Was ist ein Auftrags­verar­bei­tungs­ver­trag (AVV)?

AVV: Definition und Bedeutung

Wer personenbezogene Daten nicht selbst verarbeitet, sondern einen Dienstleister damit betraut, braucht nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag. Der Auftraggeber bleibt der Verantwortliche und haftet gegenüber Betroffenen und Aufsichtsbehörden weiter für die Rechtmäßigkeit. Der Dienstleister, der Auftragsverarbeiter, darf die Daten nur auf dokumentierte Weisung verarbeiten und nicht für eigene Zwecke nutzen.

Typische Auftragsverarbeiter sind Hosting- und Cloud-Anbieter, Newsletter- und CRM-Dienste, Dienstleister für Lohnabrechnung, Aktenvernichtung oder IT-Support mit Zugriff auf Systeme. Wer dagegen gemeinsam mit einem anderen über Zwecke und Mittel entscheidet, ist gemeinsam Verantwortlicher (Art. 26) und braucht eine andere Vereinbarung.

Pflichtin­halte nach Art. 28 DSGVO

Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien der Betroffenen festlegen. Außerdem muss er den Auftragsverarbeiter zu bestimmten Pflichten anhalten. Er kann schriftlich oder in einem elektronischen Format geschlossen werden; viele Anbieter stellen ihn als Online-Zustimmung bereit.

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers
• Verpflichtung der Mitarbeiter zur Vertraulichkeit
• Geeignete technische und organisatorische Maßnahmen (Art. 32)
• Regeln und Zustimmung für Unterauftragsverarbeiter
• Unterstützung bei Betroffenenrechten, Datenpannen und Folgenabschätzungen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweis- und Kontrollrechte des Auftraggebers

Praxis­bei­spiel: Händler mit Shop, Newsletter und Fulfillment

Ein Fachhändler betreibt einen Onlineshop bei einem Hoster, versendet Newsletter über ein externes Tool und lässt die Pakete von einem Logistikdienstleister verschicken. Für jede dieser Beziehungen ist zu prüfen, ob personenbezogene Daten im Auftrag verarbeitet werden. Beim Hoster und beim Newsletter-Tool ist das der Fall und ein AVV nötig; beim Versanddienstleister kommt es auf die konkrete Ausgestaltung an.

Bei der Prüfung fällt auf, dass für das Newsletter-Tool nie ein AVV abgeschlossen wurde und der Hoster Subunternehmer in einem Drittland einsetzt. Der Händler holt den Vertrag nach, lässt sich die Unterauftragsverarbeiter nennen und ergänzt sein Verzeichnis der Verarbeitungstätigkeiten.

Typische Fehler und Grenzen

Ein AVV ersetzt keine Prüfung des Anbieters. Entscheidend sind die tatsächlichen Schutzmaßnahmen, die in der Anlage zum Vertrag beschrieben sein sollten. Häufig fehlt eine aktuelle Liste der Unterauftragsverarbeiter, oder der Vertrag wird nach Projektende nie beendet und die Daten bleiben liegen.

Werden Daten in ein Land außerhalb der EU übermittelt, genügt der AVV allein nicht. Hinzu kommt ein Übermittlungsinstrument, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln. Fehlt ein erforderlicher AVV, ist das ein eigener Verstoß, der bußgeldbewehrt sein kann. Auch die Daten im Auftragsverhältnis bleiben Ihre Verantwortung: Prüfen Sie deshalb regelmäßig, ob der Vertrag noch zum tatsächlichen Einsatz passt.

Worauf Unternehmen achten sollten

Führen Sie eine Liste aller Dienstleister mit Datenzugriff und prüfen Sie je Anbieter, ob ein AVV vorliegt, aktuell ist und zu den tatsächlichen Datenflüssen passt. Das gilt auch, wenn Sie selbst Auftragsverarbeiter sind, etwa als Agentur mit Zugriff auf Kundensysteme: Dann benötigen Ihre Kunden einen Vertrag mit Ihnen. Nano Concepts schließt bei Projekten mit Datenzugriff entsprechende Vereinbarungen. Dieser Beitrag ersetzt keine Rechtsberatung.