Weiter Informationen zu Verhaltensregeln und Akkreditierungen von Überwachungsstellen nach der DS-GVO sind hier abrufbar.

Sitz des Verbandes „Die Wirtschaftsauskunfteien e.V.“ ist seit dem 1. Januar 2022 Wiesbaden. Die für die Genehmigung zuständige Aufsichtsbehörde ist damit gemäß Art. 40 Abs. 5 Satz 1 und 55 Abs. 1 DS-GVO der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Die „Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien“ vom 25. Mai 2018 in der Fassung vom 1. Januar 2020 wurden durch den Hessischen Beauftragte für Datenschutz und Informationsfreiheit beanstandet, so dass eine Überarbeitung der bisherigen Verhaltensregeln erforderlich war.

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit hat die neuen „Verhaltensregeln für die Prüf- und Speicherfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien“ des Verbandes „Die Wirtschaftsauskunfteien e.V.“ vom 17. Mai 2024 mit Wirkung zum 25. Mai 2024 nach Art. 40 Abs. 5 Satz 2 DS-GVO genehmigt. 

Zwei Verpflichtungen der neuen Verhaltensregeln gelten jedoch erst ab dem 1. Oktober 2024 und eine Verpflichtung ab dem 1. Januar 2025. Bis dahin gelten die entsprechenden Regelungen der bisherigen „Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien“ vom 25. Mai 2018 in der Fassung vom 1. Januar 2020 bis zum jeweiligen Geltungsbeginn der neuen Regelungen fort.

Im Einzelnen sind dies:

• Verzeichnisnummer: CoC-01
• Datum: Fassung vom 01.01.2020
• Inhaber: Die Wirtschaftsauskunfteien e.V.
• Genehmigung: Änderungsgenehmigung der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen vom 11.08.2020
• Bezeichnung: Verhaltensregeln für die Prüf- und Löschfristen von personenbezogenen Daten durch die deutschen Wirtschaftsauskunfteien vom 25.05.2018 (in der Fassung vom 01.01.2020)
• Einsatzbereich (Kurzbezeichnung): CoC „Prüf/Löschfristen“ der Wirtschaftsauskunfteien
• Anmerkung: Änderung (Ziff. II 4 c)) des am 25.05.2018 genehmigten CoC-01 (Stand 25.05.2020)

Verzeichnis Verhaltensregeln nach Art. 40 DS-GVO des Hessischen Beauftragten für Datenschutz und Informationsfreiheit 

Auf Antrag des Verbands der Deutschen Wasser- und Wärmezählerindustrie e.V. (VDDW) wurden die Verhaltensregeln mit Entwurf-Stand vom 14.3.2025 mit Wirkung vom 25.6.2025 nach Art. 40 Abs. 5 Satz 2 DS-GVO genehmigt. Er ist Bestandteil dieser Genehmigung.  Die Genehmigung steht unter dem Vorbehalt des teilweisen oder vollständigen Widerrufs, falls eine oder mehrere Regelungen der Verhaltensregeln zu zukünftigen gesetzlichen Vorgaben im Widerspruch stehen sollten.

Der VDDW ist als Inhaber der Verhaltensregeln gemäß Art. 40 Abs. 2 DS-GVO antragsberechtigt, weil er zu einem hohen Anteil Messgerätehersteller vertritt, die als Auftragsverarbeiter für Versorgungsunternehmen tätig werden.

Die Verhaltensregeln ersetzen die gesetzlichen Regelungen nicht. Die Verhaltensregeln sind mit der DS-GVO vereinbar und erfüllen insbesondere die Anforderungen der Art. 40 und 41 DS-GVO. Sie konkretisieren in ihrem Hauptteil und im Anhang „Technische Maßgaben“ die Anforderungen im Bereich fernauslesbarer Messgeräte für Kalt-/Warmwasser und thermische Energie.

