Vertrag über die Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Anlage 3 zu den Allgemeinen Geschäftsbedingungen von Amondin · Stand: 27.10.2026

§ 1 Parteien und Einbeziehung

(1)Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Amondin – Inhaber Liam Pardemann, Marckmannstraße 157, 20539 Hamburg, E-Mail: info@amondin.de als Auftragsverarbeiter (nachfolgend „Amondin“).

(2)Er wird nach § 8 Abs. 2 der AGB Vertragsbestandteil, sobald der Auftraggeber Amondin personenbezogene Daten zur Verarbeitung in seinem Auftrag übermittelt. Er gilt für die Dauer der Verarbeitung und endet mit der Löschung oder Rückgabe der Daten nach § 10.

(3)Im Verhältnis zu den AGB gehen die Regelungen dieses Vertrags in Fragen des Datenschutzes vor.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1)Amondin verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zur Erbringung der vereinbarten Leistungen der Bereitstellung und der Beratung. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und die Datenkategorien ergeben sich aus Anlage A.

(2)Die Verarbeitung erfolgt in der Europäischen Union oder im Europäischen Wirtschaftsraum. Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere bei Unterauftragsverarbeitern nach Anlage C.

§ 3 Weisungen

(1)Amondin verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, Amondin ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt Amondin dem Auftraggeber die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2)Die Weisungen ergeben sich aus diesem Vertrag, den AGB und dem jeweiligen Auftrag. Weitere Weisungen erteilt der Auftraggeber in Textform.

(3)Ist Amondin der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert Amondin den Auftraggeber unverzüglich. Amondin kann die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Pflichten des Auftraggebers

(1)Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Übermittlung an Amondin und die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.

(2)Der Auftraggeber übermittelt nur die Daten, die für die jeweilige Leistung erforderlich sind. Wo dies möglich ist, übermittelt er Daten ohne Personenbezug, etwa Wohnungsnummern statt Namen.

§ 5 Vertraulichkeit

(1)Amondin verarbeitet die Daten selbst. Setzt Amondin weitere Personen ein, verpflichtet Amondin diese vor Beginn ihrer Tätigkeit zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 6 Sicherheit der Verarbeitung

(1)Amondin trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage B beschrieben sind. Amondin darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragsverarbeiter

(1)Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage C aufgeführt und gelten als genehmigt.

(2)Amondin informiert den Auftraggeber in Textform mindestens 14 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien die betroffene Leistung beenden.

(3)Amondin verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

§ 8 Unterstützung des Auftraggebers

(1)Amondin unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person direkt an Amondin, leitet Amondin die Anfrage unverzüglich an den Auftraggeber weiter.

(2)Amondin unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der Amondin zur Verfügung stehenden Informationen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

(1)Amondin meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 10 Löschung und Rückgabe

(1)Nach Ende der Zusammenarbeit löscht Amondin die im Auftrag verarbeiteten Daten einschließlich des Projektordners nach § 8 Abs. 4 der AGB. Amondin kündigt die Löschung in Textform an. Der Auftraggeber ist dafür verantwortlich, Daten, die er weiter benötigt, vor der Löschung aus dem Projektordner zu sichern; damit gelten sie als zurückgegeben.

(2)Amondin bestätigt die Löschung auf Verlangen in Textform. Daten, die Amondin aufgrund gesetzlicher Pflichten aufbewahren muss, werden bis zum Ablauf der Pflicht gesperrt und danach gelöscht.

§ 11 Nachweise und Kontrollen

(1)Amondin stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.

(2)Der Auftraggeber kann Überprüfungen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Überprüfungen sind mindestens 14 Tage vorher anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb von Amondin nicht unverhältnismäßig stören. Vorrangig erfolgen sie durch Auskünfte und Unterlagen.

§ 12 Haftung

(1)Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt § 10 der AGB.

§ 13 Schlussbestimmungen

(1)Änderungen dieses Vertrags bedürfen der Textform. Änderungen von Anlage C erfolgen nach § 7 Abs. 2.

(2)Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage A – Gegenstand der Verarbeitung

Zwecke und Arten der Verarbeitung

Erstellung von Wirtschaftlichkeitsberichten und -analysen auf Grundlage von Teilnehmer- und Verbrauchsdaten;
Erstellung von Messkonzepten mit Zuordnung von Zählern und Lokationen;
Führen und Auswerten von Teilnehmer- bzw. Abnehmerlisten;
Befüllung von Musterverträgen mit Vertragsdaten;
Erstellung von Stromabrechnungen aus Mess- und Vertragsdaten;
Prozessentwicklung für Abrechnung, Mahnwesen und Zahlungsmanagement anhand von Beispieldaten;
Ablage im Projektordner, Übermittlung per E-Mail, Besprechung in Terminen einschließlich Aufzeichnung nach § 8 Abs. 3 der AGB;
Kontaktaufnahme mit Mietern oder Abnehmern ausschließlich nach § 5 Abs. 4 der AGB.

