Vertrag zur Auftragsverarbeitung für Handwerksbetriebe

Stand: 21.04.2026

Online abrufbar unter: <https://thermo.app/avv-handwerker>

1. Vertragsparteien und Rollen

(1) Dieser Vertrag zur Auftragsverarbeitung ("AVV") wird zwischen dem jeweiligen Handwerksbetrieb als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO und der

Core-N UG (haftungsbeschränkt)
Rotwaldstraße 26
74417 Gschwend
Deutschland
E-Mail: info@core-n.de

als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO geschlossen.

(2) Soweit ein Nutzerkonto von einer natürlichen Person eingerichtet oder genutzt wird, die für einen Handwerksbetrieb handelt, ist nicht die einzelne Person, sondern der jeweilige Handwerksbetrieb Verantwortlicher.

(3) Dieser AVV ergänzt die für den Handwerksbetrieb geltenden AGB und Nutzungsbedingungen der Thermoapp. Im Fall von Widersprüchen gehen die Regelungen dieses AVV für die Auftragsverarbeitung vor.

2. Gegenstand und Abgrenzung

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch Core-N im Auftrag des Handwerksbetriebs im Rahmen der Bereitstellung und des Betriebs der Thermoapp.

(2) Dieser AVV erfasst nur solche Verarbeitungen, bei denen Core-N personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Handwerksbetriebs verarbeitet.

(3) Nicht Gegenstand dieses AVV sind Verarbeitungen, bei denen Core-N eigenständig Verantwortlicher ist, insbesondere für:

die Registrierung und Verwaltung eigener Vertrags- und Accountbeziehungen zu Core-N,
IT-Sicherheit, Missbrauchs- und Betrugsprävention,
Fehleranalyse, Stabilität und Integrität der Plattform,
die Geltendmachung, Ausübung oder Verteidigung eigener Rechtsansprüche,
gesetzliche Aufbewahrungs- und Nachweispflichten,
sonstige Verarbeitungen, für die Core-N die Zwecke und wesentlichen Mittel selbst bestimmt.

3. Dauer

(1) Dieser AVV gilt ab dem Zeitpunkt seines wirksamen Abschlusses in Textform oder durch eine sonst rechtlich wirksame Einbeziehung in das Hauptvertragsverhältnis.

(2) Er gilt für die Dauer der beauftragten Verarbeitung und endet spätestens mit Beendigung des Hauptvertragsverhältnisses, soweit keine nachwirkenden datenschutzrechtlichen Pflichten bestehen.

4. Art und Zweck der Verarbeitung

Core-N verarbeitet personenbezogene Daten im Auftrag des Handwerksbetriebs insbesondere zu folgenden Zwecken:

Bereitstellung, Hosting und technischer Betrieb der Thermoapp,
Anlage und Verwaltung von Nutzerkonten, Betrieben, Kunden und Projekten,
Speicherung und Verarbeitung von Projekt-, Objekt-, Termin- und Statusdaten,
Bereitstellung des passwortlosen Kundenportals für projektbezogene Kommunikation,
Upload, Speicherung, Abruf und Weitergabe von Dateien und Dokumenten innerhalb der vom Handwerksbetrieb gesteuerten Projektabläufe,
technische Einbindung und projektbezogene Zuweisung von Energieberatern,
Versand transaktionaler Nachrichten, Links und Hinweise im Rahmen der Plattformfunktion,
Protokollierung und Wiederherstellung, soweit dies für den sicheren Betrieb und die Verfügbarkeit der beauftragten Verarbeitung erforderlich ist.

5. Kategorien personenbezogener Daten und betroffener Personen

(1) Es können insbesondere folgende Datenkategorien verarbeitet werden:

Stamm- und Kontaktdaten von Kunden, Ansprechpartnern und Mitarbeitenden,
Objekt-, Adress- und Projektdaten,
Angaben zu Sanierungsvorhaben, Förderungen, Investitionen und Projektstatus,
Dokumente, Bilder, Nachweise, Rechnungen und sonstige Projektdateien,
digitale Signaturen, Zeitstempel und projektbezogene Historien,
Termin-, Kommunikations- und Freigabedaten,
technische Nutzungs-, Zugriffs-, Protokoll- und Sicherheitshinweise.

(2) Betroffene Personen sind insbesondere:

Endkunden und sonstige projektbezogene Kontaktpersonen,
Mitarbeitende und Nutzer des Handwerksbetriebs,
dem Projekt zugeordnete Energieberater und deren Mitarbeitende,
sonstige Personen, deren Daten im Auftrag des Handwerksbetriebs in Projekten verarbeitet werden.

6. Weisungsrecht des Verantwortlichen

(1) Core-N verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Handwerksbetriebs, soweit nicht eine unions- oder mitgliedstaatliche Rechtsvorschrift eine abweichende Verarbeitung verlangt.