Die Verhaltensregeln gelten für die Entwicklung und den Einsatz von Messgeräten für Kalt- /Warmwasser und thermische Energie und die dadurch bedingte Verarbeitung personenbezogener Daten durch die den Verhaltensregeln beigetretenen Mitgliedsunternehmen, sofern die beigetretenen Mitgliedsunternehmen als Auftragsverarbeiter für einen oder mehrere Versorger tätig sind und Messungen für diesen durchführen bzw. Messwerte für diesen sammeln und an den Versorger für weitere Zwecke weiterleiten. Die Verhaltensregeln gelten nicht für Mitgliedsunternehmen, die nicht als Auftragsverarbeiter für einen oder mehrere Versorger agieren, sondern lediglich als Hersteller von Messgeräten anzusehen sind. Diese Mitgliedsunternehmen können sich jedoch auf freiwilliger Basis dazu verpflichten, die konkreten Maßgaben zum Umgang mit personenbezogenen Daten (Anhang „Technische Maßgaben“) bereits in der technischen Konzeption ihrer Messgeräte umzusetzen. In der Außendarstellung gegenüber Versorgern können diese Unternehmen auf die Vereinbarkeit mit angemessen branchenspezifischen technischen und organisatorischen Schutzmaßnahmen (Anhang „Technische Maßgaben“) hinweisen. Hierbei darf jedoch nicht der Eindruck erweckt werden, dass diese Unternehmen unter diese Verhaltensregeln fallen. Die Verhaltensregeln gelten nicht für Datenverarbeitungen im Zusammenhang mit Elektrizitätszählern.

Der Mehrwert des CoC besteht folglich darin, dass er die Verarbeitung der Daten über fernauslesbare Messgeräte transparent darstellt, den Datenumfang entsprechend der verschiedenen Zweckbindungen begrenzt und mögliche Zeiträume für die Speicherung beschreibt. Diese sind von den endnutzenden Versorgungsunternehmen Zweck entsprechend noch festzulegen.

Der CoC enthält in Art. 12 ein wirksames Verfahren zur Überwachung und Durchsetzung gemäß Art. 40 Abs. 4 und Art. 41 DS-GVO. Hierzu wird der VDDW zeitnah eine mit fachlicher Expertise ausgestatte Überwachungsstelle benennen. Diese wird von der örtlich zuständigen Datenschutzaufsicht nach Antragstellung gemäß Art. 41 DS-GVO akkreditiert. Die neutrale Überwachungsstelle garantiert fortlaufende Überwachungsmaßnahmen und Prüfungen. Sie ist mit Untersuchungskompetenzen ausgestattet und ist zu Maßnahmen legitimiert. Auch installiert sie ein Beschwerdeverfahren bei sich.

Der CoC gilt grundsätzlich für sechs Jahre und unterliegt einer Evaluierungspflicht des Verbandes VDDW zwei Jahre vor Ablauf des ersten Gültigkeitszeitraums. Auch gibt es eine Anpassungspflicht infolge gesetzlicher oder höchstrichterlicher Notwendigkeiten. Daher habe ich die Möglichkeit zum teilweisen oder vollständigen Widerruf der Genehmigung für mögliche zukünftige gesetzliche Änderungen ausdrücklich vorbehalten.

Wegen der deutschlandweiten Wirkung dieses CoC wurde der Entwurf mit allen deutschen Aufsichtsbehörden beraten. Die Mitglieder der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) haben am 16.6.2025 die Absicht der LDI NRW einstimmig unterstützt, den Entwurf der Verhaltensregeln zu genehmigen.

• Verzeichnisnummer:  CoC-02
• Datum: Fassung 14.3.2025
• Inhaber:  VDDW
• Genehmigung: 25.6.2025
• Bezeichnung: Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die Messgeräteindustrie für Kalt-/Warmwasser und thermische Energie
• Einsatzbereich (Kurzbezeichnung): fernauslesbare Messgeräte
• Anmerkung: erstmalige Genehmigung