Auftragsverarbeitungsvertrag

Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag (AVV) – und zwar bevor die ersten Daten fließen. Wir erstellen die Verträge, prüfen die von Ihren Dienstleistern vorgelegten und halten den Bestand aktuell.

Pauschalpakete ansehen

Wann ein Auftragsverarbeitungsvertrag nötig ist

Das Kriterium ist die Weisungsgebundenheit. Verarbeitet ein Dienstleister Daten nach Ihren Vorgaben und nicht für eigene Zwecke, liegt Auftragsverarbeitung vor. Das betrifft mehr Konstellationen, als die meisten Unternehmen erwarten: Hosting, Cloud-Speicher, Newsletter-Versand, Lohnbuchhaltung, Callcenter, Wartungszugriffe auf Ihre Systeme.

Der Vertrag ist schriftlich oder elektronisch zu schließen, und zwar vor dem ersten Datentransfer – nicht nach Projektstart und nicht rückwirkend.

Wer wofür haftet

Hier liegt der Punkt, an dem sich die meisten Missverständnisse festmachen.

Nach außen tritt der Auftragsverarbeiter nicht auf. Für eigene Zwecke oder im eigenen Interesse darf er die ihm überlassenen Daten unter keinen Umständen verwenden (Art. 28 DSGVO).

Der Verantwortliche – also Sie – ist weisungsbefugt und bleibt genau deshalb verantwortlich: für die Art der Verarbeitung und für den Schutz der Daten (Art. 29 DSGVO). Einen Dienstleister zu beauftragen verlagert die Verantwortung nicht, es verteilt nur die Ausführung.

Aus dieser Konstellation folgt Ihr Kontrollrecht: Der Vertrag räumt Ihnen umfassende Befugnisse ein, die beim Dienstleister getroffenen Maßnahmen zu überprüfen.

Der Auftragsverarbeiter schuldet Ihnen im Gegenzug:

Verarbeitung ausschließlich nach Ihrer Weisung – bei Übermittlungen in Drittländer oder an internationale Organisationen vorab Ihre Abstimmung, soweit dem kein wichtiges öffentliches Interesse entgegensteht
ein eigenes Verzeichnis der Verarbeitungstätigkeiten, fortlaufend gepflegt und auf Verlangen vorzulegen
einen Hinweis an Sie, sobald er eine Ihrer Weisungen für rechtswidrig hält
Rückgabe oder Löschung aller Daten nach Ende der Verarbeitung beziehungsweise nach Ablauf der Aufbewahrungsfristen
alle Informationen, mit denen Sie die Einhaltung Ihrer Pflichten nachweisen können – einschließlich der Möglichkeit, das vor Ort, durch Sachverständige oder über Berichte zu überprüfen

Was im Vertrag stehen muss

Was im Vertrag stehen muss
Regelungsgegenstand	Inhalt
Parteien	namentliche Nennung von Verantwortlichem und Auftragsverarbeiter
Verarbeitung	Gegenstand, Zweck und Dauer
Daten	Art der überlassenen Daten, Kategorien betroffener Personen
Pflichten	Kontrollrechte des Verantwortlichen, Mitwirkung des Auftragsverarbeiters
Vertraulichkeit	Zusicherung nach Art. 28 Abs. 3 lit. b DSGVO
Betroffenenrechte	Verfahren bei Auskunfts- und Löschbegehren
Laufzeit	Beginn, Ende und Kündigungsmöglichkeiten
Weisungen	Umfang, Änderungsrecht in dokumentierter Form, Meldeverfahren bei Datenpannen nach Art. 33 Abs. 3 DSGVO
Datenkorrektur	Berichtigung, Einschränkung und Löschung
Beauftragter	Benennung eines Datenschutzbeauftragten beim Auftragsverarbeiter
Unterbeauftragung	nur mit Ihrer schriftlichen Genehmigung, mit Einspruchsrecht

Bei besonders sensiblen Daten – etwa Gesundheitsdaten – kommt die Möglichkeit einer Vertragsstrafe bei Verstößen hinzu.

Je nach Branche können weitere Punkte erforderlich werden. Für solche Fälle sollten Sie Ihren IT-Juristen oder Ihren Datenschutzbeauftragten hinzuziehen.

Die Kontrollpflicht, die bleibt

Ein unterschriebener Vertrag genügt nicht. Sie müssen in regelmäßigen Abständen prüfen, ob der Dienstleister die vereinbarten Bestimmungen tatsächlich einhält – und dafür ein Konzept haben, an dem Sie diese Prüfung ausrichten.

Entscheidend ist die Dokumentation: Jede Überprüfung gehört festgehalten, weil die Aufsichtsbehörde sie sehen will. In der Praxis scheitert es fast nie am fehlenden Vertrag, sondern daran, dass niemand belegen kann, ihn je kontrolliert zu haben.

Für die Verwaltung der Verträge und der zugehörigen Nachweise nutzen wir das Datenschutzmanagementsystem; die turnusmäßige Prüfung läuft über das Datenschutzaudit.

Kontakt

Sie wissen nicht, mit wie vielen Dienstleistern Sie einen Vertrag bräuchten? Das ist der übliche Ausgangspunkt – wir erheben es mit Ihnen.