verantwortlichen

(1) Core-N verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Handwerksbetriebs, soweit nicht eine unions- oder mitgliedstaatliche Rechtsvorschrift eine abweichende Verarbeitung verlangt.

(2) Weisungen werden primär durch die Nutzung der Plattformfunktionen, die Rollen- und Freigabesteuerung innerhalb der Thermoapp sowie durch ergänzende Anweisungen in Textform erteilt.

(3) Hält Core-N eine Weisung für rechtswidrig, wird Core-N den Handwerksbetrieb hierauf unverzüglich hinweisen. Core-N ist berechtigt, die Ausführung der betreffenden Weisung bis zur rechtlichen Klärung auszusetzen, soweit dies rechtlich erforderlich ist. Eine bloße Bestätigung durch den Auftraggeber rechtfertigt keine rechtswidrige Verarbeitung.

(4) Ist eine Verarbeitung aufgrund einer unionsrechtlichen oder mitgliedstaatlichen Vorschrift vorgeschrieben, informiert Core-N den Auftraggeber vorab über diese Pflicht, soweit das betreffende Recht eine solche Information nicht untersagt.

7. Pflichten von Core-N als Auftragsverarbeiter

Core-N verpflichtet sich insbesondere,

personenbezogene Daten nur im Rahmen dieses AVV und der dokumentierten Weisungen zu verarbeiten,
Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit zu verpflichten,
geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen und aufrechtzuerhalten,
den Handwerksbetrieb unverzüglich zu informieren, wenn Core-N von einer Verletzung des Schutzes personenbezogener Daten im Auftragsverhältnis Kenntnis erlangt,
den Handwerksbetrieb im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden sowie bei Nachweisen zur Sicherheit zu unterstützen,
keine weiteren Auftragsverarbeiter ohne die in diesem AVV geregelte Grundlage einzusetzen,
nach Abschluss der Verarbeitung personenbezogene Daten nach Maßgabe dieses AVV zu löschen oder zurückzugeben.

8. Pflichten des Handwerksbetriebs als Verantwortlicher

Der Handwerksbetrieb bleibt für die Rechtmäßigkeit der Verarbeitung insgesamt verantwortlich und verpflichtet sich insbesondere,

personenbezogene Daten nur rechtmäßig und auf zutreffender Rechtsgrundlage in die Thermoapp einzubringen,
betroffene Personen ordnungsgemäß zu informieren,
die Zulässigkeit erteilter Weisungen sicherzustellen,
Rollen, Zugriffsrechte, Projektfreigaben und Versendung von Kundenlinks sorgfältig zu steuern,
die Sicherheit seiner eigenen Endgeräte, Postfächer und Zugangsdaten zu gewährleisten,
zu prüfen, ob und in welchem Umfang Daten in Projekten zu berichtigen, einzuschränken oder zu löschen sind.

9. Unterauftragsverhältnisse

(1) Der Handwerksbetrieb erteilt Core-N eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.

(2) Core-N wird den Handwerksbetrieb über jede beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter in geeigneter Form informieren und dem Handwerksbetrieb vor deren Einsatz eine angemessene Einspruchsfrist einräumen. Die Mitteilung benennt Anbieter, Aufgabe und Verarbeitungsorte. Bei einem begründeten datenschutzrechtlichen Einwand klären die Parteien eine geeignete Alternative oder die Beendigung der betroffenen Leistung.

(3) Core-N verpflichtet weitere Auftragsverarbeiter vertraglich zu mindestens gleichwertigen Datenschutzpflichten wie in diesem AVV.

(4) Aktuell oder je nach technischer Konfiguration können insbesondere folgende Kategorien von Unterauftragsverarbeitern eingesetzt werden:

Anbieter für Hosting, Infrastruktur, Datenbanken, Speicher und Backups,
Anbieter für transaktionale E-Mail-Zustellung,
Anbieter für Monitoring, Wartung und betriebsnotwendige Sicherheitsdienste,
Dienste für optionale Fehleranalyse, Leistungsmessung und Nutzungsanalyse,
Dienste für Authentifizierung und Push-Zustellung, soweit sie Auftragsdaten verarbeiten.

