Auftragsverarbeitungsvertrag AVV Vorlage (Word & PDF)

Mit unserer kostenlosen Auftragsverarbeitungsvertrag AVV Vorlage kannst du eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO strukturiert vorbereiten. Die Vorlage eignet sich beispielsweise für Unternehmen, Agenturen, IT-Dienstleister, Hostinganbieter, Cloud-Dienste, Newsletter-Dienstleister und andere Anbieter, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeiten.

Ein AVV wird nicht deshalb notwendig, weil zwei Unternehmen generell Daten miteinander austauschen. Entscheidend ist vielmehr, ob eine Partei personenbezogene Daten im Auftrag und nach Weisung der anderen Partei verarbeitet. Genau diese Rollenverteilung sollte vor Abschluss eines AVV geprüft werden.

Die Vorlage berücksichtigt insbesondere Weisungen, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen, Kontrollrechte, Drittlandübermittlungen sowie Löschung und Rückgabe von Daten nach Vertragsende.

Die Vorlage steht als Word- und PDF-Datei zur Verfügung. Die Word-Version lässt sich vollständig an Verarbeitung, Dienstleister, Datenarten und TOMs anpassen. Die PDF-Version eignet sich zum Ausdrucken und strukturierten Prüfen der vereinbarten Datenschutzpflichten.

Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Verantwortlichen.

Typischerweise bestimmt der Verantwortliche den Zweck der Verarbeitung, während der Auftragsverarbeiter die Daten im Rahmen dokumentierter Weisungen verarbeitet.

Wann braucht man einen AVV?

Ein AVV kann beispielsweise erforderlich sein, wenn ein Dienstleister personenbezogene Daten für einen Kunden verarbeitet.

Typische Beispiele sind:

• Hosting
• Cloud-Speicher
• Newsletter-Versand
• CRM-Dienstleistungen
• IT-Support mit Datenzugriff
• Lohnabrechnung als Dienstleistung
• Callcenter im Auftrag
• externe Datenverarbeitung
• bestimmte Agenturleistungen

Wann ist ein AVV nicht automatisch richtig?

Nicht jeder externe Dienstleister ist Auftragsverarbeiter.

Beispielsweise kann eine andere Rollenverteilung vorliegen, wenn der Dienstleister die Daten für eigene Zwecke verarbeitet oder selbst wesentliche Entscheidungen über die Verarbeitung trifft.

Verantwortlicher und Auftragsverarbeiter unterscheiden

Die Rollen sollten vor Vertragsschluss sauber bestimmt werden.

Die Leitlinien des Europäischen Datenschutzausschusses betonen, dass die Begriffe „Verantwortlicher“ und „Auftragsverarbeiter“ anhand der tatsächlichen Funktionen und Entscheidungen bei der Datenverarbeitung zu bestimmen sind.

Die EDPB-Leitlinien findest du unter Guidelines 07/2020 des EDPB.

Was verlangt Art. 28 DSGVO?

Art. 28 DSGVO legt konkrete Mindestanforderungen an die Auftragsverarbeitung fest.

Ein AVV sollte insbesondere regeln:

• Gegenstand der Verarbeitung
• Dauer der Verarbeitung
• Art der Verarbeitung
• Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Rechte und Pflichten des Verantwortlichen
• Weisungen
• Vertraulichkeit
• Sicherheitsmaßnahmen
• Unterauftragnehmer
• Unterstützungspflichten
• Löschung oder Rückgabe
• Nachweise und Audits

So verwendest du die AVV Vorlage

1. Rollen prüfen: Stelle zuerst fest, ob tatsächlich eine Auftragsverarbeitung vorliegt.
2. Parteien eintragen: Ergänze Verantwortlichen und Auftragsverarbeiter vollständig.
3. Verarbeitung beschreiben: Trage Gegenstand, Dauer, Art und Zweck ein.
4. Datenarten erfassen: Dokumentiere die betroffenen Kategorien personenbezogener Daten.
5. Betroffene Personen nennen: Ergänze beispielsweise Kunden, Mitarbeiter oder Interessenten.
6. Weisungen regeln: Bestimme Form und Ansprechpartner für dokumentierte Weisungen.
7. TOMs ergänzen: Beschreibe die technischen und organisatorischen Maßnahmen in einer Anlage.
8. Unterauftragnehmer festlegen: Dokumentiere bestehende Dienstleister und das Verfahren bei Änderungen.
9. Drittlandtransfers prüfen: Erfasse gegebenenfalls Verarbeitung außerhalb des EWR.
10. Löschung und Kontrolle regeln: Bestimme Rückgabe, Löschung, Nachweise und Auditverfahren.

