Auftragsverarbeitungsvertrag (AVV): Brauche ich einen, und wann?
Einen Auftragsverarbeitungsvertrag (AVV, auch AV-Vertrag) brauchen auch kleine Unternehmen, wenn ein Dienstleister in Ihrem Auftrag und nach Ihren Weisungen personenbezogene Daten verarbeitet, etwa beim Hosting, in einem Newsletter-Tool, in der Cloud oder bei einer Agentur. Er ist in Art. 28 DSGVO vorgeschrieben und muss schriftlich oder elektronisch vorliegen. Umgekehrt müssen Sie selbst einen AVV abschließen, wenn Sie für einen Auftraggeber Daten verarbeiten.
Was ist eine Auftragsverarbeitung?
Sie sind der Verantwortliche: Sie entscheiden, wofür und wie Daten verarbeitet werden. Ein Auftragsverarbeiter arbeitet nur in Ihrem Auftrag und nach Ihren Anweisungen, zum Beispiel ein Hoster oder ein Newsletter-Anbieter. Der AVV regelt diese Zusammenarbeit. Er muss bestimmte Inhalte enthalten, unter anderem zu Weisungen, Sicherheit, Unterauftragnehmern und Löschung der Daten.
Mit wem brauche ich typischerweise einen AVV?
- Hosting und Website-Betreuung
- Newsletter- und E-Mail-Marketing-Tools
- Cloud-Speicher, E-Mail- und Büro-Software in der Cloud
- Agenturen, die mit Ihren Kundendaten arbeiten
- Buchungs-, Termin- und Kundenverwaltungssysteme
- Galerie- und Bildbearbeitungsdienste
Nicht jeder Dienstleister ist Auftragsverarbeiter. Bei Berufen wie Steuerberatern oder Rechtsanwälten hängt es von der Leistung und der Rolle ab. Ob in Ihrem Fall ein AVV nötig ist, sollten Sie nicht raten, sondern prüfen.
Zwei Perspektiven, beide betreffen kleine Betriebe
- Ich beauftrage Dienstleister: Dann müssen Sie sicherstellen, dass Verträge bestehen und dass die Dienstleister ausreichend Schutz bieten.
- Ich bin selbst Dienstleister: Dann bekommen Sie oft den AVV Ihres Kunden vorgelegt. Mit Ihrer Unterschrift sagen Sie Schutzmaßnahmen, Kontrollrechte und Meldewege zu, die Sie auch einhalten müssen. Mehr dazu unter Großkunde verlangt Datenschutznachweis
Typische Fehler
- Es gibt gar keinen Vertrag, obwohl ein Dienstleister Ihre Kundendaten verarbeitet.
- Der Standardvertrag des Anbieters wird ungeprüft übernommen oder gar nicht erst aktiviert. Bei vielen Anbietern müssen Sie ihn im Kundenkonto erst abschließen.
- Die Rollen werden falsch eingeschätzt, etwa bei gemeinsamer Verantwortung oder eigenständigen Dienstleistern.
- Unterauftragnehmer und Anbieter außerhalb der EU werden nicht beachtet.
- Es fehlt der Überblick, mit wem welche Verträge bestehen.
- Der AVV des Kunden wird unterschrieben, ohne dass Sie die Zusagen einhalten können.
Wie viele Dienstleister haben Sie, und wo fehlt ein Vertrag?
Fehlt ein vorgeschriebener Vertrag, kann das ein eigener Verstoß sein, für den die Aufsichtsbehörde Bußgelder verhängen kann. Kommt es zu einer Datenpanne, stehen Sie ohne saubere Verträge schlechter da. Auftraggeber fragen zunehmend danach. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.
Häufige Fragen
Was ist ein Auftragsverarbeitungsvertrag?
Ein Vertrag nach Art. 28 DSGVO zwischen Ihnen und einem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet.
Wann brauche ich einen AV-Vertrag?
Immer dann, wenn ein Dienstleister weisungsgebunden Daten für Sie verarbeitet.
Brauche ich einen AVV mit meinem Steuerberater?
Nicht pauschal. Es hängt von der Rolle und der Art der Leistung ab.
Brauche ich einen AVV mit Hoster, Newsletter-Anbieter oder Cloud-Dienst?
In der Regel ja.
Muss ein AVV unterschrieben sein?
Er muss schriftlich oder in einem elektronischen Format vorliegen. Ob das Anklicken im Kundenkonto genügt, hängt vom Anbieter ab.
Reicht der Standardvertrag meines Anbieters?
Oft ja, aber Sie sollten ihn prüfen und aktiv abschließen.
Ich bin selbst Dienstleister. Muss ich den AVV meines Kunden unterschreiben?
Wenn Sie in dessen Auftrag Daten verarbeiten, ja, aber nur mit Zusagen, die Sie erfüllen können.
Was gilt bei Anbietern außerhalb der EU, etwa in den USA?
Dann ist zusätzlich zu prüfen, wie der Datentransfer abgesichert ist.
Muss ich die Verträge aufbewahren?
Ja, sie gehören zu Ihren Nachweisen und sollten auffindbar sein.
Gilt das auch für Einzelunternehmer und in Österreich?
Ja, die DSGVO gilt unabhängig von der Betriebsgröße, in Deutschland und in Österreich.
Ihr nächster Schritt
Sie müssen die Verträge nicht allein durchblicken. Im DSGVO Erste Hilfe Koffer gehen wir gemeinsam durch, mit welchen Dienstleistern Sie arbeiten, wo ein AVV nötig ist und wie Sie die Verträge dokumentieren. Auch wenn Sie für sich einen AV-Vertrag brauchen, unterstützen wir Sie dabei.
Schreiben Sie uns und wir helfen Ihnen bei der Prüfung und Umsetzung
Telefon: +49 (0) 8252 9090288
backoffice@dsgvo-erste-hilfe.de
CORIDAS GmbH
Dreiweiherweg 1A
86529 Schrobenhausen
Zusätzliches Angebot für Sie:
Der kostenlose DSGVO-Selfcheck zeigt Ihnen, wo in Ihrem Unternehmen Schwachstellen in Bezug der Datenschutzanforderungen liegen. 5 Minuten, 14 Fragen und gleich ein Ergebnis.