Öffentliche Karten- und Adressdienste sind nach ihrer tatsächlichen Rolle gesondert zu beurteilen. Ihre Einbindung macht sie nicht automatisch zu Unterauftragsverarbeitern von Core-N.

10. Drittlandübermittlungen

(1) Übermittlungen in Drittländer dürfen nur erfolgen, soweit die gesetzlichen Voraussetzungen hierfür vorliegen.

(2) Soweit Unterauftragsverarbeiter oder sonstige technische Dienste in Drittländer eingebunden werden, stellt Core-N sicher, dass die nach der DSGVO erforderlichen Garantien bestehen, etwa ein Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO.

11. Technische und organisatorische Maßnahmen

(1) Core-N hält angemessene technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung vor. Diese orientieren sich am Risiko, am Stand der Technik, an Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Zu den Maßnahmen gehören insbesondere:

Transportverschlüsselung bei der Datenübertragung,
rollen- und berechtigungsbasierte Zugriffskonzepte,
Authentifizierungs- und Sitzungsmanagement,
Authentifizierung über Firebase Authentication und Schutz der zugehörigen Zugänge,
Protokollierung sicherheitsrelevanter Zugriffe und Vorgänge,
Verfahren für Backup, Wiederherstellung und Verfügbarkeit,
Verfahren für Schwachstellenbehandlung, Updates und Systempflege,
logische Trennung von Rollen, Betrieben und Projektbereichen innerhalb der Plattform.

(3) Eine weitergehende Beschreibung der aktuell vorgesehenen TOM findet sich in Anlage 1 dieses AVV.

12. Unterstützung bei Betroffenenrechten und Pflichten nach Kapitel III und IV DSGVO

(1) Core-N wird den Handwerksbetrieb unter Berücksichtigung der Art der Verarbeitung und der Core-N zur Verfügung stehenden Informationen im angemessenen Umfang dabei unterstützen,

Anfragen betroffener Personen zu beantworten,
Berichtigungen, Löschungen oder Einschränkungen umzusetzen,
datenschutzrechtliche Vorfälle zu dokumentieren und zu bearbeiten,
Datenschutz-Folgenabschätzungen sowie gegebenenfalls vorherige Konsultationen zu unterstützen.

(2) Gehen Betroffenenanfragen unmittelbar bei Core-N ein, wird Core-N diese unverzüglich an den Handwerksbetrieb weiterleiten, sofern eine Zuordnung zum Auftragsverhältnis möglich ist.

13. Meldung von Datenschutzvorfällen

Core-N informiert den Handwerksbetrieb unverzüglich, nachdem Core-N von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, soweit diese Verletzung Daten im Rahmen dieses Auftrags betrifft. Soweit möglich, stellt Core-N die für den Handwerksbetrieb erforderlichen Informationen zur Verfügung.

Soweit verfügbar, enthält die Meldung Art und Umfang des Vorfalls, betroffene Daten und Personengruppen, wahrscheinliche Folgen, getroffene Gegenmaßnahmen und einen Ansprechpartner. Fehlende Informationen werden ohne unangemessene Verzögerung ergänzt. Die erste Meldung wird nicht bis zum Abschluss aller Untersuchungen zurückgestellt.

14. Nachweise und Audits

(1) Core-N stellt alle Informationen bereit, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind. Core-N ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und wirkt daran mit.

(2) Geeignete Unterlagen und Auskünfte können zur Vorbereitung und Durchführung einer Prüfung verwendet werden. Sie ersetzen erforderliche Inspektionen nicht. Umfang, Termin und Vertraulichkeit werden unter Berücksichtigung des Prüfzwecks und des Schutzes anderer Auftraggeber abgestimmt.

