Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO

⚠️ HINWEIS: Dies ist eine technische Vorlage / Entwurf. Vor produktivem Einsatz muss ein auf IT- und Datenschutzrecht spezialisierter Anwalt diese Vorlage prüfen, anpassen und freigeben.

Zwischen

Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO):

Name / Firma: _______________________________________________
Adresse: _______________________________________________
Vertreten durch: _______________________________________________
(nachfolgend: "Auftraggeber")

und

Auftragnehmer (Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO):

Name / Firma: Alexander Niemeyer / [Firmenname SanPilot]
Adresse: _______________________________________________
(nachfolgend: "Auftragnehmer")

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der Software SanPilot (webbasierte Plattform zur Erstellung individueller Sanierungsfahrpläne nach DIN V 18599 / iSFP).

(2) Die Verarbeitung dient der Erfassung, Berechnung und Dokumentation von Energieberatungsdaten für Gebäude und Eigentümer zum Zweck der Erstellung von Sanierungsfahrplänen (iSFP) gemäß BAFA-Richtlinie EBW.

(3) Dieser AVV tritt mit Unterzeichnung in Kraft und gilt für die Dauer des Hauptvertrags (SanPilot Nutzungsvertrag).

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

Speicherung von Gebäude- und Eigentümerdaten (Name, Adresse, Kontaktdaten)
Speicherung von Energieverbrauchsdaten und Gebäudeparametern
Speicherung von Fotos des Gebäudes (Fassaden, Bauteile)
Erstellung von KI-generierten Berichtstexten (Anthropic Claude API)
Ausgabe von berechneten Energiekennwerten und iSFP-Dokumenten

Kategorien betroffener Personen: Gebäudeeigentümer, Bewohner (sofern aus Verbrauchsdaten ableitbar).

Kategorien personenbezogener Daten:

Stammdaten: Name, Anschrift, E-Mail, Telefon des Eigentümers
Gebäudedaten (Adresse, Baujahr, Flächen, U-Werte)
Energieverbrauchsdaten (Gas, Strom, Öl je Jahr)
Gebäudefotos (ggf. mit Personen im Hintergrund)
Beraterhonorare und BAFA-Vorgangsnummern

§ 3 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft folgende technische und organisatorische Maßnahmen zum Schutz der Daten:

Vertraulichkeit:

Verschlüsselte Datenbankverbindungen (TLS 1.3)
Passwort-Hashing (bcrypt), keine Klartextpasswörter
HTTPS für alle Zugriffe (Let's Encrypt / Traefik)
Serverzugang nur via SSH-Key, kein Root-Login

Integrität:

Transaktionale Datenbankoperationen (PostgreSQL 16)
Backup: täglich (verschlüsselt, lokaler Server Deutschland)
Audit-Log für Datenänderungen (signatures-Tabelle)

Verfügbarkeit:

Server: Geekom-Server, Standort Deutschland (eigene Infrastruktur)
Docker-basierte Redundanz; Wiederherstellungszeit < 4 h
MinIO-Objektspeicher für Fotos (lokaler Server Deutschland)

Datenschutz durch Technikgestaltung:

Datensparsamkeit: Nur für iSFP notwendige Daten werden gespeichert
Löschkonzept: Automatische Löschung nach 10 Jahren (BAFA-Aufbewahrungspflicht)
EXIF-GPS-Daten werden aus Fotos entfernt

§ 4 Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO)

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:

| Unterauftragsverarbeiter | Sitz | Zweck | Datenkategorie |
|---|---|---|---|
| Anthropic, PBC | USA / EU (Regional Processing) | KI-Berichtstexte (Claude API) | Gebäudedaten, Energiekennwerte (keine Eigentümerstammdaten) |
| [AWS / Hetzner / Eigenserver] | Deutschland | Hosting, Datenbankbetrieb | Alle |

Hinweis Anthropic Claude API: Es werden keine Eigentümer-Stammdaten (Name, Adresse) an die Claude API übermittelt. Ausschließlich technische Gebäudeparameter und Berechnungsergebnisse fließen in die Prompt-Generierung ein. Anthropic verarbeitet API-Daten nicht für das Training (API Terms, Stand 2026-04).

Der Auftragnehmer informiert den Auftraggeber vor jedem Wechsel oder jeder Hinzuziehung eines weiteren Unterauftragsverarbeiters. Der Auftraggeber kann Einwände erheben.

§ 5 Weisungsrecht des Auftraggebers

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Unionsrecht oder das Recht der Mitgliedstaaten dazu verpflichtet.

(2) Weisungen sind in Textform (E-Mail genügt) zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

§ 6 Vertraulichkeit der Verarbeitung (Art. 28 Abs. 3 lit. b DSGVO)

Der Auftragnehmer stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind.

§ 7 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, Kontrollen — auch Vor-Ort-Kontrollen — durch den Auftraggeber oder einen vom Auftraggeber beauftragten Prüfer durchzuführen oder durchführen zu lassen.

(2) Der Auftragnehmer unterstützt den Auftraggeber angemessen bei der Erfüllung der in Art. 32–36 DSGVO genannten Pflichten.

§ 8 Löschung und Rückgabe von Daten (Art. 28 Abs. 3 lit. g DSGVO)

(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie an den Auftraggeber zurück, sofern keine unionsrechtliche oder mitgliedstaatliche Pflicht zur Speicherung besteht.

(2) iSFP-Dokumente unterliegen der 10-jährigen BAFA-Aufbewahrungspflicht. Nach deren Ablauf erfolgt automatische Löschung.

(3) Der Auftraggeber kann vor Vertragsende einen vollständigen Datenexport (JSON/PDF) anfordern.

§ 9 Meldung von Datenpannen (Art. 33 DSGVO)

Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten dem Auftraggeber unverzüglich, spätestens aber innerhalb von 24 Stunden nach Bekanntwerden.

§ 10 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des übrigen Vertrags unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand: _______________

Ort, Datum: _______________________

Auftraggeber: _______________________

Auftragnehmer (SanPilot): _______________________