Auftragsverarbeitungsvertrag

Batterypass – Smartweb GmbH

Stand: November 2026, Fassung 5. Verbindlich ist die deutsche Fassung.

Vertragsparteien

Auftragnehmer: Smartweb GmbH, Richterstr. 14–16, 45143 Essen, vertreten durch die Geschäftsführerin Marina Franz. Kontakt: info@digitalbatterypass.eu

Auftraggeber: Die Firma, der Name des Kontoinhabers und seine E-Mail-Adresse werden aus der Registrierung übernommen.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Bereitstellung der Software Batterypass zur Erstellung, Verwaltung und Veröffentlichung digitaler Batteriepässe nach der Verordnung (EU) 2023/1542, einschließlich Konto- und Teamverwaltung, REST-API, Ablage von Nachweisen, Messwerten und Lieferantenportal.

(2) Der AVV gilt für die Laufzeit des Hauptvertrags. Bei Widersprüchen geht dieser AVV in Datenschutzfragen vor.

§ 2 Art und Zweck, Ort der Verarbeitung

(1) Die Verarbeitung dient ausschließlich der Vertragserfüllung und erfolgt nach dokumentierter Weisung des Auftraggebers, nicht für eigene Zwecke des Auftragnehmers.

(2) Die Verarbeitung erfolgt bei dem in Anlage 1 genannten Unterauftragsverarbeiter. Eine Übermittlung in Drittländer ist nicht vorgesehen. Reicht der Auftraggeber Pässe beim DPP-Register der EU-Kommission ein oder bindet er einen eigenen Anmeldedienst an, übermittelt die Software die dafür nötigen Daten auf seine Weisung an diese Stellen. Sie sind keine Unterauftragsverarbeiter von Smartweb.

§ 3 Daten und betroffene Personen

(1) Daten: Name und E-Mail-Adresse der Teammitglieder, Rolle, verschlüsselt gespeicherte Passwörter (Hash), Sitzungsdaten, Firmenname, Protokolle der Änderungen mit Person oder API-Schlüssel und Zeitpunkt, fehlgeschlagene Anmeldeversuche mit IP-Adresse, Bezeichnung und Hash der API-Schlüssel, zwischengespeicherte Antworten der REST-API, Protokoll der API-Aufrufe, Name und E-Mail-Adresse von Lieferanten und deren gelieferte Angaben, hochgeladene Nachweise, Messwerte, Name, Firma, E-Mail-Adresse, IP-Adresse und Zweck von Personen, die Zugang zu gesperrten Passdaten beantragen, deren Abrufe, verschlüsselte Geheimnisse für Zwei-Faktor-Anmeldung, Firmen-Anmeldung und Register sowie personenbezogene Angaben, die der Auftraggeber in Eingabefelder einträgt.

(2) Betroffene: Beschäftigte des Auftraggebers, Ansprechpartner seiner Lieferanten und Personen, die er in Eingabefeldern oder Nachweisen nennt.

(3) Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen.

§ 4 Rechte und Pflichten des Auftraggebers, Weisungen

(1) Für die Zulässigkeit der Verarbeitung und die Rechte betroffener Personen ist der Auftraggeber verantwortlich.

(2) Weisungen erfolgen in Textform an info@digitalbatterypass.eu. Weisungsberechtigt sind die Personen aus Anlage 3.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Bestätigung aussetzen.

§ 5 Meldepflichten

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Adresse des Kontoinhabers, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Er unterstützt angemessen bei den Pflichten nach Art. 33 und 34 DSGVO.

§ 6 Unterstützung

(1) Berichtigungen nimmt der Auftraggeber in der Software vor. Teammitglieder entfernt er in der Teamverwaltung. Pass-Listen kann er als CSV exportieren oder über die REST-API abrufen.

(2) Weitere Auskünfte und Löschungen, die in der Software nicht möglich sind, führt der Auftragnehmer auf Anforderung in Textform durch.

(3) Anfragen betroffener Personen an den Auftragnehmer leitet er unverzüglich weiter.

(4) Bei Art. 32, 35 und 36 DSGVO unterstützt er auf Anfrage angemessen.

§ 7 Technische und organisatorische Maßnahmen

Es gelten die Maßnahmen aus Anlage 2. Sie dürfen an den Stand der Technik angepasst werden, sofern das Schutzniveau nicht sinkt.

§ 8 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter.

(2) Änderungen kündigt der Auftragnehmer mindestens 14 Kalendertage vorher an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ohne Einigung steht ihm ein Sonderkündigungsrecht zu.

(3) Unterauftragsverarbeiter werden vertraglich auf gleichwertige Pflichten verpflichtet.

§ 9 Kontrollrechte

Der Auftragnehmer weist die Einhaltung in erster Linie durch geeignete Unterlagen nach. Prüfungen vor Ort sind mit mindestens 14 Tagen Vorankündigung, zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal im Kalenderjahr möglich, außer bei konkretem Anlass.

§ 10 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen werden schriftlich zur Vertraulichkeit verpflichtet, auch über das Ende ihrer Tätigkeit hinaus.

§ 11 Löschung und Rückgabe

(1) Die Kündigung löscht keine Daten. Das Konto wird auf das Paket Pilot zurückgestuft, die Pässe bleiben erreichbar.

(2) Eine endgültige Löschung erfolgt auf Weisung des Kontoinhabers in Textform, nach 30 Tagen Bedenkzeit, soweit keine Aufbewahrungs- oder Bereitstellungspflichten entgegenstehen. Backups werden nach Ablauf ihrer Aufbewahrung überschrieben.

(3) Die Verantwortung dafür, dass Batteriepässe nach der Verordnung verfügbar bleiben, trägt der Auftraggeber als Wirtschaftsakteur.

§ 12 Haftung und Schlussbestimmungen

(1) Es gelten die Haftungsregeln des Hauptvertrags. Art. 82 DSGVO bleibt unberührt.

(2) Änderungen bedürfen der Textform. Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist Essen, soweit zulässig.

(3) Der AVV wird mit der elektronischen Annahme bei der Registrierung geschlossen (Art. 28 Abs. 9 DSGVO).

Anlage 1: Unterauftragsverarbeiter

Anlage 2: Technische und organisatorische Maßnahmen

Anlage 3: Weisungsberechtigte Personen

Auftraggeber: Kontoinhaber laut Registrierung. Weitere Personen benennt er in Textform.

Auftragnehmer: Marina Franz, Geschäftsführerin, info@digitalbatterypass.eu