Beispiel für eine Auftragsverarbeitung

Hauptvertrag und AVV unterscheiden

Der AVV regelt den Datenschutzteil einer Dienstleistungsbeziehung.

Der zugrunde liegende Hauptvertrag regelt dagegen beispielsweise:

• Leistung
• Vergütung
• Laufzeit
• Support
• Haftung

AVV ergänzt den Hauptvertrag

Ein AVV sollte deshalb möglichst auf den zugrunde liegenden Vertrag Bezug nehmen.

Gegenstand der Verarbeitung

Der Gegenstand beschreibt, was der Dienstleister für den Verantwortlichen mit personenbezogenen Daten tut.

Zum Beispiel:

• Speicherung
• Hosting
• Support
• Versand
• Auswertung nach Weisung
• Backups

Dauer der Verarbeitung

Die Dauer kann an die Laufzeit des Hauptvertrags gekoppelt werden.

Zusätzlich sollten Nachlaufzeiten für:

• Datenexport
• Löschung
• Backups

berücksichtigt werden.

Art der Verarbeitung

Die Art beschreibt, welche Verarbeitungsvorgänge stattfinden.

Zum Beispiel:

• Erheben
• Speichern
• Ordnen
• Übermitteln
• Bereitstellen
• Löschen

Zweck der Verarbeitung

Der Zweck sollte möglichst konkret formuliert werden.

Kategorien personenbezogener Daten

Der AVV sollte dokumentieren, welche Datenarten verarbeitet werden.

Zum Beispiel:

• Stammdaten
• Kontaktdaten
• Vertragsdaten
• Kommunikationsdaten
• Nutzungsdaten
• Abrechnungsdaten
• IP-Adressen
• Supportdaten

Keine pauschale Formulierung verwenden

Eine Angabe wie „alle Daten“ ist häufig wenig hilfreich.

Die Kategorien sollten möglichst zum tatsächlichen Dienst passen.

Besondere Kategorien personenbezogener Daten

Werden Daten nach Art. 9 DSGVO verarbeitet, sollte dies ausdrücklich dokumentiert werden.

Dazu können beispielsweise gehören:

• Gesundheitsdaten
• biometrische Daten
• religiöse Überzeugungen
• Gewerkschaftszugehörigkeit

Höheres Schutzbedürfnis berücksichtigen

Bei besonders sensiblen Daten können zusätzliche Sicherheitsmaßnahmen notwendig sein.

Kategorien betroffener Personen

Auch die betroffenen Personengruppen sollten genannt werden.

Zum Beispiel:

• Kunden
• Interessenten
• Mitarbeiter
• Bewerber
• Lieferantenkontakte
• Website-Besucher

Dokumentierte Weisungen

Nach Art. 28 DSGVO verarbeitet der Auftragsverarbeiter personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen.

Das gilt auch für Übermittlungen an ein Drittland oder eine internationale Organisation, soweit keine gesetzliche Verpflichtung entgegensteht.

Weisungen schriftlich dokumentieren

Weisungen können beispielsweise erfolgen über:

• E-Mail
• Ticketsystem
• Kundenportal
• schriftliche Ergänzung

Weisungsberechtigte Personen

Es kann sinnvoll sein, feste Ansprechpartner zu benennen.

Damit wird verhindert, dass beliebige Mitarbeiter widersprüchliche Weisungen erteilen.

Mündliche Weisungen

Mündliche Weisungen können aus praktischen Gründen vorkommen.

Sie sollten möglichst zeitnah dokumentiert werden.

