Kurzdefinition: Der Auftragsverarbeitungsvertrag (AVV) ist die praktische Vertragsgrundlage der Verarbeitung im Auftrag. Nach Art. 28 DSGVO darf ein Verantwortlicher nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten; die Verarbeitung erfolgt auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments mit gesetzlich festgelegten Mindestinhalten. [N-DSGVO-28]
Der Normwortlaut
Art. 28 Abs. 3 DSGVO verlangt, dass die Verarbeitung „auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments“ erfolgt, in dem „Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen“ festgelegt sind. [N-DSGVO-28]
Wann ist ein AVV erforderlich?
Bei Verarbeitung im Auftrag. Sobald ein Dienstleister personenbezogene Daten weisungsgebunden für den Verantwortlichen verarbeitet — etwa ein Cloud-, Hosting- oder Lohnabrechnungsdienstleister —, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes Rechtsinstrument; praktisch ist das regelmäßig der AVV. Ohne diese Grundlage ist die Auftragsverarbeitung nicht rechtmäßig. [N-DSGVO-28]
Was muss im AVV stehen?
Die Mindestinhalte des Art. 28 Abs. 3 DSGVO. Dazu gehören Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Insbesondere ist festzulegen, dass der Auftragsverarbeiter die Daten nur auf dokumentierte Weisung verarbeitet und geeignete technische und organisatorische Maßnahmen trifft. [N-DSGVO-28] [N-DSGVO-32]
Dürfen Unterauftragsverarbeiter eingesetzt werden?
Nur mit Genehmigung. Nach Art. 28 Abs. 2 DSGVO nimmt der Auftragsverarbeiter weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen in Anspruch. Bei allgemeiner Genehmigung ist über beabsichtigte Änderungen zu informieren, damit der Verantwortliche widersprechen kann. [N-DSGVO-28]
In welcher Form ist der AVV abzufassen?
Schriftlich. Der Vertrag oder das andere Rechtsinstrument im Sinne des Art. 28 Abs. 3 DSGVO ist nach Art. 28 Abs. 9 DSGVO schriftlich abzufassen, wobei ein elektronisches Format zulässig ist. Eine bloß mündliche Absprache genügt nicht. [N-DSGVO-28]
Auf welcher Grundlage verarbeitet der Auftragsverarbeiter?
Nur auf Weisung. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen. Er darf nicht frei über die Daten verfügen; die Steuerungsbefugnis bleibt beim Verantwortlichen. [N-DSGVO-28]
Häufige Fehlannahmen
- „Ein AVV ist nur eine Formalie.“ Nein. Ohne Vertrag oder anderes Rechtsinstrument mit den Art.-28-Mindestinhalten ist die Auftragsverarbeitung nicht rechtmäßig. [N-DSGVO-28]
- „Ein mündlicher AVV genügt.“ Nein. Der Vertrag ist schriftlich abzufassen; ein elektronisches Format ist zulässig. [N-DSGVO-28]
- „Der AVV muss nur Gegenstand und Dauer der Verarbeitung nennen.“ Nein. Er muss auch die technisch-organisatorischen Maßnahmen, die Unterstützung bei Betroffenenrechten und bei Datenschutzverletzungen sowie die Rückgabe oder Löschung der Daten nach Vertragsende regeln. [N-DSGVO-28] [N-DSGVO-32]
- „Der Auftragsverarbeiter darf frei über die Daten verfügen.“ Nein. Er verarbeitet nur auf dokumentierte Weisung des Verantwortlichen. [N-DSGVO-28]
- „Unterdienstleister können ohne Weiteres eingeschaltet werden.“ Nein. Es bedarf einer vorherigen Genehmigung des Verantwortlichen. [N-DSGVO-28]
Was die Geschäftsleitung tun sollte
- AVV abschließen. Mit jedem weisungsgebundenen Dienstleister einen Vertrag nach Art. 28 DSGVO schließen.
- Mindestinhalte prüfen. Gegenstand, Zweck, Datenarten, Weisungsbindung und Maßnahmen aufnehmen.
- Garantien einfordern. Nur Auftragsverarbeiter mit hinreichenden Garantien einsetzen.
- Unterauftragnehmer steuern. Genehmigungsvorbehalt und Informationsrechte vereinbaren.
Für die Geschäftsleitung
Der Auftragsverarbeitungsvertrag ist die Eintrittskarte für jede ausgelagerte Datenverarbeitung: Ohne ihn ist der Einsatz von Cloud- und IT-Dienstleistern datenschutzrechtlich angreifbar. Für das Unternehmen ist er zugleich ein Steuerungsinstrument — er bindet den Dienstleister an Weisungen, Sicherheit und Kontrolle der Unterauftragnehmer.
Quellen
- [N-DSGVO-28] Art. 28 DSGVO (Auftragsverarbeiter), Abs. 1 bis 3 und Abs. 9. Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-32] Art. 32 DSGVO (Sicherheit der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
