Zurück zur Startseite

Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO für die Nutzung der Softwareprodukte EA-PowerTools zwischen dem Kunden als Verantwortlichem (nachfolgend „Verantwortlicher") und der Californium GridFlow GmbH, Loschwitzer Straße 1, 01309 Dresden (nachfolgend „Auftragsverarbeiter")

Stand: 11. Juni 2026

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Vertrag über die Nutzung der EA-PowerTools als Software-as-a-Service (nachfolgend „Hauptvertrag"). Er findet Anwendung auf alle Tätigkeiten, bei denen der Auftragsverarbeiter oder durch ihn beauftragte Unterauftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten.

(2) Gegenstand der Verarbeitung ist die Bereitstellung und der Betrieb der Software einschließlich der Speicherung der vom Verantwortlichen eingegebenen Daten (Hosting).

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages. Die Regelungen zur Löschung und Rückgabe von Daten nach § 7 gelten über das Vertragsende hinaus.

(4) Im Übrigen gelten die Begriffsbestimmungen des Art. 4 DSGVO.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag: Bereitstellung cloudbasierter Softwareanwendungen für Berechnungs- und Auslegungsaufgaben im Bereich der elektrischen Energieversorgung einschließlich Speicherung, Verwaltung und Sicherung der Kundendaten.

(2) Die Kategorien der verarbeiteten personenbezogenen Daten und der betroffenen Personen sind in Anlage 1 zu diesem AVV beschrieben.

(3) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum (EWR) statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit beim eingesetzten Cloud-Anbieter ein Zugriff aus einem Drittland nicht vollständig ausgeschlossen werden kann, gewährleistet der Auftragsverarbeiter geeignete Garantien im Sinne der Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln bzw. eine Zertifizierung nach dem EU-U.S. Data Privacy Framework).

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Der Hauptvertrag sowie die Nutzung der Software durch den Verantwortlichen (einschließlich der von ihm vorgenommenen Konfigurationen, Eingaben und Löschungen) gelten als Weisungen. Ergänzende Weisungen bedürfen der Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (nachfolgend „TOM"). Die zum Zeitpunkt des Vertragsschlusses umgesetzten TOM sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die TOM an die technische und organisatorische Weiterentwicklung anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) nachzukommen. Anträge betroffener Personen, die unmittelbar an den Auftragsverarbeiter gerichtet werden, leitet dieser unverzüglich an den Verantwortlichen weiter.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(5) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die diesen betreffen, unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit möglich, die Angaben gemäß Art. 33 Abs. 3 DSGVO.

(6) Der Auftragsverarbeiter benennt, soweit gesetzlich erforderlich, einen Datenschutzbeauftragten und teilt dem Verantwortlichen dessen Kontaktdaten mit. Ansprechpartner für Datenschutzfragen ist: info@ea-powertools.com.

(7) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter hinzuzuziehen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und vom Verantwortlichen genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Im Falle eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, den Hauptvertrag und diesen AVV außerordentlich mit angemessener Frist zu kündigen, wenn ihm die Leistungserbringung ohne den vorgesehenen Unterauftragsverarbeiter nicht zumutbar ist.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrages dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverhältnisse gelten Nebenleistungen Dritter ohne unmittelbaren Bezug zur Verarbeitung der Daten des Verantwortlichen (z. B. Telekommunikationsleistungen, Post- und Transportdienste, Reinigungs- und Wartungsleistungen).

§ 6 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Nachweis kann insbesondere durch aktuelle Testate, Zertifizierungen (z. B. ISO/IEC 27001) oder geeignete Eigenerklärungen erbracht werden. Auch Zertifizierungen und Auditberichte der eingesetzten Unterauftragsverarbeiter (insbesondere des Rechenzentrumsbetreibers) können zum Nachweis herangezogen werden.

(3) Der Verantwortliche ist berechtigt, nach vorheriger Anmeldung mit angemessener Frist und während der üblichen Geschäftszeiten Überprüfungen — einschließlich Inspektionen — durchzuführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer durchführen zu lassen. Der Auftragsverarbeiter kann für Überprüfungen, die über die Bereitstellung vorhandener Nachweise nach Absatz 2 hinausgehen, eine angemessene Aufwandsvergütung verlangen, sofern die Überprüfung nicht durch konkrete Anhaltspunkte für Datenschutzverstöße veranlasst ist.

§ 7 Löschung und Rückgabe von Daten

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf gesetzliche Aufbewahrungspflichten erforderlich sind.

(2) Nach Beendigung des Hauptvertrages hat der Verantwortliche die Möglichkeit, seine Daten innerhalb von 30 Tagen über die bereitgestellten Exportfunktionen abzurufen (vgl. § 9 Abs. 6 der AGB). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen datenschutzgerecht, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Die Löschung aus Sicherungskopien erfolgt entsprechend dem regulären Sicherungszyklus, spätestens jedoch nach weiteren 14 Tagen.

