Verhaltensregeln
für den Umgang mit personenbezogenen Daten
durch die Messgeräteindustrie für Kalt-/Warmwasser und thermische Energie
Einleitung
Der Verband der Deutschen Wasser- und Wärmezählerindustrie e.V. (nachfolgend „VDDW“ genannt) mit Sitz in Köln ist die Dachorganisation der deutschen Messgeräteindustrie für Kalt-/Warmwasser und thermische Energie in Deutschland. Der Verband setzt sich für die Messgeräte betreffenden Fachfragen und ordnungspolitischen Rahmenbedingungen insgesamt ein, um seinen Mitgliedsunternehmen die optimale Erfüllung ihrer Aufgaben zu ermöglichen.
Beim Einsatz moderner Messtechnik findet typischerweise eine Verarbeitung von personenbezogenen Daten statt. Diese erfolgt zum Beispiel zur Verbrauchsmessung, zur Beratung und Betreuung der Mess- geräteverwender und Anschlussnehmer oder auch zur Betriebsoptimierung der Anlagen. Insbesondere soll hierdurch die Sicherheit der Versorgung gewährleistet werden.
Die Energieeffizienzrichtlinie (EED) definiert Anforderungen für die Fernauslesbarkeit von Zählern für die Elektrizitäts-, Gas-, Wärme-, Kälte- und Warmwasserversorgung sowie von Heizkostenverteilern. Die EED ist bzw. wird entsprechend in nationales Recht umgesetzt. Dies erfolgt durch die Verordnung über Allgemeine Bedingungen für die Versorgung mit Fernwärme (AVBFernwärmeV), die Verordnung über die Verbrauchserfassung und Abrechnung bei der Versorgung mit Fernwärme oder Fernkälte (Fernwärme- oder Fernkälte-Verbrauchserfassungs- und -Abrechnungsverordnung – FFVAV) und die Verordnung über die verbrauchsabhängige Abrechnung der Heiz- und Warmwasserkosten (Verordnung über Heizkostenabrechnung – HeizkostenV).
Vom oben aufgeführten Regelwerk nicht erfasst ist hingegen die Fernauslesung von Kaltwasserzählern, für die es neben der Verordnung über Allgemeine Bedingungen für die Versorgung mit Wasser (AVB- WasserV) ansonsten keine entsprechende Rechtsgrundlage in Deutschland gibt. Aus Gründen der Wirtschaftlichkeit werden Kaltwasserzähler seitens ihrer Verwender aber nicht anders ausgelesen als die oben genannten Energiezähler und Erfassungsgeräte. Ziel der Verhaltensregeln ist es, der damit verbundenen Rechtsunsicherheit im (Anwendungs-)Bereich des Datenschutzes für Messgerätehersteller entgegenzuwirken. Um eine Einheitlichkeit herzustellen, werden diese Verhaltensregeln nicht auf Kaltwasserzähler beschränkt.
Diese Verhaltensregeln betreffen demgegenüber nicht den Umgang mit personenbezogenen Daten anlässlich des Betriebs von Elektrizitätszählern.
Die Wahrung der informationellen Selbstbestimmung und der Schutz der Privatsphäre sowie die Sicherheit der Datenverarbeitung sind für die Messgeräteindustrie ein Kernanliegen. Oberstes Ziel ist es, das Vertrauen der Messgeräteverwender und Anschlussnehmer und auch der Letztverbraucher in die korrekte Datenerhebung zu stärken. Gefundene Regelungen zur Verarbeitung personenbezogener Daten in diesem Zusammenhang müssen nicht nur im Einklang mit den Bestimmungen der EU-Datenschutz-Grundverordnung („DS-GVO“), des Bundesdatenschutzgesetzes („BDSG“) und aller einschlägigen bereichsspezifischen Vorschriften über den Datenschutz stehen. Sie müssen zudem auch den Grundsätzen der „Gemeinsamen Erklärung über datenschutzrechtliche Aspekte bei der Nutzung von Funkwasserzählern“ der Datenschutzbeauftragten aus Hessen bzw. Rheinland-Pfalz mit verschiedenen Verbänden genügen. Darüber hinaus verpflichten sich die Mitgliedsunternehmen des VDDW, den datenschutz- rechtlichen Verarbeitungsgrundsätzen – insbesondere der Transparenz, Erforderlichkeit und der Datenminimierung – in besonderer Weise nachzukommen. Einen Schwerpunkt bilden hierbei die technischen und organisatorischen Maßnahmen für die Gewährleistung der Datensicherheit in allen Stadien der Erhebung und Verarbeitung personenbezogener Daten.