Rechtswidrige Weisung

Art. 28 DSGVO verlangt, dass der Auftragsverarbeiter den Verantwortlichen unverzüglich informiert, wenn er der Auffassung ist, eine Weisung verstoße gegen Datenschutzrecht.

Keine Verarbeitung für eigene Zwecke

Der Auftragsverarbeiter darf Daten aus der Auftragsverarbeitung nicht einfach für eigene, unabhängige Zwecke verwenden.

Tut er dies, kann sich seine datenschutzrechtliche Rolle ändern.

Eigene Zwecke klar trennen

Verarbeitet ein Dienstleister bestimmte Daten zusätzlich für eigene Zwecke, sollte dies rechtlich separat betrachtet und transparent geregelt werden.

Vertraulichkeit

Art. 28 DSGVO verlangt, dass Personen mit Zugriff auf die Daten zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Welche Personen betrifft das?

Zum Beispiel:

• Mitarbeiter
• Administratoren
• Supportpersonal
• externe Techniker

Zugriff nach Need-to-know-Prinzip

Nur Personen, die den Zugriff tatsächlich für ihre Tätigkeit benötigen, sollten entsprechende Berechtigungen erhalten.

Berechtigungskonzept

Ein Berechtigungskonzept kann regeln:

• Benutzerrollen
• Adminrechte
• Freigaben
• Entzug von Rechten

Technische und organisatorische Maßnahmen

Art. 28 DSGVO verweist für Sicherheitsmaßnahmen auf Art. 32 DSGVO.

Die TOMs sollten möglichst in einer eigenen Anlage dokumentiert werden.

Was sind TOMs?

TOMs sind technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Typische Bereiche sind:

• Zutrittskontrolle
• Zugangskontrolle
• Zugriffskontrolle
• Verschlüsselung
• Backups
• Verfügbarkeit
• Wiederherstellung
• Protokollierung
• Schwachstellenmanagement
• Incident Response

TOMs risikobasiert festlegen

Die geeigneten Maßnahmen hängen unter anderem ab von:

• Art der Daten
• Umfang
• Verarbeitungszweck
• Risiken für betroffene Personen
• Stand der Technik

Verschlüsselung

Je nach Verarbeitung kann Verschlüsselung sinnvoll sein.

Zum Beispiel für:

• Datenübertragung
• Datenträger
• Backups
• mobile Geräte

Pseudonymisierung

Auch Pseudonymisierung kann abhängig vom Verarbeitungsszenario eine geeignete Schutzmaßnahme sein.

Mehr-Faktor-Authentifizierung

Für besonders sensible Systeme kann Mehr-Faktor-Authentifizierung sinnvoll oder erforderlich sein.

Backups

Backups sollten nicht nur erstellt, sondern auch gegen unbefugten Zugriff geschützt werden.

Wiederherstellung testen

Ein Backup ist nur dann wirklich nützlich, wenn eine Wiederherstellung im Notfall möglich ist.

Änderungen an TOMs

TOMs können sich im Laufe eines Vertrags weiterentwickeln.

Der Vertrag kann zulassen, dass der Auftragsverarbeiter gleichwertige oder bessere Maßnahmen einführt, ohne das Schutzniveau zu unterschreiten.

Keine Verschlechterung des Schutzniveaus

Wesentliche Änderungen sollten den vereinbarten Schutz nicht unangemessen reduzieren.

Unterauftragnehmer

Art. 28 DSGVO enthält besondere Regeln für weitere Auftragsverarbeiter.

Ein weiterer Auftragsverarbeiter darf nicht ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen eingesetzt werden.

Spezifische Genehmigung

Bei einer spezifischen Genehmigung wird jeder neue Unterauftragnehmer einzeln freigegeben.

Allgemeine Genehmigung

Bei einer allgemeinen Genehmigung kann der Auftragsverarbeiter grundsätzlich bestimmte Unterauftragnehmer einsetzen.

Er muss den Verantwortlichen aber über geplante Änderungen informieren und ihm Gelegenheit zum Widerspruch geben.

Unterauftragnehmerliste

Bestehende Unterauftragnehmer können in einer Anlage aufgeführt werden.