(3) Bei dringendem Anlass oder behördlichen Anforderungen darf eine Vorankündigungsfrist die erforderliche Prüfung nicht verhindern. Rechte zuständiger Aufsichtsbehörden bleiben unberührt.

15. Löschung und Rückgabe

(1) Nach Abschluss der beauftragten Verarbeitung löscht Core-N die personenbezogenen Daten nach Wahl des Auftraggebers oder gibt sie zurück und löscht vorhandene Kopien. Ausgenommen sind Daten, deren Speicherung unionsrechtlich oder nach mitgliedstaatlichem Recht vorgeschrieben ist.

(2) Rückgabe- und Löschanweisungen können an info@core-n.de gerichtet werden. Die Parteien stimmen Umfang, ein geeignetes Übergabeformat und die Abwicklung ab. Core-N informiert über gesetzlich aufzubewahrende Daten, deren Rechtsgrundlage und Aufbewahrungsdauer.

(3) Eine Kontolöschung, die Entfernung einer Betriebsmitgliedschaft oder das Ende einer Freigabe ist nicht automatisch eine Anweisung zur Löschung der gesamten Projektakte. Bei einer ausdrücklich veranlassten Datenlöschung sind die betroffenen Daten und gegebenenfalls die Weisungsbefugnis zu klären.

(4) Verbleibende Sicherungskopien dürfen ausschließlich für zulässige Wiederherstellungszwecke vorgehalten werden und sind nach dem vereinbarten Löschkonzept zu entfernen. Bei Wiederherstellung sind bereits erteilte Löschanweisungen erneut zu berücksichtigen.

(5) Core-N bestätigt die Durchführung einer Lösch- oder Rückgabeanweisung auf Anfrage. Eine darüber hinausgehende Verarbeitung für eigene Zwecke bedarf einer gesonderten rechtlichen Prüfung und darf die Löschpflicht nach Art. 28 Abs. 3 lit. g DSGVO nicht umgehen.

16. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.

Anlage 1: Konkretisierung der technischen und organisatorischen Maßnahmen

Die konkreten Maßnahmen können im Laufe der technischen Weiterentwicklung angepasst werden, sofern das vereinbarte Schutzniveau nicht abgesenkt wird.

1. Vertraulichkeit

Zugriff auf Produktivsysteme nur für autorisierte Personen nach Rollen- und Berechtigungskonzept
Authentifizierungsmechanismen für Nutzerkonten und administrative Zugänge
Authentifizierung über Firebase Authentication und Schutz der zugehörigen Zugänge
Verschlüsselung der Datenübertragung zwischen Clients und Diensten

2. Integrität

Protokollierung wesentlicher Änderungen und sicherheitsrelevanter Zugriffe
Schutz vor unberechtigten Änderungen durch Rollen- und Freigabemechanismen
Verfahren für Fehlerbehebung, Updates und kontrollierte Änderungseinspielung

3. Verfügbarkeit und Belastbarkeit

Backup- und Wiederherstellungsverfahren
technische und organisatorische Maßnahmen gegen Ausfall und Missbrauch
laufende Pflege der produktiven Systeme und sicherheitsrelevanter Komponenten

4. Verfahren zur regelmäßigen Überprüfung

interne Überprüfung von Zugriffsrechten und Betriebsabläufen
Bearbeitung von Sicherheitsmeldungen und Schwachstellen
Anpassung von Schutzmaßnahmen entsprechend dem Risiko und der technischen Weiterentwicklung

