meldeblitz
Pilot anfragen
Menü

Auftragsverarbeitung (AVV)

Fassung 2026-10-17-entwurf vom 17.10.2026 (Pilot, anwaltlich noch nicht geprüft), Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Betrieb, der sich auf meldeblitz.de registriert, mit den Angaben aus seinem Betriebsprofil („Auftraggeber", Verantwortlicher), und der Flowcraft Network GmbH, Großtalstraße 24, 79117 Freiburg im Breisgau, Amtsgericht Freiburg HRB 735711 („Auftragnehmer", Auftragsverarbeiter).

§ 1 Gegenstand und Dauer

  1. Der Auftragnehmer betreibt die Plattform Meldeblitz, mit der Installationsbetriebe Anmeldungen von Erzeugungsanlagen, Speichern, Wärmepumpen, Ladeeinrichtungen und Klimageräten bei Netzbetreibern vorbereiten. Dazu gehören die Web-Anwendung, das öffentliche Kundenformular und die Browser-Erweiterung.
  2. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber oder seine Endkunden in die Plattform eingeben.
  3. Der Vertrag gilt für die Dauer des Hauptvertrags nach den AGB. Er endet mit ihm, ohne dass es einer Kündigung bedarf. Pflichten zur Löschung und Rückgabe nach § 11 gelten darüber hinaus.

§ 2 Art, Zweck und Umfang der Verarbeitung

  1. Zweck: Erfassung, Prüfung und Speicherung der Daten, die für die Anmeldung einer Anlage beim Netzbetreiber nötig sind, sowie das Ausfüllen der Anmeldemaske im Browser des Auftraggebers.
  2. Art: Erheben über das Kundenformular, Speichern, Anzeigen, Ändern, Übertragen in den Browser des Auftraggebers, Löschen.
  3. Betroffene Personen: Endkunden des Auftraggebers (Anlagenbetreiber, Eigentümer, Anschlussnehmer) und Beschäftigte des Auftraggebers, die die Plattform nutzen.
  4. Daten: Stammdaten (Name, Anschrift, Kontaktdaten); Anlagendaten (Standort, Flurstück, Zählernummer, Marktlokation, technische Daten); Bankverbindung, nur wenn eine Vorlage des Auftraggebers sie ausdrücklich abfragt; Dokumente (Datenblätter, Lagepläne, Fotos, ausgefüllte Fragebögen); Nutzungsdaten der Beschäftigten (Name, E-Mail, Rolle, Anmeldezeitpunkte, Protokolle ohne Feldwerte).
  5. Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet. Der Auftraggeber wirkt darauf hin, dass Fotos keine Personen zeigen.
  6. Ort: Die Verarbeitung findet in der EU statt, das Hosting in Rechenzentren in Deutschland. Die Orte je Unterauftragsverarbeiter nennt Anlage 2. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in Textform und der Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Eigene Zwecke des Auftragnehmers

  1. Der Auftragnehmer verarbeitet die Daten nach § 2 nicht für eigene Zwecke.
  2. Ausgenommen sind Strukturdaten der Netzbetreiber-Portale (Beschriftungen, Feldnamen, Auswahloptionen, Zuordnungen zu Datenfeldern). Sie enthalten keine personenbezogenen Daten. Die Erweiterung filtert personenbezogene Daten vor dem Versand heraus. Der Auftragnehmer darf Strukturdaten allen Nutzern der Plattform bereitstellen. Wer eine Zuordnung bestätigt hat, wird anderen Betrieben nicht angezeigt.
  3. Für die Abrechnung zählt der Auftragnehmer Nutzungsereignisse (erstes Ausfüllen, Einreichen) ohne personenbezogene Daten der Endkunden.
  4. Zum Strukturwissen nach Abs. 2 gehören auch Regeln aus festen Bausteinen (sie nennen nur Datenfelder und Auswahloptionen, nie Werte), eigene Synonyme für Beschriftungen, Zähler, wie oft eine Zuordnung übernommen, korrigiert oder mit ihr eingereicht wurde, und Abdrücke von Portalseiten (Kennungen der sichtbaren Felder). Kundendaten gehören nie dazu. Nach einer bestätigten Einreichung darf der Auftragnehmer die dabei genutzten Zuordnungen des Auftraggebers ohne Bezug zum Auftraggeber allen Nutzern bereitstellen. Diese Kopien bleiben nach dem Ende des Vertrags bestehen; die Zähler des Auftraggebers werden mit seinem Betrieb gelöscht.

§ 4 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Auftraggeber in der Plattform vornimmt (zum Beispiel Löschfristen, Vorlagen, Freigaben).
  2. Weitere Weisungen erteilt der Auftraggeber in Textform.
  3. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
  4. Verpflichtungen nach dem Recht der Union oder eines Mitgliedstaats bleiben unberührt (Art. 28 Abs. 3 lit. a DSGVO).

