Auftragsverarbeitungsvertrag
Vertrag nach Art. 28 DSGVO für die Nutzung von Batterypass.
Batterypass – Smartweb GmbH
Stand: November 2026. Verbindlich ist die deutsche Fassung.
Vertragsparteien
Auftragnehmer: Smartweb GmbH, Richterstr. 14–16, 45143 Essen, vertreten durch die Geschäftsführerin Marina Franz. Kontakt: info@batterypass2027.eu
Auftraggeber: Die Firma, der Name des Kontoinhabers und seine E-Mail-Adresse werden aus der Registrierung übernommen.
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Bereitstellung der Software Batterypass zur Erstellung, Verwaltung und Veröffentlichung digitaler Batteriepässe nach der Verordnung (EU) 2023/1542, einschließlich Konto- und Teamverwaltung.
(2) Der AVV gilt für die Laufzeit des Hauptvertrags. Bei Widersprüchen geht dieser AVV in Datenschutzfragen vor.
§ 2 Art und Zweck, Ort der Verarbeitung
(1) Die Verarbeitung dient ausschließlich der Vertragserfüllung und erfolgt nach dokumentierter Weisung des Auftraggebers, nicht für eigene Zwecke des Auftragnehmers.
(2) Die Verarbeitung erfolgt bei dem in Anlage 1 genannten Unterauftragsverarbeiter. Eine Übermittlung in Drittländer ist nicht vorgesehen.
§ 3 Daten und betroffene Personen
(1) Daten: Name und E-Mail-Adresse der Teammitglieder, Rolle, verschlüsselt gespeicherte Passwörter (Hash), Sitzungsdaten, Firmenname, Protokolle der Änderungen mit Person und Zeitpunkt, fehlgeschlagene Anmeldeversuche mit IP-Adresse sowie personenbezogene Angaben, die der Auftraggeber in Eingabefelder einträgt.
(2) Betroffene: Beschäftigte des Auftraggebers und Personen, die er in Eingabefeldern nennt.
(3) Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen.
§ 4 Rechte und Pflichten des Auftraggebers, Weisungen
(1) Für die Zulässigkeit der Verarbeitung und die Rechte betroffener Personen ist der Auftraggeber verantwortlich.
(2) Weisungen erfolgen in Textform an info@batterypass2027.eu. Weisungsberechtigt sind die Personen aus Anlage 3.
(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Bestätigung aussetzen.
§ 5 Meldepflichten
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Adresse des Kontoinhabers, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Er unterstützt angemessen bei den Pflichten nach Art. 33 und 34 DSGVO.
§ 6 Unterstützung
(1) Berichtigungen nimmt der Auftraggeber in der Software vor. Teammitglieder entfernt er in der Teamverwaltung. Pass-Listen kann er als CSV exportieren.
(2) Weitere Auskünfte und Löschungen, die in der Software nicht möglich sind, führt der Auftragnehmer auf Anforderung in Textform durch.
(3) Anfragen betroffener Personen an den Auftragnehmer leitet er unverzüglich weiter.
(4) Bei Art. 32, 35 und 36 DSGVO unterstützt er auf Anfrage angemessen.
§ 7 Technische und organisatorische Maßnahmen
Es gelten die Maßnahmen aus Anlage 2. Sie dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau nicht sinkt.
§ 8 Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter.
(2) Änderungen kündigt der Auftragnehmer mindestens 14 Kalendertage vorher an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ohne Einigung steht ihm ein Sonderkündigungsrecht zu.
(3) Unterauftragsverarbeiter werden vertraglich auf gleichwertige Pflichten verpflichtet.
§ 9 Kontrollrechte
Der Auftragnehmer weist die Einhaltung in erster Linie durch geeignete Unterlagen nach. Prüfungen vor Ort sind mit mindestens 14 Tagen Vorankündigung, zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr möglich, außer bei konkretem Anlass.
§ 10 Vertraulichkeit
Alle mit der Verarbeitung befassten Personen werden schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.
§ 11 Löschung und Rückgabe
(1) Die Kündigung löscht keine Daten. Das Konto wird auf das Paket Pilot zurückgestuft, die Pässe bleiben erreichbar.
(2) Eine endgültige Löschung erfolgt auf Weisung des Kontoinhabers in Textform, nach 30 Tagen Bedenkzeit, soweit keine Aufbewahrungs- oder Bereitstellungspflichten entgegenstehen. Backups werden nach Ablauf ihrer Aufbewahrung überschrieben.
(3) Die Verantwortung dafür, dass Batteriepässe nach der Verordnung verfügbar bleiben, trägt der Auftraggeber als Wirtschaftsakteur.
§ 12 Haftung und Schlussbestimmungen
(1) Es gelten die Haftungsregeln des Hauptvertrags. Art. 82 DSGVO bleibt unberührt.
(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist Essen, soweit zulässig.
(3) Der AVV wird mit der elektronischen Annahme bei der Registrierung geschlossen (Art. 28 Abs. 9 DSGVO).
Anlage 1: Unterauftragsverarbeiter
| Anbieter | Zweck | Ort |
|---|---|---|
| IONOS SE, Elgendorfer Str. 57, 56410 Montabaur | Hosting, Datenbank, E-Mail-Versand | Rechenzentren der IONOS SE; Standort auf Anfrage |
Anlage 2: Technische und organisatorische Maßnahmen
| Bereich | Maßnahme |
|---|---|
| Verschlüsselung | HTTPS für alle Verbindungen zum Browser. Passwörter als bcrypt-Hash. |
| Zugriff | Persönliche Konten, Rollen Administrator und Mitglied, Trennung der Daten je Firma in jeder Abfrage, Sperre nach 5 Fehlversuchen für 15 Minuten. |
| Integrität | Schutz der Formulare vor untergeschobenen Anfragen, Eingabeprüfung, Protokoll der Änderungen mit Person und Zeitpunkt. |
| Betriebszugang | SSH-Schlüssel für den Server. |
| Verfügbarkeit | Datenbank-Backups der letzten 7 Tage bei IONOS. |
| Belastbarkeit | Begrenzung neuer Konten und Kontaktanfragen je IP-Adresse. |
| Datenminimierung | Registrierung nur mit Firma, Name, E-Mail und Passwort. Keine Analyse- oder Werbedienste. |
| Noch nicht vorhanden | Zwei-Faktor-Anmeldung in der Software, externe Zertifizierung. |
Anlage 3: Weisungsberechtigte Personen
Auftraggeber: Kontoinhaber laut Registrierung. Weitere Personen benennt er in Textform.
Auftragnehmer: Marina Franz, Geschäftsführerin, info@batterypass2027.eu