Auftragsverarbeitungsvertrag

Shelly Fleet Manager und Shelly Business Manager – Auftragsverarbeitungsvertrag zwischen dem Kunden (Verantwortlicher) und der Shelly Europe Ltd. (Auftragsverarbeiter) gemäß Art. 28 DSGVO und der UK-DSGVO.

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem in den Allgemeinen Geschäftsbedingungen von Shelly Fleet Manager definierten Kunden (der „Kunde“, Verantwortlicher) und der Shelly Europe Ltd., UIC 202320104, 103 Cherni Vrah Blvd., 1407 Sofia, Bulgaria („Shelly“, Auftragsverarbeiter). Er ist fester Bestandteil des Servicevertrags und der Allgemeinen Geschäftsbedingungen (AGB, Abschnitte 3.2 und 9.1).

Er gilt für alle personenbezogenen Daten, die Shelly im Auftrag des Kunden bei der Bereitstellung von Shelly Fleet Manager (Webplattform, App Fleet Manager Assistant (FMA), APIs) und Shelly Business Manager (dem Portal, in dem Installateure gebrandete Portale für ihre Kunden gestalten, bereitstellen und betreiben, die jeweils auf einem eigenen Fleet-Manager-Mandanten laufen), zusammen der „Dienst“, verarbeitet („personenbezogene Daten des Kunden“). Anhang I beschreibt die Verarbeitung.

Installateure, die Portale für ihre eigenen Kunden betreiben. Nutzt der Kunde den Dienst, um Leistungen für seine eigenen Kunden zu erbringen (zum Beispiel ein Installateur, der ein Business-Manager-Portal für einen Gebäudeeigentümer betreibt), kann der Kunde selbst Auftragsverarbeiter dieser Kunden sein. In diesem Fall handelt Shelly im Rahmen dieses AVV als Unterauftragsverarbeiter des Kunden, und der Kunde ist dafür verantwortlich, mit seinen Kunden eine Vereinbarung zu haben, die den Einsatz von Shelly und seinen Unterauftragsverarbeitern gestattet.

Er gilt nicht für Daten, für die Shelly selbst Verantwortlicher ist: Konto- und Abrechnungsverwaltung, Support, die Website, Marketing sowie die Kontaktaufnahme mit registrierten Nutzern, um deren Probleme zu verstehen und den Dienst zu verbessern. Für diese Zwecke verwendet Shelly als eigenständiger Verantwortlicher den Namen und die Registrierungs-E-Mail-Adresse der Personen, die sich für den Dienst registriert haben, wie in der Datenschutzerklärung beschrieben. Shelly kann alle Personen, die ein Konto im Dienst haben – Fleet-Manager-Kunden und deren Nutzer, Nutzer von Business-Manager-Portalen (Installateure) sowie die Nutzer, die Installateure für ihre eigenen Kunden anlegen –, unter der für die Registrierung verwendeten E-Mail-Adresse kontaktieren, um zu verstehen, wie sie den Dienst nutzen, nach ihren Problemen zu fragen, sie zu kurzen Feedback-Gesprächen oder Umfragen einzuladen und die Dienste von Shelly zu verbessern. Diese Nachrichten sind keine Werbung, und jede Nachricht enthält eine einfache Möglichkeit, weitere Kontaktaufnahmen abzulehnen. Die Ablehnung wirkt sich nicht auf das Konto aus; wesentliche Servicemitteilungen (Sicherheit, Abrechnung, Änderungen der Bedingungen) werden weiterhin versandt.

2. Weisungen

1. Shelly verarbeitet personenbezogene Daten des Kunden ausschließlich auf dokumentierte Weisung des Kunden. Die AGB, dieser AVV sowie die Konfiguration und Nutzung des Dienstes durch den Kunden (zum Beispiel das Hinzufügen von Geräten, Nutzern, Standorten, Warnmeldungskanälen und Integrationen) sind die Weisungen des Kunden.
2. Shelly informiert den Kunden unverzüglich, wenn Shelly der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstiges Datenschutzrecht verstößt.
3. Ist Shelly nach dem Recht der EU oder eines Mitgliedstaats zu einer anderen Verarbeitung der Daten verpflichtet, informiert Shelly den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.

