Kurz erklärt: Der Auftragsverarbeitungsvertrag ist der nach Art. 28 Abs. 3 DSGVO vorgeschriebene Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Betroffene und die Pflichten des Dienstleisters fest.
Was bedeutet Auftragsverarbeitungsvertrag?
Der Vertrag muss schriftlich oder elektronisch geschlossen werden und bestimmte Mindestinhalte enthalten: Verarbeitung nur auf Weisung, Vertraulichkeit des Personals, technische und organisatorische Maßnahmen, Regeln für Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe am Ende, Kontroll- und Auditrechte. Die EU-Kommission hat Standardvertragsklauseln für Auftragsverarbeitung veröffentlicht, die verwendet werden können.
Fehlt der Vertrag, ist die Weitergabe der Daten an den Dienstleister rechtswidrig, auch wenn der Dienstleister sorgfältig arbeitet. Das ist nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt.
Rechtsgrundlage
- Art. 28 Abs. 3 DSGVO (Inhalt des Vertrags)
- Art. 28 Abs. 9 DSGVO (Schriftform, elektronisch)
- Art. 28 Abs. 7 DSGVO (Standardvertragsklauseln der Kommission)
- Art. 28 Abs. 2 und 4 DSGVO (Unterauftragnehmer)
In der Praxis
Große Anbieter stellen den Vertrag als Teil ihrer Nutzungsbedingungen bereit (Microsoft, Google, Hoster); er muss dann nur dokumentiert werden. Bei regionalen Dienstleistern wie IT-Systemhäusern oder Lohnbüros muss der Verantwortliche den Vertrag aktiv einholen und prüfen, ob die TOM-Beschreibung zum Schutzbedarf passt. Berufsgeheimnisträger ergänzen die Verpflichtung nach § 203 StGB.
Häufige Fragen
Fragen zu Auftragsverarbeitungsvertrag
Brauche ich einen AVV mit Microsoft?
Ja. Microsoft stellt ihn als Datenschutznachtrag (Data Protection Addendum) bereit; er gilt mit Vertragsschluss. Eine Kopie gehört in die Unterlagen.
Wer muss den AVV vorlegen, Kunde oder Dienstleister?
Beide Seiten sind verpflichtet. In der Praxis stellt der Dienstleister einen Vertrag bereit; der Verantwortliche muss ihn prüfen und darf nicht ohne Vertrag beauftragen.
Verwandte Begriffe
Das gehört dazu
Ratgeber