Zum Beispiel mit:

• Name
• Sitz
• Leistung
• Verarbeitungsort

Änderungen mitteilen

Der Vertrag sollte festlegen, wie früh und auf welchem Weg Änderungen der Unterauftragnehmerliste mitgeteilt werden.

Widerspruchsrecht

Bei allgemeiner Genehmigung sollte ein praktikables Verfahren für Einwände gegen neue Unterauftragnehmer vorgesehen werden.

Unterauftragnehmer müssen Datenschutzpflichten übernehmen

Art. 28 Abs. 4 DSGVO verlangt, dass dem weiteren Auftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt werden.

Erster Auftragsverarbeiter bleibt verantwortlich

Erfüllt ein weiterer Auftragsverarbeiter seine Pflichten nicht, bleibt der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Verpflichtungen verantwortlich. }

Betroffenenrechte

Der Auftragsverarbeiter muss den Verantwortlichen nach Möglichkeit dabei unterstützen, Anträge betroffener Personen zu bearbeiten.

Dazu gehören beispielsweise:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung
• Datenübertragbarkeit
• Widerspruch

Anfragen direkt beim Auftragsverarbeiter

Erhält der Dienstleister eine Anfrage einer betroffenen Person, sollte festgelegt werden, wie er damit umgeht.

Technische Unterstützung

Je nach System kann der Auftragsverarbeiter beispielsweise Daten:

• exportieren
• berichtigen
• sperren
• löschen

müssen.

Unterstützung bei Art. 32 bis 36 DSGVO

Art. 28 DSGVO verlangt außerdem Unterstützung bei bestimmten weiteren Datenschutzpflichten.

Dazu gehören insbesondere Themen rund um:

• Sicherheit der Verarbeitung
• Datenschutzverletzungen
• Datenschutz-Folgenabschätzung
• gegebenenfalls vorherige Konsultation der Aufsichtsbehörde

Datenschutzverletzungen

Kommt es beim Auftragsverarbeiter zu einer Verletzung des Schutzes personenbezogener Daten, muss der Verantwortliche schnell informiert werden.

Art. 33 Abs. 2 DSGVO verlangt, dass der Auftragsverarbeiter den Verantwortlichen nach Bekanntwerden unverzüglich benachrichtigt.

Was sollte eine Meldung enthalten?

Soweit verfügbar, können insbesondere mitgeteilt werden:

• Art des Vorfalls
• Zeitpunkt
• betroffene Systeme
• Datenkategorien
• betroffene Personengruppen
• mögliche Auswirkungen
• bereits ergriffene Maßnahmen

Keine starre Meldung erst nach vollständiger Untersuchung

Der Verantwortliche benötigt Informationen gegebenenfalls sehr schnell.

Deshalb kann eine erste Meldung erfolgen, bevor sämtliche Details abschließend geklärt sind.

Informationsnachlieferung

Weitere Erkenntnisse können anschließend ergänzt werden.

Incident-Kontakt

Der AVV kann einen festen Kontakt für Datenschutzvorfälle nennen.

Datenschutz-Folgenabschätzung

Kann eine Verarbeitung voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen mit sich bringen, kann eine Datenschutz-Folgenabschätzung erforderlich sein.

Unterstützung des Verantwortlichen

Der Auftragsverarbeiter kann die für seine Systeme verfügbaren Informationen bereitstellen.

Keine automatische Übernahme der Verantwortlichkeit

Die Hauptverantwortung für die Prüfung, ob eine DSFA erforderlich ist, liegt nicht allein beim Auftragsverarbeiter.

Kontrollrechte

Art. 28 DSGVO verpflichtet den Auftragsverarbeiter, dem Verantwortlichen Informationen zum Nachweis der Einhaltung seiner Pflichten bereitzustellen.

Außerdem müssen Audits einschließlich Inspektionen ermöglicht und unterstützt werden.

Auditverfahren praktikabel gestalten

Der AVV kann ein Verfahren festlegen, das Datenschutzkontrolle ermöglicht, ohne den Geschäftsbetrieb unnötig zu stören.

Zum Beispiel:

• Vorankündigung
• Geschäftszeiten
• Vertraulichkeit
• geeignete Prüfer

Nachweise statt Vor-Ort-Prüfung

Je nach Risiko können zunächst Dokumente oder unabhängige Prüfberichte bereitgestellt werden.