Zur Erreichung dieser Ziele hat der VDDW im Einvernehmen mit seinen Mitgliedsunternehmen insbe- sondere mit Blick auf Art. 40 Abs. 2 Buchst. h) DS-GVO die folgenden Verhaltensregeln aufgestellt, die bereits bei der Konzeptionierung und Herstellung der Messgeräte die Datenschutzaspekte berücksichtigen. Sie schaffen damit für die Wasser- und Wärmezählerindustrie weitestgehend einheitliche Stan- dards und fördern die Einhaltung von datenschutzrechtlichen Regelungen. Die Mitgliedsunternehmen des VDDW, die diesen Verhaltensregeln gemäß Artikel 10 beigetreten sind, verpflichten sich damit zu deren Einhaltung. Die beigetretenen Mitgliedsunternehmen weisen ihre Führungskräfte und ihre Mitarbeiterinnen und Mitarbeiter an, die Verhaltensregeln einzuhalten.
Die Verhaltensregeln zielen darauf ab, die Datenverarbeitung der Hersteller von Messgeräten, die zugleich als Auftragsverarbeiter tätig sind (ausgenommen Hersteller von Messgeräten für Elektrizität) zu regeln.
Art. 1 Begriffsbestimmungen
Für die Verhaltensregeln gelten die Begriffsbestimmungen der DS-GVO und des BDSG. Darüber hinaus sind:
Anschlussnehmer:
Der Eigentümer oder Erbbauberechtigte eines Grundstücks oder Gebäudes, das an das Energieversorgungsnetz angeschlossen ist oder die natürliche Person, in deren Auftrag ein Grundstück oder Gebäude an das Energieversorgungsnetz angeschlossen wird.
Beigetretene Mitgliedsunternehmen:
Diejenigen Mitgliedsunternehmen, die diesen Verhaltensregeln beigetreten und als Auftragsverarbeiter für einen oder mehrere Versorger tätig sind. Welche Mitgliedsunternehmen dies sind, kann beim Verband erfragt oder auf dessen Internetseite1 eingesehen werden.
Datensammler:
Technische Einrichtung, die die Daten vom Messgerät empfängt, diese speichert und an den Datenserver weitergibt. Hierbei kann es sich um stationäre als auch mobile Einrichtungen handeln. Letztverbraucher: Eine natürliche oder juristische Person, die Kalt-/Warmwasser oder thermische Energie für den eigenen Verbrauch über von den Mitgliedsunternehmen des VDDW hergestellte Messgeräte bezieht.
Messgeräte:
Fernauslesbare Messgeräte für Kalt- /Warmwasser und thermische Energie, nicht jedoch Messgeräte für Elektrizität.
Messgeräteverwender:
Eine natürliche oder juristische Person, die die von den Mitgliedsunternehmen des VDDW hergestellten Messgeräte verwendet; Messgeräteverwender können Versorger oder Submetering-Dienstleister sein.
Messgeräteindustrie:
Der Geschäftsbereich für die Herstellung und den Einsatz von Messgeräten für Kalt-/Warmwasser und thermische Energie. Mitgliedsunternehmen:
Die Unternehmen, die Mitglied des VDDW sind.
Servicetechniker:
Bei den Versorgern beschäftigte oder von diesen beauftragte Personen, die technische Arbeiten an den Messgeräten und damit zusammenhängenden Systemkomponenten vornehmen.
Verband / VDDW:
Der Verband der Deutschen Wasser- und Wärmezählerindustrie e.V. mit Sitz in Köln ist die Dachorganisation der deutschen Messgeräteindustrie für Kalt-/Warmwasser und thermische Energie in Deutschland. Versorger Unternehmen, die Letztverbrauchern Kalt-/Warmwasser oder thermische Energie liefern.