Kategorien betroffener Personen

Mieter und Bewohner;
Wohnungseigentümer;
Abnehmer im Energy Sharing;
Ansprechpartner bei Netzbetreibern, Messstellenbetreibern, Installateuren und sonstigen Projektbeteiligten;
Beschäftigte und Beauftragte des Auftraggebers.

Datenkategorien

Namen und Anschriften, Wohnungs- oder Objektbezeichnungen;
Kontaktdaten (E-Mail-Adresse, Telefonnummer);
Zählernummern, Marktlokations- und Messlokations-Identifikationsnummern;
Zählerstände, Verbrauchs- und Messwerte einschließlich Lastgängen;
Vertragsdaten (Tarife, Preise, Laufzeiten, Abschläge);
Abrechnungs- und Zahlungsdaten einschließlich Bankverbindung, soweit für Abrechnung und Zahlungsmanagement erforderlich;
Korrespondenz mit Projektbeteiligten.

Anlage B – Technische und organisatorische Maßnahmen

Zutrittskontrolle: Verarbeitung an einem abschließbaren Arbeitsplatz im Homeoffice. Endgeräte werden nicht unbeaufsichtigt an öffentlichen Orten zurückgelassen.
Zugangskontrolle: Anmeldung an allen Endgeräten mit Passwort oder biometrischem Merkmal; automatische Bildschirmsperre; Zwei-Faktor-Authentifizierung für das Google-Workspace-Konto.
Zugriffskontrolle: Zugriff auf einen Projektordner haben ausschließlich Amondin und die vom Auftraggeber benannten Personen. Ordner verschiedener Auftraggeber sind getrennt.
Weitergabekontrolle: Übertragung per verschlüsselter Verbindung (TLS) für E-Mail, Projektordner und Videokonferenzen. Keine Speicherung auf mobilen Datenträgern.
Eingabekontrolle: Nachvollziehbarkeit von Änderungen im Projektordner über den Versionsverlauf.
Trennungskontrolle: Getrennte Projektordner je Auftraggeber und Projekt. Daten werden nicht für andere Zwecke oder Projekte verwendet.
Verfügbarkeit: Speicherung in der Cloud-Infrastruktur des Unterauftragsverarbeiters mit dessen Redundanz- und Sicherungsmechanismen; regelmäßige Sicherheitsupdates der Endgeräte.
Pseudonymisierung und Minimierung: Wo möglich Verarbeitung ohne Namen, etwa mit Wohnungsnummern. Aufzeichnungen von Terminen werden nach Erstellung der Zusammenfassung gelöscht.
Löschung: Löschung nach § 10 dieses Vertrags und § 8 Abs. 4 der AGB; dokumentierte Ankündigung per E-Mail.
Überprüfung: Überprüfung der Maßnahmen mindestens einmal jährlich und bei Änderungen der eingesetzten Dienste.

Anlage C – Unterauftragsverarbeiter

Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland – Google Workspace (E-Mail, Projektordner, Videokonferenz, Aufzeichnung und KI-gestützte Zusammenfassung). Verarbeitung überwiegend in der EU; Übermittlung in die USA möglich auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln.

Zurück zur Startseite

Data Processing Agreement

pursuant to Art. 28 General Data Protection Regulation (GDPR)

Annex 3 to Amondin’s General Terms and Conditions · Version: 27 October 2026

The German version of this agreement is legally binding. This English translation is provided for information only.

§ 1 Parties and incorporation

(1)This agreement applies between the customer as controller (hereinafter “client”) and Amondin – Inhaber Liam Pardemann, Marckmannstraße 157, 20539 Hamburg, Germany, email: info@amondin.de as processor (hereinafter “Amondin”).

(2)Under § 8(2) of the terms and conditions, it becomes part of the contract as soon as the client transmits personal data to Amondin for processing on its behalf. It applies for the duration of the processing and ends with the deletion or return of the data under § 10.

(3)In relation to the terms and conditions, the provisions of this agreement take precedence in matters of data protection.

§ 2 Subject matter, nature and purpose of processing

(1)Amondin processes personal data on behalf of the client exclusively to provide the agreed Bereitstellung and Beratung services. The subject matter, nature and purpose of processing, the categories of data subjects and the categories of data are set out in Annex A.

(2)Processing takes place in the European Union or the European Economic Area. Data are transferred to third countries only if the requirements of Art. 44 et seq. GDPR are met, in particular for sub-processors under Annex C.

§ 3 Instructions

(1)Amondin processes the data only on documented instructions from the client, unless Amondin is required to process them by Union or Member State law. In that case, Amondin informs the client of the legal requirement before processing, unless that law prohibits this.

(2)The instructions arise from this agreement, the terms and conditions and the respective order. The client issues further instructions in text form.

(3)If Amondin considers that an instruction infringes data protection provisions, Amondin informs the client without undue delay. Amondin may suspend the execution of the instruction until the client confirms or amends it.

§ 4 Obligations of the client

(1)The client is responsible for the lawfulness of the processing, in particular for the legal basis of the transmission to Amondin and for informing the data subjects under Art. 13 and 14 GDPR.

