Ein Auftragsverarbeitungsvertrag (AVV) regelt die datenschutzrechtlichen Pflichten zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Nach Art. 28 Abs. 3 DS-GVO ist ein solcher Vertrag oder ein anderes geeignetes Rechtsinstrument erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der AVV legt insbesondere fest, welche Daten zu welchen Zwecken verarbeitet werden, welche Weisungen gelten und wie der Schutz personenbezogener Daten gewährleistet wird.
Wann muss ein Auftragsverarbeitungsvertrag abgeschlossen werden?
Ein AVV ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet und damit eine Auftragsverarbeitung nach Art. 4 Nr. 8 und Art. 28 DS-GVO vorliegt.
Typische Anwendungsfälle sind:
- Hosting von Websites mit Verarbeitung personenbezogener Daten
- Speicherung personenbezogener Daten bei Cloud-Anbietern
- Externe Lohn- und Gehaltsabrechnung durch weisungsgebundene Dienstleister
- Betrieb von Kundenverwaltungssystemen durch externe IT-Dienstleister
Der Vertrag muss vor Beginn der Auftragsverarbeitung geschlossen werden. Nicht jede Zusammenarbeit mit einem externen Unternehmen erfordert jedoch einen AVV. Entscheidend ist, ob der Dienstleister personenbezogene Daten im Auftrag verarbeitet oder selbst über die Zwecke und wesentlichen Mittel der Verarbeitung entscheidet.
Welche Inhalte muss ein AVV enthalten?
Art. 28 Abs. 3 DS-GVO legt die wesentlichen Pflichtinhalte eines Auftragsverarbeitungsvertrags fest.
Dazu gehören insbesondere:
- Gegenstand und Dauer: Welche Verarbeitung durchgeführt wird und wie lange sie erfolgt.
- Art und Zweck: Welche Verarbeitungsvorgänge stattfinden und welchem Zweck sie dienen.
- Daten und betroffene Personen: Welche Arten personenbezogener Daten verarbeitet werden und welche Personengruppen betroffen sind.
- Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet die Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen.
- Vertraulichkeit und Datensicherheit: Zur Verarbeitung befugte Personen müssen zur Vertraulichkeit verpflichtet sein. Geeignete technische und organisatorische Maßnahmen sind sicherzustellen.
- Unterauftragsverarbeiter: Die Voraussetzungen für den Einsatz weiterer Dienstleister müssen geregelt sein.
- Unterstützungspflichten: Der Auftragsverarbeiter muss den Verantwortlichen insbesondere bei Betroffenenrechten und bestimmten Datenschutzpflichten unterstützen.
- Rückgabe und Löschung: Nach Abschluss der Verarbeitung sind die personenbezogenen Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, soweit keine gesetzliche Speicherungspflicht besteht.
- Nachweise und Kontrollen: Der Auftragsverarbeiter muss die erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten bereitstellen und Überprüfungen ermöglichen.
Ein AVV muss diese gesetzlichen Anforderungen tatsächlich abbilden. Die bloße Bezeichnung eines Dokuments als Auftragsverarbeitungsvertrag genügt nicht.
Wer ist für den Abschluss und die Einhaltung des AVV verantwortlich?
Der Verantwortliche muss nach Art. 28 Abs. 1 DS-GVO sicherstellen, dass er nur Auftragsverarbeiter einsetzt, die hinreichende Garantien für eine datenschutzkonforme Verarbeitung bieten.
Dazu gehört die Prüfung geeigneter technischer und organisatorischer Maßnahmen vor der Beauftragung. Der Verantwortliche muss außerdem sicherstellen, dass die Verarbeitung durch einen den Anforderungen des Art. 28 DS-GVO entsprechenden Vertrag oder ein anderes geeignetes Rechtsinstrument geregelt wird.
Der Auftragsverarbeiter ist seinerseits verpflichtet, die vertraglichen und unmittelbar für ihn geltenden gesetzlichen Datenschutzpflichten einzuhalten.
Ein AVV entbindet den Verantwortlichen nicht von seiner Verantwortung für die Rechtmäßigkeit der Datenverarbeitung.
Muss ein Auftragsverarbeitungsvertrag schriftlich abgeschlossen werden?
Nach Art. 28 Abs. 9 DS-GVO muss der Auftragsverarbeitungsvertrag oder das andere Rechtsinstrument schriftlich abgefasst sein. Ein elektronisches Format ist ausdrücklich zulässig.
Ein AVV kann daher beispielsweise elektronisch abgeschlossen und dokumentiert werden. Eine eigenhändige Unterschrift auf Papier ist nicht zwingend erforderlich.