Zum Beispiel:

• Zertifizierungen
• Auditberichte
• Informationssicherheitsnachweise
• TOM-Dokumentation

Vor-Ort-Kontrolle nicht vollständig ausschließen

Ein Vertrag sollte gesetzlich vorgesehene Kontrollmöglichkeiten nicht vollständig beseitigen.

Kosten von Audits

Für außergewöhnlich häufige oder aufwendige zusätzliche Kontrollen können vertragliche Kostenregelungen vereinbart werden, soweit sie die Kontrollrechte nicht praktisch entwerten.

Vertraulichkeit bei Audits

Audits können Informationen über andere Kunden oder interne Sicherheitsmaßnahmen offenlegen.

Prüfer sollten deshalb angemessen zur Vertraulichkeit verpflichtet sein.

Verarbeitungsorte

Der AVV sollte dokumentieren, wo Daten verarbeitet werden.

Zum Beispiel:

• Deutschland
• EU
• EWR
• Drittland

Drittlandübermittlungen

Werden personenbezogene Daten in ein Drittland übermittelt, gelten zusätzliche Anforderungen der DSGVO.

Art. 44 DSGVO stellt klar, dass Übermittlungen in Drittländer nur unter den Voraussetzungen des entsprechenden Kapitels erfolgen dürfen.

Angemessenheitsbeschluss

Eine mögliche Grundlage kann ein Angemessenheitsbeschluss nach Art. 45 DSGVO sein.

Geeignete Garantien

In anderen Fällen können geeignete Garantien nach Art. 46 DSGVO erforderlich sein.

Dazu können beispielsweise Standardvertragsklauseln gehören.

Unterauftragnehmer außerhalb des EWR

Auch wenn nur ein Unterauftragnehmer Daten außerhalb des EWR verarbeitet, sollte der Drittlandtransfer berücksichtigt werden.

Fernzugriff aus Drittland

Nicht nur die physische Speicherung kann relevant sein.

Auch Zugriffe aus einem Drittland sollten bei der Prüfung berücksichtigt werden.

Drittlandtransfers nicht nur pauschal erlauben

Die konkrete Grundlage und der Verarbeitungsort sollten möglichst transparent dokumentiert werden.

Löschung nach Vertragsende

Nach Art. 28 DSGVO muss der Auftragsverarbeiter nach Abschluss der Verarbeitungsleistungen nach Wahl des Verantwortlichen personenbezogene Daten löschen oder zurückgeben, sofern keine gesetzliche Speicherungspflicht besteht.

Wahlrecht des Verantwortlichen

Der AVV kann festlegen, wie der Verantwortliche auswählt zwischen:

• Datenrückgabe
• Löschung

Datenexport

Bei Cloud-Diensten ist es sinnvoll, ein geeignetes Exportformat zu vereinbaren.

Zum Beispiel:

• CSV
• JSON
• XML
• Datenbankexport

Export vor Löschung

Der Verantwortliche sollte ausreichend Gelegenheit erhalten, benötigte Daten vor endgültiger Löschung zu sichern.

Backups

Daten können nach Vertragsende noch zeitweise in Sicherungskopien enthalten sein.

Der AVV sollte beschreiben, wie damit umgegangen wird.

Löschbestätigung

Der Verantwortliche kann eine dokumentierte Bestätigung der Löschung verlangen.

Gesetzliche Aufbewahrungspflichten

Muss der Auftragsverarbeiter bestimmte Daten aufgrund gesetzlicher Pflichten weiterhin speichern, sollten diese Daten für andere Zwecke gesperrt beziehungsweise entsprechend geschützt bleiben.

Rückgabe von Datenträgern

Bei physischen Datenträgern sollte geregelt werden, ob sie:

• zurückgegeben
• sicher gelöscht oder
• vernichtet

werden.

Dokumentationspflichten

Der Auftragsverarbeiter sollte relevante Datenschutzprozesse nachvollziehbar dokumentieren.