Art. 2 Gegenstand dieser Verhaltensregeln
Die vorliegenden Verhaltensregeln sind Verhaltensregeln im Sinne von Art. 40 Abs. 2 DSGVO. Sie begründen eine freiwillige Selbstverpflichtung der den Verhaltensregeln beigetretenen Mitgliedsunternehmen, die hier niedergelegten Grundsätze bei der Verarbeitung personenbezogener Daten einzuhalten und ihren Geschäftsbetrieb daran auszurichten. Den von der Datenverarbeitung betroffenen Personen sollen diese Verhaltensregeln die Gewähr bieten, dass
- Datenschutzrechtliche Grundsätze gemäß Art. 5 Abs. 1 DS-GVO bei der Verarbeitung personenbezogener Daten unter Nutzung der jeweiligen Messgeräte eingehalten werden;
- Datenschutzrechtliche Anforderungen bereits bei der Konzeption und den (Vor-)Einstellungen der jeweiligen Messgeräte berücksichtigt wurden (vgl. Art. 25 Abs. 1, 2 DS-GVO);
- Technische und organisatorische Maßnahmen ergriffen wurden, welche unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen, ein dem Risiko angemessenes Schutzniveau gewährleisten (vgl. Art. 32 DS-GVO);
- Beigetretene Mitgliedsunternehmen personenbezogene Daten einzig nach strikter Weisung und unter Wahrung der Anforderungen des Art. 28 DS-GVO verarbeiten.
Art. 3 Sachlicher Geltungsbereich
Art. 4 Persönlicher Geltungsbereich
- Ziel des Verarbeitungsschritts
- Prozessbeschreibung
- Betroffene Daten
- Datenfluss bzw. -umgang
- Zwecke und Rechtsgrundlagen der Datenverarbeitung
- Umsetzung Grundsatz Zweckbindung
- Umsetzung Grundsatz Datenminimierung
- Umsetzung Grundsatz Richtigkeit
- Umsetzung Grundsatz Speicherbegrenzung
- Umsetzung Grundsatz Integrität und Vertraulichkeit
- Umsetzung datenschutzrechtliche Voreinstellungen (Art. 25 DS-GVO)
- Ggf. weiterführende Anmerkungen
Der Anhang „Technische Maßnahmen“ ist integraler Bestandteil dieser Verhaltensregeln.
Art. 6 Grundsätze zur Qualität der Datenverarbeitung
Die Grundsätze zur Qualität der Datenverarbeitung und die hierzu erarbeiteten konkreten Maßnahmen sind im Anhang „Technische Maßnahmen“ beschrieben und bilden einen wesentlichen Regelungsgegenstand dieser Verhaltensregeln.
Art. 7 Grundsätze der Datensicherheit
Die in den beigetretenen Mitgliedsunternehmen veranlassten Maßnahmen zur Datensicherheit und die hierzu erarbeiteten konkreten Maßnahmen zur Datensicherheit sind im Anhang „Technische Maßnahmen“ beschrieben und bilden einen wesentlichen Regelungsgegenstand dieser Verhaltensregeln.
Art. 8 Pflichten bei der Verarbeitung im Auftrag
(1) Soweit personenbezogene Daten gemäß Art. 28 DS-GVO im Auftrag für einen oder mehrere Versorger verarbeitet werden, verpflichtet sich das beigetretene Mitgliedsunternehmen zur Datenverarbeitung gemäß den Vorgaben des Art. 28 Abs. 1 DS-GVO. Das beigetretene Mitgliedsunternehmen schließt mit dem Versorger einen den Vorgaben des Art. 28 Abs. 3 DS-GVO entsprechenden Vertrag zur Auftragsverarbeitung ab.
(2) Die beigetretenen Mitgliedsunternehmen verpflichten sich gegenüber den jeweiligen Versorgern, die Datenverarbeitung nach den hier niedergelegten Grundsätzen durchzuführen, Art. 28 Abs. 5 DS-GVO.