(2)The client transmits only the data required for the respective service. Where possible, the client transmits data without personal reference, for example apartment numbers instead of names.

§ 5 Confidentiality

(1)Amondin processes the data itself. If Amondin engages other persons, Amondin commits them to confidentiality before they begin their work, unless they are subject to a statutory obligation of confidentiality.

§ 6 Security of processing

(1)Amondin implements the technical and organisational measures under Art. 32 GDPR described in Annex B. Amondin may adapt the measures to technical progress provided the level of protection is not reduced.

§ 7 Sub-processors

(1)The client grants general authorisation for the engagement of sub-processors. The sub-processors engaged at the time the contract is concluded are listed in Annex C and are deemed approved.

(2)Amondin informs the client in text form at least 14 days before engaging a new sub-processor or replacing one. Within this period, the client may object for an important reason under data protection law. If no agreement is reached, either party may terminate the service concerned.

(3)Amondin contractually binds sub-processors to data protection obligations corresponding to those of this agreement.

§ 8 Assistance to the client

(1)Amondin assists the client, within reasonable limits, in responding to requests from data subjects under Art. 12 to 23 GDPR. If a data subject contacts Amondin directly, Amondin forwards the request to the client without undue delay.

(2)Amondin assists the client in complying with the obligations under Art. 32 to 36 GDPR, taking into account the nature of processing and the information available to Amondin.

§ 9 Personal data breaches

(1)Amondin notifies the client of a personal data breach without undue delay, at the latest within 48 hours of becoming aware of it, in text form. The notification contains, as far as known, the information under Art. 33(3) GDPR.

§ 10 Deletion and return

(1)After the end of the cooperation, Amondin deletes the data processed on behalf of the client, including the project folder, under § 8(4) of the terms and conditions. Amondin announces the deletion in text form. The client is responsible for backing up data it still needs from the project folder before deletion; these data are thereby deemed returned.

(2)Amondin confirms the deletion in text form on request. Data that Amondin must retain due to statutory obligations are blocked until the obligation expires and then deleted.

§ 11 Evidence and audits

(1)On request, Amondin provides the client with the information necessary to demonstrate compliance with this agreement.

(2)The client may carry out audits itself or through an auditor bound to confidentiality. Audits must be announced at least 14 days in advance, take place during normal business hours and must not disproportionately disrupt Amondin’s operations. They are primarily carried out by means of information and documents.

§ 12 Liability

(1)Art. 82 GDPR applies to liability towards data subjects. Between the parties, § 10 of the terms and conditions applies.

§ 13 Final provisions

(1)Amendments to this agreement require text form. Annex C is amended in accordance with § 7(2).

(2)Otherwise, the final provisions of the terms and conditions apply.

Annex A – Subject matter of processing

Purposes and types of processing

preparation of profitability reports and analyses based on participant and consumption data;
preparation of metering concepts including assignment of meters and locations;
maintaining and evaluating lists of participants or customers;
completion of model contracts with contract data;
preparation of electricity bills from metering and contract data;
process development for billing, dunning and payment management using sample data;
storage in the project folder, transmission by email, discussion in appointments including recording under § 8(3) of the terms and conditions;
contacting tenants or customers exclusively under § 5(4) of the terms and conditions.

Categories of data subjects

tenants and residents;
apartment owners;
customers in Energy Sharing;
contact persons at grid operators, metering point operators, installers and other project participants;
employees and representatives of the client.

Categories of data

names and addresses, apartment or property designations;
contact data (email address, telephone number);
meter numbers, market location and metering location identification numbers;
meter readings, consumption and metering values including load profiles;
contract data (tariffs, prices, terms, instalments);
billing and payment data including bank details, insofar as required for billing and payment management;
correspondence with project participants.

Annex B – Technical and organisational measures

Physical access control: Processing at a lockable workstation in a home office. End devices are not left unattended in public places.
System access control: Login on all end devices with a password or biometric feature; automatic screen lock; two-factor authentication for the Google Workspace account.
Data access control: Only Amondin and the persons named by the client have access to a project folder. Folders of different clients are kept separate.
Transfer control: Transmission via encrypted connection (TLS) for email, project folders and video conferences. No storage on mobile data carriers.
Input control: Traceability of changes in the project folder via the version history.
Separation control: Separate project folders for each client and project. Data are not used for other purposes or projects.
Availability: Storage in the sub-processor’s cloud infrastructure with its redundancy and backup mechanisms; regular security updates of end devices.
Pseudonymisation and minimisation: Where possible, processing without names, for example with apartment numbers. Recordings of appointments are deleted after the summary has been prepared.
Deletion: Deletion under § 10 of this agreement and § 8(4) of the terms and conditions; documented announcement by email.
Review: Review of the measures at least once a year and when the services used change.

Annex C – Sub-processors

Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Ireland – Google Workspace (email, project folder, video conferencing, recording and AI-assisted summarisation). Processing mainly in the EU; transfer to the USA possible on the basis of the EU-US Data Privacy Framework or the EU standard contractual clauses.

Back to the home page