(3) Auf Verlangen bestätigt der Auftragsverarbeiter dem Verantwortlichen die Löschung in Textform.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gelten die Regelungen des Hauptvertrages (insbesondere § 14 der AGB) sowie Art. 82 DSGVO.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich datenschutzrechtlicher Regelungen die Bestimmungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Dresden, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(4) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 — Gegenstand der Verarbeitung

Kategorien betroffener Personen:

  • a) Mitarbeiter, Ansprechpartner und sonstige Nutzer des Verantwortlichen (Nutzerkonten);
  • b) gegebenenfalls Mitarbeiter und Ansprechpartner von Kunden, Auftraggebern oder Geschäftspartnern des Verantwortlichen, soweit deren Daten in Projektdaten enthalten sind.

Kategorien personenbezogener Daten:

  • a) Stammdaten der Nutzerkonten (Name, geschäftliche E-Mail-Adresse, Unternehmenszugehörigkeit, Rolle/Berechtigung);
  • b) Nutzungs- und Protokolldaten (Anmeldezeiten, IP-Adressen, Aktivitätsprotokolle);
  • c) Inhaltsdaten, soweit der Verantwortliche personenbezogene Daten in Projektdaten einbringt (z. B. Namen von Ansprechpartnern in Projektbeschreibungen oder Berichten).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht Gegenstand des Hauptvertrages und vom Verantwortlichen zu unterlassen.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

  • a) Zutrittskontrolle: Der Betrieb der Software erfolgt in zertifizierten Rechenzentren des in Anlage 3 genannten Cloud-Anbieters (u. a. Zutrittskontrollsysteme, Videoüberwachung, Sicherheitspersonal gemäß den Zertifizierungen des Rechenzentrumsbetreibers, z. B. ISO/IEC 27001).
  • b) Zugangskontrolle: Authentifizierung mit Benutzername und Passwort, Passwort-Richtlinien, Speicherung von Passwörtern ausschließlich als kryptographische Hashes, Option zur Zwei-Faktor-Authentifizierung, automatische Sitzungssperren, rollenbasierte Administration mit Protokollierung.
  • c) Zugriffskontrolle: Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip, getrennte Berechtigungen für Entwicklung, Betrieb und Support, Protokollierung administrativer Zugriffe.
  • d) Trennungskontrolle: Logische Mandantentrennung der Kundendaten, Trennung von Produktiv-, Test- und Entwicklungsumgebungen.
  • e) Pseudonymisierung und Verschlüsselung: Transportverschlüsselung sämtlicher Verbindungen (TLS), Verschlüsselung gespeicherter Daten (Encryption at Rest) auf Ebene der Cloud-Infrastruktur.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

  • a) Weitergabekontrolle: Verschlüsselte Datenübertragung, keine Weitergabe an Dritte außerhalb der genehmigten Unterauftragsverarbeiter, Protokollierung von Datenexporten.
  • b) Eingabekontrolle: Protokollierung von Anlage, Änderung und Löschung von Nutzerkonten und wesentlichen Datenoperationen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

  • a) Tägliche Datensicherungen mit einer Vorhaltedauer von mindestens 14 Tagen, georedundante Speicherung innerhalb der EU-Region.
  • b) Mehrstufige Infrastruktur-Redundanz, unterbrechungsfreie Stromversorgung und Brandschutz gemäß den Standards des Rechenzentrumsbetreibers.
  • c) Schutzmaßnahmen gegen Schadsoftware und Angriffe (Firewalls, Netzwerksegmentierung, DDoS-Basisschutz des Cloud-Anbieters), zeitnahes Einspielen sicherheitsrelevanter Updates.
  • d) Notfallkonzept mit definierten Wiederherstellungsverfahren; regelmäßige Tests der Wiederherstellbarkeit von Sicherungen.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

  • a) Regelmäßige Überprüfung der Wirksamkeit der TOM und Anpassung an den Stand der Technik.
  • b) Datenschutzfreundliche Voreinstellungen bei der Entwicklung (Privacy by Design and by Default, Art. 25 DSGVO).
  • c) Verpflichtung aller Mitarbeiter auf Vertraulichkeit und regelmäßige Sensibilisierung zu Datenschutz und Informationssicherheit.
  • d) Auftragskontrolle: Sorgfältige Auswahl von Unterauftragsverarbeitern, Abschluss von Verträgen gemäß Art. 28 Abs. 4 DSGVO, regelmäßige Überprüfung der Zertifizierungen.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Die zum Zeitpunkt des Vertragsschlusses eingesetzten und vom Verantwortlichen genehmigten Unterauftragsverarbeiter ergeben sich aus der jeweils aktuellen Liste unter www.ea-powertools.com/subprozessoren. Die Liste enthält für jeden Unterauftragsverarbeiter: Name bzw. Firma, Anschrift, die übernommene Leistung, den Ort der Verarbeitung sowie — soweit einschlägig — die Garantien für Drittlandzugriffe gemäß Art. 44 ff. DSGVO.

Eingesetzt wird insbesondere ein Cloud-Infrastruktur-Anbieter für Hosting, Speicherung und Datensicherung; die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der Europäischen Union (vgl. § 2 Abs. 3 dieses AVV). Änderungen der Liste erfolgen nach dem in § 5 dieses AVV geregelten Verfahren (Information mindestens vier Wochen im Voraus, Widerspruchsrecht des Verantwortlichen).