(2) Weisungen werden primär durch die Nutzung der Plattformfunktionen, die Rollen- und Freigabesteuerung innerhalb der Thermoapp sowie durch ergänzende Anweisungen in Textform erteilt.

(3) Hält Core-N eine Weisung für rechtswidrig, wird Core-N den Handwerksbetrieb hierauf unverzüglich hinweisen. Core-N ist berechtigt, die Ausführung der betreffenden Weisung bis zur Bestätigung oder Änderung auszusetzen, soweit dies rechtlich erforderlich ist.

7. Pflichten von Core-N als Auftragsverarbeiter

Core-N verpflichtet sich insbesondere,

personenbezogene Daten nur im Rahmen dieses AVV und der dokumentierten Weisungen zu verarbeiten,
Personen, die Zugriff auf personenbezogene Daten haben, zur Vertraulichkeit zu verpflichten,
geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen und aufrechtzuerhalten,
den Handwerksbetrieb unverzüglich zu informieren, wenn Core-N von einer Verletzung des Schutzes personenbezogener Daten im Auftragsverhältnis Kenntnis erlangt,
den Handwerksbetrieb im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden sowie bei Nachweisen zur Sicherheit zu unterstützen,
keine weiteren Auftragsverarbeiter ohne die in diesem AVV geregelte Grundlage einzusetzen,
nach Abschluss der Verarbeitung personenbezogene Daten nach Maßgabe dieses AVV zu löschen oder zurückzugeben.

8. Pflichten des Handwerksbetriebs als Verantwortlicher

Der Handwerksbetrieb bleibt für die Rechtmäßigkeit der Verarbeitung insgesamt verantwortlich und verpflichtet sich insbesondere,

personenbezogene Daten nur rechtmäßig und auf zutreffender Rechtsgrundlage in die Thermoapp einzubringen,
betroffene Personen ordnungsgemäß zu informieren,
die Zulässigkeit erteilter Weisungen sicherzustellen,
Rollen, Zugriffsrechte, Projektfreigaben und Versendung von Kundenlinks sorgfältig zu steuern,
die Sicherheit seiner eigenen Endgeräte, Postfächer und Zugangsdaten zu gewährleisten,
zu prüfen, ob und in welchem Umfang Daten in Projekten zu berichtigen, einzuschränken oder zu löschen sind.

9. Unterauftragsverhältnisse

(1) Der Handwerksbetrieb erteilt Core-N eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO.

(2) Core-N wird den Handwerksbetrieb über wesentliche Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter in geeigneter Form informieren und dem Handwerksbetrieb eine angemessene Einspruchsfrist einräumen.

(3) Core-N verpflichtet weitere Auftragsverarbeiter vertraglich zu mindestens gleichwertigen Datenschutzpflichten wie in diesem AVV.

(4) Aktuell oder je nach technischer Konfiguration können insbesondere folgende Kategorien von Unterauftragsverarbeitern eingesetzt werden:

Anbieter für Hosting, Infrastruktur, Datenbanken, Speicher und Backups,
Anbieter für transaktionale E-Mail-Zustellung,
Anbieter für Monitoring, Wartung und betriebsnotwendige Sicherheitsdienste,
OpenStreetMap- und Nominatim-Dienste für Karten- und Adressfunktionen, soweit diese Funktionen genutzt werden.

10. Drittlandübermittlungen

(1) Übermittlungen in Drittländer dürfen nur erfolgen, soweit die gesetzlichen Voraussetzungen hierfür vorliegen.

(2) Soweit Unterauftragsverarbeiter oder sonstige technische Dienste in Drittländer eingebunden werden, stellt Core-N sicher, dass die nach der DSGVO erforderlichen Garantien bestehen, etwa ein Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO.

11. Technische und organisatorische Maßnahmen

(1) Core-N hält angemessene technische und organisatorische Maßnahmen zur Sicherheit der Verarbeitung vor. Diese orientieren sich am Risiko, am Stand der Technik, an Art, Umfang, Umständen und Zwecken der Verarbeitung.

(2) Zu den Maßnahmen gehören insbesondere:

Transportverschlüsselung bei der Datenübertragung,
rollen- und berechtigungsbasierte Zugriffskonzepte,
Authentifizierungs- und Sitzungsmanagement,
vertrauliche Speicherung von Passwörtern nur als Hash,
Protokollierung sicherheitsrelevanter Zugriffe und Vorgänge,
Verfahren für Backup, Wiederherstellung und Verfügbarkeit,
Verfahren für Schwachstellenbehandlung, Updates und Systempflege,
logische Trennung von Rollen, Betrieben und Projektbereichen innerhalb der Plattform.

(3) Eine weitergehende Beschreibung der aktuell vorgesehenen TOM findet sich in Anlage 1 dieses AVV.