Art. 9 Informationspflichten, Rechte der betroffenen Personen und Widerspruchsrecht
- BDEW (Bundesverband der Energie- und Wasserwirtschaft e. V.)
- VKU (Verband kommunaler Unternehmen e. V.)
Art. 12 Prüfung der Einhaltung der hier niedergelegten Verhaltensregeln
(1) Zur Gewährleistung der Einhaltung der in diesen Verhaltensregeln dokumentierten Vorgaben, ermöglichen die beigetretenen Mitgliedsunternehmen die jederzeitige Überprüfung durch eine Überwachungsstelle. Dazu benennt der VDDW eine von der zuständigen Aufsichtsbehörde zu akkreditierende Stelle gem. Art. 41 Abs. 1 DSGVO als externe Überwachungsstelle, welche ihre Aufgaben unbeschadet der Aufgaben und Befugnisse der Datenschutzbeauftragten der beigetretenen Mitgliedsunternehmen und zuständigen Datenschutzaufsichtsbehörden wahrnimmt. Die Geeignetheit der Überwachungsstelle wird innerhalb eines gesonderten Akkreditierungsverfahrens überprüft.
- Unabhängigkeit der Überwachungsstelle und des von ihr für die Überwachungsaktivitäten eingesetzten Personals in rechtlicher, wirtschaftlicher, personeller und tatsächlicher Hinsicht gegenüber den beigetretenen Mitgliedsunternehmen, dem VDDW und gegenüber der Berufsgruppe und dem Sektor, für den die Verhaltensregeln gelten sollen, ist gewährleistet sowie das Fachwissen in Bezug auf den Gegenstand der Überwachung liegt vor. Den beigetretenen Mitgliedsunternehmen steht kein Weisungsrecht gegenüber der Überwachungsstelle zu; vielmehr führt die Überwachungsstelle sämtliche Überwachungstätigkeiten eigenverantwortlich, unparteiisch und unabhängig durch.
- Aufgaben und Pflichten führen nicht zu Interessenskonflikten. Insbesondere darf die Überwachungsstelle grundsätzlich weder von dem VDDW noch von den beigetretenen Mitgliedsunternehmen noch von sonstigen Dritten Leistungen annehmen. Auch dürfen weder die Überwachungsstelle noch das von ihr eingesetzte Personal Leistungen für die beigetretenen Mitgliedsunternehmen erbringen, die ihre Unabhängigkeit gefährden oder Interessenkonflikte befördern können.
- Angemessene finanzielle und personelle Ausstattung in Bezug auf die Anzahl, Größe und Komplexität der beigetretenen Mitgliedsunternehmen, die Art, den Bereich und den Umfang ihrer durch die Verhaltensregeln bestimmten Tätigkeiten sowie den Risikogehalt der von den Verhaltensregeln erfassten Verarbeitungsvorgänge. Die Überwachungsstelle ist finanziell so ausgestattet, dass sie langfristig finanziell stabil ist und dies auch bei Ausscheiden einzelner oder mehrerer beigetretener Mitgliedsunternehmen nicht gefährdet ist.
- Vorhalten von Verfahren und Strukturen zur Erfüllung ihrer Aufgaben und Pflichten und Ausübung ihrer Befugnisse.
- Vorhalten von Verfahren und Strukturen für das Beschwerdeverfahren.
- Die Überwachungsstelle setzt bei der Durchführung der Kernaufgaben der Überwachung eigene Mitarbeiter und keine Subunternehmer ein.
- Die Überwachungsstelle gibt der zuständigen Aufsichtsbehörde konkrete Ansprechpartner für die Überwachung und deren Kontaktdaten bekannt.
- Die Überwachungsstelle bewertet, ob und inwieweit Mitgliedsunternehmen, die den Verhaltensregeln beitreten wollen, in der Lage sind, die Verhaltensregeln anzuwenden.