3. Vertraulichkeit

Shelly stellt sicher, dass alle Personen, die zur Verarbeitung personenbezogener Daten des Kunden befugt sind, vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind und nur Zugriff haben, soweit dies für den Betrieb, den Support oder die Sicherung des Dienstes erforderlich ist.

4. Sicherheit

Shelly setzt die technischen und organisatorischen Maßnahmen gemäß Anhang II um und hält sie dem Risiko angemessen (Art. 32 DSGVO). Shelly darf die Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

1. Der Kunde erteilt Shelly eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die aktuelle Liste befindet sich in Anhang III.
2. Shelly informiert den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung mindestens 30 Tage im Voraus per E-Mail an den Kontoadministrator und/oder auf fleet.shelly.com. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen; können sich die Parteien nicht einigen, kann der Kunde den betroffenen Dienst ohne Vertragsstrafe kündigen.
3. Shelly erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die diesem AVV gleichwertig sind, und haftet gegenüber dem Kunden weiterhin für seine Unterauftragsverarbeiter.
4. Integrationen und Benachrichtigungskanäle, die der Kunde anbindet, sind keine Unterauftragsverarbeiter von Shelly: Slack, Microsoft Teams, Telegram, Twilio (SMS), der eigene SMTP-Server oder das Gmail- / Microsoft-365-Konto des Kunden, Amazon Alexa und benutzerdefinierte Webhooks. Diese werden vom Kunden konfiguriert und ausgewählt; dorthin gesendete Daten sind eine Übermittlung auf Weisung des Kunden, keine Unterauftragsverarbeitung durch Shelly.

6. Internationale Übermittlungen

Personenbezogene Daten des Kunden werden in der Europäischen Union gehostet. Verarbeitet ein Unterauftragsverarbeiter Daten außerhalb des EWR, stellt Shelly einen gültigen Übermittlungsmechanismus sicher: einen Angemessenheitsbeschluss (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) oder die EU-Standardvertragsklauseln (Beschluss der Kommission 2021/914), erforderlichenfalls mit ergänzenden Maßnahmen. Anhang III nennt die Garantie für jeden Unterauftragsverarbeiter.

7. Unterstützung des Kunden

1. Anfragen betroffener Personen. Shelly unterstützt den Kunden bei der Beantwortung von Anfragen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) mithilfe der Funktionen des Dienstes – Nutzerverwaltung, Löschung von Geräten und Standorten, CSV- und Berichtsexporte, Audit-Export – und, wenn diese nicht ausreichen, auf Anfrage innerhalb von 10 Arbeitstagen. Direkt an Shelly gerichtete Anfragen werden an den Kunden weitergeleitet, ohne sie zu beantworten.
2. DSFA und Konsultationen. Shelly stellt die Informationen bereit, die der Kunde für seine eigene Datenschutz-Folgenabschätzung (DSFA) vernünftigerweise benötigt, zum Beispiel diesen AVV, seine Anhänge und die DSFA-Zusammenfassung von Shelly.
3. Sicherheits- und Meldepflichten. Shelly unterstützt bei den Pflichten nach Art. 32–36 DSGVO wie in diesem AVV beschrieben.

8. Verletzungen des Schutzes personenbezogener Daten

1. Shelly benachrichtigt den Kunden unverzüglich, in jedem Fall innerhalb von 48 Stunden, nachdem Shelly eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Daten des Kunden betrifft.
2. Die Benachrichtigung enthält, soweit bekannt: den Hergang, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Die Informationen können schrittweise bereitgestellt werden.
3. Shelly benachrichtigt Aufsichtsbehörden oder betroffene Personen über personenbezogene Daten des Kunden nicht im Namen des Kunden, es sei denn, der Kunde verlangt dies.

9. Vertragsende

Während der Vertragslaufzeit werden personenbezogene Daten des Kunden so lange gespeichert, wie der Kunde sie benötigt; der Kunde kann Nutzer, Geräte, Standorte und Messdaten jederzeit mithilfe des Dienstes löschen. Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren. Am 30. Tag nach der Beendigung löscht Shelly automatisch den Mandanten des Kunden (Anwendung, Datenbank, Dateien und Identitätsorganisation) und alle personenbezogenen Daten des Kunden, sofern nicht gesetzlich eine Speicherung vorgeschrieben ist. Backups werden im Rahmen des normalen Backup-Zyklus innerhalb von 14 Tagen überschrieben. Shelly bestätigt die Löschung auf Anfrage schriftlich.

