Fast jedes Unternehmen hat Dienstleister, die mit Kundendaten arbeiten. Für einen Teil davon brauchen Sie einen Vertrag zur Auftragsverarbeitung – für einen anderen Teil ausdrücklich nicht. Wie Sie die beiden Gruppen auseinanderhalten.
Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten ausschließlich nach Ihren Weisungen verarbeitet und keine eigenen Zwecke damit verfolgt. Er ist verlängerter Arm, nicht eigenständiger Akteur.
Das klingt abstrakt, lässt sich aber mit einer einzigen Frage klären: Dürfte der Dienstleister die Daten für etwas verwenden, das Sie ihm nicht aufgetragen haben? Lautet die Antwort Nein, ist es Auftragsverarbeitung. Lautet sie Ja – etwa weil er berufsrechtlich eigenverantwortlich handelt –, dann nicht.
AV-Vertrag erforderlich:
Kein AV-Vertrag erforderlich:
Bei der zweiten Gruppe liegt eine eigene Verantwortlichkeit vor. Sie brauchen dort trotzdem eine Rechtsgrundlage für die Übermittlung – nur eben keinen AVV.
Ein AV-Vertrag ist kein Formblatt, sondern muss neun Punkte regeln:
Die Form ist frei wählbar: Schriftform oder elektronisches Format, beides ist nach Art. 28 Abs. 9 DSGVO zulässig.
Die TOM-Anlage ist leer. Der Vertrag verweist auf eine Anlage mit technischen und organisatorischen Maßnahmen – und die Anlage fehlt oder besteht aus drei Allgemeinplätzen. Damit fehlt der prüffähige Kern.
Die Subunternehmerliste wird nie gelesen. Große Anbieter aktualisieren sie mehrmals im Jahr. Genau dort tauchen neue Dienstleister und neue Drittländer auf.
Der AVV wird abgeheftet statt verknüpft. Ein Vertrag ohne Bezug zum Verarbeitungsverzeichnis ist bei einer Prüfung schwer zuzuordnen. Notieren Sie in jedem Verzeichniseintrag, welcher Dienstleister beteiligt ist und wo der Vertrag liegt.
Niemand prüft den Drittlandbezug. Sitzt der Anbieter oder einer seiner Subunternehmer außerhalb der EU, brauchen Sie zusätzlich eine Grundlage nach Kapitel V DSGVO – Angemessenheitsbeschluss oder Standardvertragsklauseln.
Beginnen Sie nicht mit den Verträgen, sondern mit einer Liste. Wer hat Zugriff auf welche Daten? Diese Liste entsteht ohnehin beim Verarbeitungsverzeichnis. Erst danach klären Sie pro Dienstleister die Rolle, dann holen Sie fehlende Verträge ein.
In der Praxis dauert eine vollständige Erhebung im Unternehmen mit 20 bis 60 Beschäftigten etwa einen halben Tag. Die Nacharbeit – fehlende Verträge anfordern, Antworten nachhalten – zieht sich meist über mehrere Wochen, weil Anbieter unterschiedlich schnell reagieren.
Ja. Art. 28 Abs. 9 DSGVO lässt neben der Schriftform ausdrücklich das elektronische Format zu. Wichtig ist, dass Sie die zugestimmte Fassung samt Datum abspeichern – ein Link auf die Website des Anbieters ist kein Nachweis, weil sich der Inhalt dort jederzeit ändern kann.
In der Regel nein. Steuerberater, Rechtsanwälte und Wirtschaftsprüfer werden aufgrund eigener gesetzlicher Berufspflichten tätig und sind damit selbst Verantwortliche, nicht weisungsgebundene Auftragsverarbeiter. Für die Übermittlung an sie brauchen Sie eine Rechtsgrundlage, aber keinen AVV.
Das Fehlen ist ein eigenständiger Verstoß nach Art. 28 i. V. m. Art. 83 Abs. 4 DSGVO – unabhängig davon, ob mit den Daten etwas passiert ist. Aufsichtsbehörden fragen AV-Verträge regelmäßig als Erstes ab, weil sie sich schnell prüfen lassen.
Sie müssen ihn nicht persönlich kennen, aber Sie müssen wissen, dass es ihn gibt. Der AVV muss regeln, ob Unterauftragsverarbeiter zulässig sind und wie Sie über Wechsel informiert werden. Diese Liste sollten Sie mindestens einmal jährlich durchsehen – dort verstecken sich die meisten Drittlandtransfers.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.