- Fortlaufende Überwachung sowie jährliche rotierende Überprüfung der Einhaltung der Verhaltensregeln bei einer angemessenen Anzahl der beigetretenen Mitgliedsunternehmen in Abhängigkeit vom Risikogehalt der Datenverarbeitung, identifizierter Beschwerdeschwerpunkte, von der Anzahl der beigetretenen Mitgliedsunternehmen, von dem räumlichen Anwendungsbereich der Verhaltensregeln und Änderungen im einschlägigen Datenschutzrecht sowie anlassbezogene Überprüfung der jeweils beigetretenen Mitgliedsunternehmen (insbesondere bei Beschwerden bezüglich einer mutmaßlichen Nichteinhaltung dieser Verhaltensregeln durch ein beigetretenes Mitgliedsunternehmen). Hierbei wird sichergestellt, dass im Rahmen der rotierenden Prüfung zunächst alle beigetretenen Mitgliedsunternehmen geprüft werden, bevor ein beigetretenes Mitgliedsunternehmen anlasslos erneut geprüft wird.
- Die Durchführung von Prüfungen kann stichprobenartige oder unangekündigte Prüfungen, jährliche Inspektionen, regelmäßige Berichterstattung und die Verwendung von Fragebögen umfassen. Prüfungen werden grundsätzlich vor Ort durchgeführt. Neben der anlasslosen Überwachung im Rahmen der Rotationsprüfungen sind anlassbezogene Prüfungen zulässig und in Abhängigkeit von durch die Überwachungsstelle festzulegende Anforderungen, wie z. B. eventuelle Beschwerdepunkte, grundsätzlich erforderlich. Insbesondere anlassbezogene Prüfungen sind auch unangekündigt von den beigetretenen Mitgliedsunternehmen zu ermöglichen. Die Überwachungs- und Überprüfungsmethoden werden stets aktualisiert und fortgeschrieben.
- Regelmäßige sowie anlassbezogene Überwachung der Geeignetheit dieser Verhaltensregeln. Dies umfasst die konzeptionelle Überprüfung, ob diese Verhaltensregeln praxistauglich, hinreichend präzise und verständlich formuliert sind und den Regelungsbedarf abdecken. Defizite wird die Überwachungsstelle sowohl dem VDDW als auch der für die Überwachungsstelle zuständigen Datenschutzaufsichtsbehörde mitteilen. In Abstimmung mit dem VDDW als Inhaber der Verhaltensregeln wird ein Anpassungsbedarf zur Weiterentwicklung dieser Verhaltensregeln identifiziert.
- Die Überwachungsstelle dokumentiert ihre Überwachungstätigkeit mittels eines revisionssicheren und manipulationssicheren Dokumentensicherungssystems.
- Die Überwachungsstelle ergreift bei Verletzungen dieser Verhaltensregeln gegenüber den beigetretenen Mitgliedsunternehmen geeignete Maßnahmen mit dem Ziel, den identifizierten Verstoß zu unterbinden und eine Wiederholung zu vermeiden. Geeignete Maßnahmen können u.a. sein:
– Schulungsmaßnahmen,
– Förmliche Aufforderung zur Umsetzung bestimmter Maßnahmen zur Abstellung des Verstoßes,
– Meldung des Verstoßes bei der Geschäftsleitung,
– Die Androhung des Ausschlusses von diesen Verhaltensregeln,
– Der vorläufige Ausschluss von diesen Verhaltensregeln sowie
– Bei wiederholten Verstößen, der endgültige Ausschluss von diesen Verhaltensregeln, sofern durch die vorstehend aufgeführten Maßnahmen dem Verstoß nicht abgeholfen werden kann.
Geeignete Maßnahmen müssen wirksam, verhältnismäßig und angemessen sein.
- Anlassbezogene unverzügliche Unterrichtungspflicht über die getroffene Maßnahme und deren Begründung sowohl gegenüber dem VDDW, dem beigetretenen Mitgliedsunternehmen als auch gegenüber den zuständigen Datenschutzaufsichtsbehörden.
- Allen, von einer Verarbeitung personenbezogener Daten im Zusammenhang mit diesen Verhaltensregeln, betroffenen Personen (insbesondere Letztverbraucher) steht die Beschwerdebefugnis zu. Die beauftragte Überwachungsstelle ist grundsätzlich verpflichtet, alle eingehenden Beschwerden zu bearbeiten.