Entscheidend ist, dass eine verbindliche Vereinbarung zustande kommt und ihr Inhalt nachweisbar ist.
Welche Folgen hat ein fehlender oder fehlerhafter AVV?
Liegt eine Auftragsverarbeitung vor, ohne dass die Anforderungen des Art. 28 DS-GVO erfüllt werden, besteht ein Datenschutzverstoß.
Dieser kann insbesondere aufsichtsbehördliche Maßnahmen und Geldbußen nach Art. 58 und Art. 83 DS-GVO nach sich ziehen.
Auch ein abgeschlossener Vertrag schützt nicht vor Verstößen, wenn wesentliche Pflichtinhalte fehlen oder die vereinbarten Datenschutzmaßnahmen tatsächlich nicht umgesetzt werden.
Darüber hinaus kann bei einem durch einen Datenschutzverstoß verursachten Schaden ein Schadensersatzanspruch nach Art. 82 DS-GVO bestehen, sofern dessen Voraussetzungen erfüllt sind.
Praxisbeispiel: Fehlender AVV bei einem Cloud-Dienstleister
Ein Unternehmen nutzt einen externen Cloud-Dienst, um Kundendaten zu speichern. Der Anbieter verarbeitet die Daten im Auftrag des Unternehmens und stellt die technische Infrastruktur bereit.
Obwohl personenbezogene Daten verarbeitet werden, hat das Unternehmen keinen AVV mit dem Cloud-Anbieter abgeschlossen.
Damit fehlt die nach Art. 28 Abs. 3 DS-GVO erforderliche vertragliche Regelung der Auftragsverarbeitung. Das Unternehmen muss sicherstellen, dass ein rechtskonformer AVV geschlossen wird und der Dienstleister ausreichende Datenschutzgarantien bietet.
legal data Einschätzung: Unternehmen sollten vor dem Einsatz externer Dienstleister prüfen, ob ein AVV erforderlich ist. Dabei kommt es nicht nur auf das Vorliegen eines Vertrags an, sondern auch auf dessen vollständige Pflichtinhalte und die tatsächliche Umsetzung der vereinbarten Sicherheitsmaßnahmen. Standardverträge von Cloud- und IT-Anbietern sollten deshalb vor ihrer Verwendung auf die Anforderungen des Art. 28 DS-GVO geprüft werden.
Rechtsgrundlagen
- Art. 4 Nr. 7 und Nr. 8 DS-GVO
- Art. 28 DS-GVO
- Art. 32 DS-GVO
- Art. 58 DS-GVO
- Art. 82 DS-GVO
- Art. 83 DS-GVO
Häufige Fragen zum Auftragsverarbeitungsvertrag
Was bedeutet die Abkürzung AVV?
AVV steht für Auftragsverarbeitungsvertrag. Er regelt die datenschutzrechtlichen Pflichten zwischen einem Verantwortlichen und einem Auftragsverarbeiter nach Art. 28 DS-GVO.
Ist ein AVV auch bei kleinen Unternehmen erforderlich?
Ja. Die Pflicht zum Abschluss eines AVV hängt nicht von der Unternehmensgröße ab. Entscheidend ist, ob eine Auftragsverarbeitung personenbezogener Daten vorliegt.
Wer muss den Auftragsverarbeitungsvertrag erstellen?
Die DS-GVO schreibt nicht vor, welche Vertragspartei den Entwurf bereitstellen muss. Verantwortlicher und Auftragsverarbeiter müssen jedoch sicherstellen, dass ihre Vereinbarung die gesetzlichen Anforderungen erfüllt.
Muss für jeden Dienstleister ein eigener AVV abgeschlossen werden?
Ein AVV ist für jede Auftragsverarbeitung erforderlich. Mehrere Verarbeitungstätigkeiten können jedoch in einer gemeinsamen Vereinbarung geregelt werden, sofern sämtliche gesetzlichen Anforderungen abgedeckt sind.
Ersetzt ein AVV die Einwilligung der betroffenen Personen?
Ein AVV ersetzt keine erforderliche Rechtsgrundlage nach Art. 6 DS-GVO. Ob eine Einwilligung notwendig ist oder eine andere Rechtsgrundlage greift, richtet sich nach der jeweiligen Verarbeitung.
Verwandte Begriffe.
Technische und organisatorische Maßnahmen (TOM) Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt. Art. 32 DSGVO Standardvertragsklauseln (SCC) Standardvertragsklauseln sind von der EU-Kommission vorgegebene Vertragsmuster, mit denen geeignete Garantien für die Übermittlung personenbezogener Daten in Drittländer geschaffen werden. Art. 46 Abs. 2 lit. c DSGVO 