§ 5 Vertraulichkeit

  1. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind.
  2. Die Plattform gibt dem Auftragnehmer keinen Support-Zugriff auf die Daten des Auftraggebers. Zugriff auf Server und Datenbank haben nur die mit dem Betrieb der Plattform betrauten Personen, ausschließlich für Wartung, Sicherung und Störungsbehebung.

§ 6 Technische und organisatorische Maßnahmen

  1. Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 (TOM) beschrieben sind.
  2. Die Daten verschiedener Auftraggeber werden in der Datenbank technisch getrennt. Ohne zugeordneten Betrieb liefert die Datenbank keine Daten.
  3. Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er.

§ 7 Unterauftragsverarbeiter

  1. Der Auftraggeber erteilt eine allgemeine Genehmigung für die in Anlage 2 (Unterauftragsverarbeiter) genannten Unterauftragsverarbeiter.
  2. Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragnehmer mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, darf er den Vertrag zum Zeitpunkt der Änderung kündigen.
  3. Der Auftragnehmer legt dem Unterauftragsverarbeiter dieselben Pflichten auf wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).

§ 8 Unterstützung bei Betroffenenrechten

  1. Der Auftragnehmer unterstützt den Auftraggeber mit technischen Mitteln bei Anfragen nach Art. 15 bis 22 DSGVO. Die Plattform bietet dazu einen Export je Vorgang (jedes Mitglied) und je Betrieb (Inhaber und Administration) sowie das Löschen von Vorgängen. Der Export ist eine ZIP-Datei mit allen Datensätzen als JSON und den Dokumenten im Original samt Prüfsumme, ohne Passwörter, Schlüssel und Token. Jeder Export steht im Verlauf.
  2. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter. Er beantwortet sie nicht selbst.

§ 9 Meldung von Verletzungen

  1. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.
  2. Er unterstützt den Auftraggeber bei der Meldung an die Aufsichtsbehörde, bei der Benachrichtigung Betroffener und bei einer Datenschutz-Folgenabschätzung.
  3. Meldeweg des Auftragnehmers: kontakt@flowcraft.network, Betreff „Sicherheit".

§ 10 Nachweise und Kontrollen

  1. Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Vorlage der TOM, von Prüfberichten und Testergebnissen.
  2. Der Auftraggeber darf nach Anmeldung, in der Regel 14 Tage vorher, während der Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Daten anderer Auftraggeber bleiben dabei geschützt.

§ 11 Löschung und Rückgabe nach Vertragsende

  1. Nach Ende des Vertrags kann der Auftraggeber innerhalb von 30 Tagen einen vollständigen Export seiner Daten abrufen. Der Inhaber kann die Löschung des Betriebs auch selbst in der Plattform beantragen, mit seinem Passwort und dem Namen des Betriebs. Ab dem Antrag ist der Zugriff gesperrt, auch für die Browser-Erweiterung und für Kundenlinks; möglich bleiben nur Export und Widerruf.
  2. Nach 30 Tagen löscht der Auftragnehmer alle Daten des Auftraggebers, zuerst die Dateien, dann die Datensätze. Ab Beginn dieser Löschung ist kein Widerruf mehr möglich. Nutzungsereignisse bleiben für gesetzliche Aufbewahrungspflichten 10 Jahre erhalten (§ 147 AO, § 257 HGB), pseudonymisiert und ohne Bezug zum Betrieb oder zu Vorgängen. Konten der Mitglieder, die zu keinem weiteren Betrieb gehören, werden mitgelöscht. Im Protokoll der Plattform-Administration bleiben Einträge zum Betrieb ohne Bezug zum Betrieb und ohne Anmeldenamen 12 Monate erhalten.
  3. In Sicherungen bleiben Daten bis zum Ablauf der Rotation von 30 Tagen erhalten und werden dann überschrieben. Bis dahin sind sie nicht im Zugriff der Plattform.
  4. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

§ 12 Löschfristen während der Laufzeit

Der Auftraggeber kann für die ersten drei Fristen kürzere einstellen, mindestens 10 Tage, längere nicht.

§ 13 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO. Im Übrigen gelten die Regelungen der AGB.

§ 14 Schlussbestimmungen

  1. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
  2. Änderungen bedürfen der Textform. Die Annahme einer neuen Fassung in der Plattform genügt. Bis der Inhaber eine neue Fassung annimmt, lassen sich in der Web-Anwendung Daten lesen, aber nicht speichern; die Browser-Erweiterung füllt weiter.
  3. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.
  4. Es gilt deutsches Recht. Gerichtsstand ist Freiburg im Breisgau.

Anlagen

  1. Technische und organisatorische Maßnahmen
  2. Unterauftragsverarbeiter