- Das Beschwerdeverfahren ist unabhängig, effektiv und transparent und es werden Entscheidungen zu Beschwerden unter Beachtung des Grundsatzes der Verhältnismäßigkeit getroffen.
- Bei Erhalt einer Beschwerde prüft die Überwachungsstelle, ob sich die Beschwerde auf mögliche Verstöße gegen die Verhaltensregeln oder über die Art und Weise bezieht, in der die Verhaltensregeln von den beigetretenen Mitgliedsunternehmen angewendet werden, und falls dem so ist, befasst sie sich mit der Beschwerde in angemessener Zeit.
- Ist der Sachverhalt für eine Bewertung ausreichend und stellt die Überwachungsstelle einen Verstoß gegen die Verhaltensregeln fest, steht ihr das Recht zu, das beigetretene Mitgliedsunternehmen zur Abgabe einer Stellungnahme innerhalb einer angemessenen Frist aufzufordern. Die beigetretenen Mitgliedsunternehmen sind gehalten, dieser Aufforderung der Überwachungsstelle fristgerecht nachzukommen, ggf. eine interne Aufklärung anzustoßen und die Tätigkeit der Überwachungsstelle so zu unterstützen. Dieses Recht besteht auch bei Unklarheiten bezüglich der Auslegung der Verhaltensregeln oder anderen Beschwerdesachverhalten, die eine Stellungnahme im Hinblick auf die Durchsetzung der Verhaltensregeln erfordern.
- Wird ein Verstoß gegen die Verhaltensregeln festgestellt, erhalten Betroffene hierüber eine Mitteilung der Überwachungsstelle, dass der Vorgang an das beigetretene Mitgliedsunternehmen zur Stellungnahme weitergeleitet wird. Das beigetretene Mitgliedsunternehmen muss sich zum Verstoß erklären und Maßnahmen zur Abhilfe ergreifen.
- Stellt sich im Zuge der Prüfung heraus, dass kein Verstoß gegen die Verhaltensregeln vorliegt, die Betroffenen aber ihr Recht auf individuelle Prüfung der weiteren Verarbeitung personenbezogener Daten geltend machen, muss die Überwachungsstelle Beschwerden dieser Art an die beigetretenen Mitgliedsunternehmen weiterleiten. Dieses Recht besteht nur, sofern die Betroffenen in eine Weitergabe ausdrücklich eingewilligt haben.
- Das Beschwerdeverfahren muss darüber hinaus insbesondere folgende Elemente und Methoden enthalten:
– Verfahren zur Entgegennahme (z. B. ob schriftlich oder online, per E-Mail oder per Fax etc.), Validierung, Untersuchung der Beschwerde sowie Entscheidung, welche Maßnahmen als Antwort darauf ergriffen werden müssen;
– das Verfolgen und Aufzeichnen der Beschwerden, einschließlich der Maßnah- men zu ihrer Lösung bzw. der Gründe, die der Behandlung als Beschwerde entgegenstehen;
– Sicherstellung, dass entsprechende Maßnahmen innerhalb eines angemessenen Zeitraums ergriffen werden;
– Information des Beschwerdeführers zum Verfahrensausgang, sofern der Beschwerdeführer selbst betroffen ist. Ist über das Beschwerdeverfahren nicht in- nerhalb von drei Monaten nach Erteilung der Eingangsbestätigung entschieden worden, erhält der Beschwerdeführer eine Information zum Verfahrensfortschritt.
(8) Die Überwachungsstelle führt ein Verzeichnis über die beigetretenen Mitgliedsunternehmen, welches die Identifizierung eines beigetretenen Mitgliedsunternehmens erlaubt und die Gültigkeit der entsprechenden Mitgliedschaft aufzeigt. Der VDDW teilt der Überwachungsstelle stets die erforderlichen Informationen mit, um ein entsprechendes Verzeichnis führen zu können einschließlich laufender Ein- und Austritte aus dem Verband. Alternativ kann der VDDW auch selbst ein entsprechendes Verzeichnis führen, wenn er sicherstellt, dass die Überwachungsstelle hierauf Zugriff hat.