Anlage 2: Eingesetzte Dienste und Verarbeitungsorte

| Dienst | Aufgabe und betroffene Daten |
| --- | --- |
| Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland | Infrastruktur an EU-Serverstandorten für App, Datenbank, E-Mail-Versand, Backups und Monitoring. Je nach Aufgabe Konto- und Projektdaten, Dokumente, Nachrichten, Sicherungskopien und technische Protokolle. |
| Firebase Authentication, nach Google-Cloud-Standardbedingungen für deutsche Rechnungsadresse Google Cloud EMEA Limited, Irland | Authentifizierung, Nutzerkennungen und Verifizierungsstatus. Laut Google ausschließlich in den USA verarbeitet. Aufnahme in dieses Unterauftragsverhältnis, soweit Auftragsdaten des Betriebs verarbeitet werden. |
| Firebase Cloud Messaging, nach Google-API-Standardbedingungen Google LLC, USA | Push-Zustellung mit Installations- und Zustellkennungen sowie allgemeinen Ereignishinweisen. Auf Apple-Geräten erfolgt die Zustellung über den Apple Push Notification Service. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für Google Analytics for Firebase | App-Nutzungsereignisse sowie Online-, Installations- und Gerätekennungen. Für dieses Analytics-Projekt ist Deutschland als Datenstandort eingestellt. Es gelten die deutschen Google Analytics Terms und die Google Ads Data Processing Terms. Die aktuelle Google-Analytics-Unterauftragsverarbeiterliste enthält die weiteren Anbieter. |
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für Firebase Crashlytics | Absturz- und Fehlerberichte, Stacktraces, Diagnoseprotokolle sowie technische Angaben zu App, Gerät und Installation. Die Crashlytics-Bedingungen nennen Google Ireland Limited für Entwickler mit Sitz in EMEA. Firebase führt Firebase, Inc. in den USA als Unterauftragsverarbeiter für Crashlytics-Infrastruktur, Support und IT-Facility-Management. Die Verarbeitung kann auf globaler Google-Infrastruktur stattfinden. |
| Google LLC, 1600 Amphitheatre Parkway, Mountain View, California 94043, USA, für Firebase Performance Monitoring | Leistungsspuren und Messwerte zu App-Starts, Abläufen und Netzwerkverbindungen sowie technische Angaben zu App, Gerät, Betriebssystem und Installation. Die Google APIs Terms nennen Google LLC als Vertragspartner. Die Verarbeitung kann auf globaler Google-Infrastruktur stattfinden. |

Die für diese Services genutzte Contabo-Serverregion ist die EU. Für Google-Dienste gelten die nachfolgend genannten Datenschutzbedingungen und Transferregelungen.

Firebase Authentication unterliegt dem Cloud Data Processing Addendum. Für Crashlytics gelten die Crashlytics-Bedingungen. Sie nennen Google Ireland Limited als Vertragspartner für Entwickler mit Sitz in EMEA. Für Performance Monitoring gelten die Google APIs Terms, die Google LLC als Vertragspartner nennen. Für beide Dienste gelten außerdem die Firebase Data Processing and Security Terms. Google Analytics for Firebase unterliegt den deutschen Google Analytics Terms und den Google Ads Data Processing Terms. Für Analytics ist Deutschland als Datenstandort ausgewählt. Für Crashlytics und Performance Monitoring ist keine Datenverarbeitung ausschließlich in Deutschland zugesagt. Google kann diese Daten in Ländern verarbeiten, in denen Google oder seine Unterauftragsverarbeiter Einrichtungen betreiben. Für Übermittlungen an zertifizierte Google-Unternehmen in den USA gilt das EU-US Data Privacy Framework. Wo dieses nicht greift, gelten Standardvertragsklauseln.

Google veröffentlicht weitere aktuelle Namen, Standorte und Aufgaben in den Firebase und Google Cloud Unterauftragsverarbeiterlisten. Core-N informiert über beabsichtigte Änderungen nach Ziffer 9 Absatz 2.

Stripe für die eigene Softwareabrechnung von Core-N und unmittelbar aufgerufene öffentliche Kartendienste sind nach der jeweiligen tatsächlichen Rolle zu beurteilen. Sie gehören nicht allein wegen ihrer Einbindung in die App zum Unterauftragsverzeichnis dieses AVV.

Eine gesonderte Beauftragung von Thermopartner durch den Energieberater richtet sich nach dem Berechnungsauftrag und dem zugehörigen AVV. Sie wird nicht allein durch diesen Plattform-AVV genehmigt.