10. Audits

Shelly stellt die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Der Kunde kann Shelly einmal pro Jahr oder nach einer Verletzung des Schutzes personenbezogener Daten auditieren, auch durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer, mit einer Vorankündigung von mindestens 30 Tagen, während der Geschäftszeiten und ohne Zugang zu Daten anderer Kunden. Shelly kann zunächst durch die Bereitstellung von Dokumentation, Zertifizierungen oder Auditberichten antworten. Jede Partei trägt ihre eigenen Kosten, es sei denn, das Audit deckt einen wesentlichen Verstoß durch Shelly auf.

11. Pflichten des Kunden

• Der Kunde ist für die Rechtmäßigkeit seiner Verarbeitung verantwortlich, einschließlich einer Rechtsgrundlage und der Information der betroffenen Personen – zum Beispiel Beschäftigte, deren Handlungen protokolliert werden, Mieter oder Bewohner in überwachten Gebäuden sowie Personen, die als Standort- oder Notfallkontakte eingetragen sind.
• Der Kunde entscheidet, ob die Überwachung von Belegung, Tür- und Bewegungssensoren oder des Energieverbrauchs in Wohnungen oder an Arbeitsplätzen verhältnismäßig ist, und führt jede dafür erforderliche DSFA durch.
• Der Kunde bewahrt die Zugangsdaten seiner Nutzer sicher auf, vergibt Rollen nach dem Need-to-know-Prinzip und aktiviert die Multi-Faktor-Authentifizierung, sofern verfügbar.

12. UK-DSGVO

Unterliegt der Kunde der UK-DSGVO, umfassen Verweise auf die DSGVO auch die UK-DSGVO und den Data Protection Act 2018, und Verweise auf die Aufsichtsbehörde umfassen auch das Information Commissioner's Office. Das Hosting im EWR ist durch die britischen Angemessenheitsvorschriften für den EWR abgedeckt. Für Unterauftragsverarbeiter außerhalb des Vereinigten Königreichs und des EWR gilt das International Data Transfer Addendum zu den EU-Standardvertragsklauseln.

13. Haftung, Laufzeit und Vorrang

Die Haftung richtet sich nach den AGB, soweit die DSGVO nichts anderes vorsieht. Dieser AVV gilt, solange Shelly personenbezogene Daten des Kunden verarbeitet. Steht er in Fragen des Datenschutzes im Widerspruch zu den AGB, hat dieser AVV Vorrang.

Anhang I – Beschreibung der Verarbeitung

Anhang II – Technische und organisatorische Maßnahmen

Anhang III – Unterauftragsverarbeiter

E-Mail: Alle E-Mails von Fleet Manager und Business Manager (Kontoverifizierung, Zurücksetzen des Passworts, Einmalcodes, Business-Manager-Feedback) werden über den eigenen Mailserver von Shelly (mail.shelly.cloud) versendet, den Shelly auf Google Cloud in Belgien betreibt. Es wird kein separater E-Mail-Anbieter eingesetzt. Warnmeldungs-E-Mails werden über den SMTP-Server oder das Gmail- / Microsoft-365-Konto versendet, das der Kunde konfiguriert.

Optionale Integration – nicht aktiv:

Dienste, die keine personenbezogenen Daten erhalten (aus Transparenzgründen aufgeführt):

Vom Kunden gewählte Kanäle und Integrationen: Slack, Microsoft Teams, Telegram, Twilio (SMS), der eigene SMTP-Server oder das Gmail- / Microsoft-365-Konto des Kunden, Amazon Alexa und benutzerdefinierte Webhooks. Diese werden vom Kunden konfiguriert und ausgewählt; dorthin gesendete Daten sind eine Übermittlung auf Weisung des Kunden, keine Unterauftragsverarbeitung durch Shelly.

Annahme

Der Kunde nimmt diesen AVV an, indem er beim Anlegen eines Kontos in Shelly Fleet Manager oder Shelly Business Manager das entsprechende Kästchen ankreuzt oder das Abonnementformular unterzeichnet. Er gilt ab diesem Zeitpunkt. Fassung vom 28. September 2026.