Auftragsverarbeitungsvertrag

Hinweis: Dieser Glossareintrag erklärt den technischen und organisatorischen Rahmen und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deines Einzelfalls ist eine Anwältin oder ein Anwalt zuständig.

Welche Dienste verarbeiten eigentlich deine Daten?

Wir listen auf, welche externen Werkzeuge deine Website tatsächlich einbindet — und wo dafür noch ein Auftragsverarbeitungsvertrag fehlt.

Der Auftragsverarbeitungsvertrag (AVV) ist die nach Artikel 28 DSGVO vorgeschriebene schriftliche Vereinbarung zwischen einem Verantwortlichen und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest, bindet den Dienstleister an Weisungen und regelt Sicherheit, Unterauftragnehmer und Löschung. Ohne AVV ist die Weitergabe der Daten an den Dienstleister rechtswidrig.

Kurz zusammengefasst:

• Pflicht aus Art. 28 DSGVO — ohne Vertrag keine zulässige Auftragsverarbeitung.
• Betrifft Hoster, Newsletter-Dienste, Analysewerkzeuge, Wartungsdienstleister, Cloud-Speicher.
• Der Auftragsverarbeiter darf nur auf Weisung handeln und keine eigenen Zwecke verfolgen.
• Unterauftragnehmer brauchen eine Genehmigung und eine Kette gleichwertiger Pflichten.
• Die Verantwortung bleibt beim Auftraggeber — auslagern kann man die Arbeit, nicht die Haftung.

Wann ein AVV nötig ist — und wann nicht

Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Wer weisungsgebunden für einen anderen verarbeitet, ist Auftragsverarbeiter. Wer eigenverantwortlich über den Zweck bestimmt, ist es nicht.

Ein häufiger Irrtum: Es kommt nicht darauf an, ob der Dienstleister die Daten ansieht. Schon die Möglichkeit des Zugriffs — etwa beim Hoster oder bei Fernwartung — begründet die Auftragsverarbeitung.

Was im Vertrag stehen muss

Artikel 28 Absatz 3 DSGVO gibt den Mindestinhalt vor:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der Daten und Kategorien betroffener Personen
• Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen
• Vertraulichkeit der eingesetzten Personen
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
• Regeln für Unterauftragsverarbeiter
• Unterstützung bei Betroffenenrechten und bei Meldepflichten nach einer Datenpanne
• Löschung oder Rückgabe nach Ende der Leistung
• Nachweis- und Kontrollrechte des Auftraggebers

Der in der Praxis wichtigste und am häufigsten vernachlässigte Punkt sind die technischen und organisatorischen Maßnahmen. Sie stehen meist in einer Anlage — und diese Anlage ist oft der einzige Teil des Vertrags, der etwas über die tatsächliche Sicherheit aussagt. Sie ungelesen abzuheften, verschenkt den Zweck der Übung.

Unterauftragnehmer: die Kette

Kaum ein Dienstleister arbeitet allein. Der Newsletter-Dienst nutzt einen Cloud-Anbieter, der Hoster ein Rechenzentrum, das Analysewerkzeug einen Speicherdienst. Jeder dieser Unterauftragnehmer braucht eine Genehmigung — entweder einzeln oder allgemein mit Informations- und Widerspruchsrecht bei Änderungen.

Wichtig ist die Weitergabe der Pflichten: Der Auftragsverarbeiter muss seinem Unterauftragnehmer dieselben Datenschutzpflichten auferlegen und haftet, wenn dieser sie nicht erfüllt. Praktisch bedeutet das für dich: Die Liste der Unterauftragnehmer ist keine Formalie, sondern die Antwort auf die Frage, wo deine Daten tatsächlich landen.

Drittländer

Sitzt ein Dienstleister oder einer seiner Unterauftragnehmer außerhalb der EU und des EWR, braucht die Übermittlung eine eigene Grundlage — einen Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln oder eine andere Garantie nach Kapitel V der DSGVO. Der AVV allein reicht dafür nicht.

Das ist bei US-Anbietern der Regelfall und gehört vor dem Einsatz geprüft, nicht danach. In die Datenschutzerklärung gehört die Übermittlung ebenfalls.

Der Alltag: wo AVVs fehlen

Aus unserer Wartungspraxis: Fast jeder hat einen AVV mit dem Hoster. Vergessen werden regelmäßig

• der Newsletter-Dienst,
• das Analysewerkzeug,
• der Anbieter des Terminbuchungs- oder Formular-Werkzeugs,
• der Cloud-Speicher, in dem Backups liegen,
• und die Agentur oder Freelancerin, die Zugang zur Website hat.

Die meisten Anbieter stellen einen AVV bereit — häufig als Vertragsanlage, die im Kundenkonto abgerufen oder aktiviert werden muss. Er entsteht aber nicht von selbst: Ein Häkchen bei den AGB ersetzt ihn nicht. Es lohnt sich, einmal alle eingesetzten Dienste aufzulisten und Stück für Stück abzuhaken. Das ist eine Stunde Arbeit und schließt die häufigste Lücke im Datenschutz kleiner Unternehmen.

Häufige Fragen

Brauche ich einen AVV mit meinem Webhoster?

Ja. Der Hoster speichert Datenbank und Dateien deiner Website und hat damit Zugriff auf personenbezogene Daten, die dort anfallen — Kontaktformulare, Nutzerkonten, Serverprotokolle. Seriöse Anbieter stellen den Vertrag im Kundenkonto bereit.

Reicht es, wenn der Dienstleister die Daten gar nicht ansieht?

Nein. Für die Auftragsverarbeitung genügt die Möglichkeit des Zugriffs. Ein Hoster oder ein Fernwartungsdienstleister ist auch dann Auftragsverarbeiter, wenn er die Daten tatsächlich nie öffnet.

Was ist der Unterschied zur gemeinsamen Verantwortlichkeit?

Beim AVV handelt der Dienstleister weisungsgebunden für dich. Bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO legen zwei Beteiligte Zwecke und Mittel gemeinsam fest — dann braucht es keine Auftragsverarbeitung, sondern eine Vereinbarung über die jeweiligen Pflichten.

Brauche ich einen AVV mit meinem Steuerberater?

Nein. Steuerberater, Anwältinnen und Wirtschaftsprüfer handeln aufgrund eigener berufsrechtlicher Pflichten und sind eigene Verantwortliche, keine Auftragsverarbeiter.

Muss der AVV auf Papier unterschrieben sein?

Nein. Die DSGVO verlangt Textform und lässt ein elektronisches Format ausdrücklich zu. Üblich sind Vertragsanlagen, die im Kundenkonto bestätigt werden. Wichtig ist, dass du den Vertrag nachweisen kannst — also abspeichern statt nur zustimmen.

Was passiert, wenn ein AVV fehlt?

Die Weitergabe der Daten an den Dienstleister ist dann ohne rechtliche Grundlage. Das kann von der Aufsichtsbehörde beanstandet und mit einem Bußgeld belegt werden — unabhängig davon, ob tatsächlich etwas passiert ist. Der fehlende Vertrag ist der Verstoß.