12. Unterstützung bei Betroffenenrechten und Pflichten nach Kapitel III und IV DSGVO

(1) Core-N wird den Handwerksbetrieb unter Berücksichtigung der Art der Verarbeitung und der Core-N zur Verfügung stehenden Informationen im angemessenen Umfang dabei unterstützen,

Anfragen betroffener Personen zu beantworten,
Berichtigungen, Löschungen oder Einschränkungen umzusetzen,
datenschutzrechtliche Vorfälle zu dokumentieren und zu bearbeiten,
Datenschutz-Folgenabschätzungen sowie gegebenenfalls vorherige Konsultationen zu unterstützen.

(2) Gehen Betroffenenanfragen unmittelbar bei Core-N ein, wird Core-N diese unverzüglich an den Handwerksbetrieb weiterleiten, sofern eine Zuordnung zum Auftragsverhältnis möglich ist.

13. Meldung von Datenschutzvorfällen

Core-N informiert den Handwerksbetrieb unverzüglich, nachdem Core-N von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, soweit diese Verletzung Daten im Rahmen dieses Auftrags betrifft. Soweit möglich, stellt Core-N die für den Handwerksbetrieb erforderlichen Informationen zur Verfügung.

14. Nachweise und Audits

(1) Core-N weist die Einhaltung der in diesem AVV geregelten Pflichten auf angemessene Weise nach.

(2) Audits des Handwerksbetriebs sind grundsätzlich vorrangig durch geeignete Nachweise, Unterlagen, Fragebögen, Selbstauskünfte oder sonstige remote durchführbare Mittel vorzunehmen.

(3) Vor-Ort-Prüfungen kommen nur in Betracht, soweit remote Nachweise nicht ausreichen, ein berechtigter Anlass besteht und berechtigte Geheimhaltungs- und Sicherheitsinteressen von Core-N gewahrt bleiben. Sie sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten durchzuführen.

15. Löschung und Rückgabe

(1) Nach Beendigung des Auftrags wird Core-N personenbezogene Daten nach Wahl des Handwerksbetriebs löschen oder zurückgeben, soweit keine gesetzliche Pflicht oder ein zulässiger eigener Rechtsgrund für eine weitere Speicherung besteht.

(2) Die eigenständige Löschung oder Freigabebeendigung durch den Handwerksbetrieb innerhalb der Plattform gilt als dokumentierte Löschanweisung für die betroffenen Daten im operativen Systembestand.

(3) Es ist technisch möglich, dass gelöschte Daten zunächst für einen begrenzten Zeitraum in Backups, Wiederherstellungsmedien oder Soft-Delete-Prozessen verbleiben, bevor sie endgültig entfernt werden. Solche Restbestände dürfen während dieser Zeit nicht für andere Zwecke verarbeitet werden.

16. Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform, soweit keine strengere Form gesetzlich vorgeschrieben ist.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt deutsches Recht.

Anlage 1: Konkretisierung der technischen und organisatorischen Maßnahmen

Die konkreten Maßnahmen können im Laufe der technischen Weiterentwicklung angepasst werden, sofern das Schutzniveau insgesamt nicht unangemessen abgesenkt wird.

1. Vertraulichkeit

Zugriff auf Produktivsysteme nur für autorisierte Personen nach Rollen- und Berechtigungskonzept
Authentifizierungsmechanismen für Nutzerkonten und administrative Zugänge
Vertrauliche Speicherung von Passwörtern nur als Hash
Verschlüsselung der Datenübertragung zwischen Clients und Diensten

2. Integrität

Protokollierung wesentlicher Änderungen und sicherheitsrelevanter Zugriffe
Schutz vor unberechtigten Änderungen durch Rollen- und Freigabemechanismen
Verfahren für Fehlerbehebung, Updates und kontrollierte Änderungseinspielung

3. Verfügbarkeit und Belastbarkeit

Backup- und Wiederherstellungsverfahren
technische und organisatorische Maßnahmen gegen Ausfall und Missbrauch
laufende Pflege der produktiven Systeme und sicherheitsrelevanter Komponenten

4. Verfahren zur regelmäßigen Überprüfung

interne Überprüfung von Zugriffsrechten und Betriebsabläufen
Bearbeitung von Sicherheitsmeldungen und Schwachstellen
Anpassung von Schutzmaßnahmen entsprechend dem Risiko und der technischen Weiterentwicklung

Anlage 2: Kategorien weiterer Auftragsverarbeiter

Aktuell oder je nach technischer Konfiguration können folgende Kategorien weiterer Auftragsverarbeiter eingesetzt werden:

Hosting- und Infrastrukturprovider
Datenbank-, Speicher- und Backup-Dienstleister
E-Mail- und Zustellprovider für transaktionale Nachrichten
Monitoring-, Logging- und Sicherheitsdienstleister
Karten- und Adressdienste, soweit innerhalb der Plattform aufgerufen

Eine aktuelle Liste mit wesentlichen Änderungen wird dem Handwerksbetrieb auf Anfrage oder im Rahmen des vorgesehenen Informationsprozesses zugänglich gemacht.