Zum Beispiel:

• Weisungen
• Unterauftragnehmer
• Incidents
• TOMs
• Löschung
• Audits

Verzeichnis von Verarbeitungstätigkeiten

Auch Auftragsverarbeiter können eigene Pflichten im Zusammenhang mit dem Verzeichnis von Verarbeitungstätigkeiten haben.

Datenschutzbeauftragter

Ist ein Datenschutzbeauftragter benannt, können dessen Kontaktdaten im AVV hinterlegt werden.

Kein Datenschutzbeauftragter zwingend nur wegen AVV

Die bloße Rolle als Auftragsverarbeiter bedeutet nicht automatisch, dass in jedem Fall ein Datenschutzbeauftragter bestellt werden muss.

Ansprechpartner für Datenschutz

Unabhängig davon kann ein Datenschutzkontakt benannt werden.

Aufsichtsbehörden

Der Auftragsverarbeiter kann verpflichtet sein, im Rahmen seiner gesetzlichen Pflichten mit zuständigen Datenschutzaufsichtsbehörden zusammenzuarbeiten.

Behördliche Anfragen

Erhält der Auftragsverarbeiter eine Anfrage zu Daten des Verantwortlichen, sollte er diesen soweit rechtlich zulässig informieren.

Keine Offenlegung ohne Rechtsgrundlage

Personenbezogene Daten sollten nicht allein aufgrund einer informellen Anfrage an Dritte herausgegeben werden.

Vertragsänderungen

Ändern sich Verarbeitung oder Dienstleistungen wesentlich, sollte der AVV angepasst werden.

Zum Beispiel bei:

• neuen Datenkategorien
• neuen Verarbeitungsvorgängen
• neuen Unterauftragnehmern
• neuen Drittlandtransfers

Aktuelle Anlagen pflegen

Insbesondere die Anlagen zu TOMs und Unterauftragnehmern sollten nicht jahrelang unverändert bleiben, wenn sich die tatsächliche Verarbeitung geändert hat.

Rangfolge der Vertragsdokumente

Bei Widersprüchen zwischen Hauptvertrag und AVV sollte geregelt werden, welche Datenschutzregelung Vorrang hat.

Keine Absenkung gesetzlicher Pflichten

Ein Hauptvertrag kann die zwingenden Anforderungen der DSGVO nicht wirksam ausschließen.

Haftung

Der Hauptvertrag kann ergänzende Haftungsregelungen enthalten.

Die gesetzlichen datenschutzrechtlichen Haftungsregelungen bleiben jedoch zu berücksichtigen.

Bußgelder nicht pauschal verlagern

Es sollte nicht ungeprüft davon ausgegangen werden, dass jede datenschutzrechtliche Sanktion vertraglich vollständig auf die andere Partei abgewälzt werden kann.

Mitwirkungskosten

Bestimmte außergewöhnliche Unterstützungsleistungen können sehr aufwendig sein.

Der Hauptvertrag kann gegebenenfalls angemessene Vergütungsregeln enthalten, soweit gesetzlich geschuldete Mindestpflichten dadurch nicht ausgehöhlt werden.

Cloud-Anbieter

Bei Cloud-Diensten ist ein AVV besonders häufig relevant.

Zu prüfen sind insbesondere:

• Hostingregion
• Unterauftragnehmer
• Supportzugriffe
• Drittlandtransfers
• Löschkonzept

Hosting-Anbieter

Ein Hostinganbieter verarbeitet häufig personenbezogene Daten im Auftrag des Websitebetreibers.

Der konkrete Umfang kann beispielsweise Serverlogs, Datenbanken und Backups umfassen.

Newsletter-Dienstleister

Beim Newsletter-Versand können insbesondere verarbeitet werden:

• E-Mail-Adressen
• Namen
• Versandstatus
• gegebenenfalls Nutzungsdaten

Agenturen

Eine Agentur kann Auftragsverarbeiter sein, wenn sie beispielsweise CRM-, Newsletter- oder Werbesysteme ausschließlich nach Weisung des Kunden bedient.

Sie kann aber bei anderen Tätigkeiten auch eine andere Datenschutzrolle besitzen.

Agenturrolle nicht pauschal festlegen

Jede konkrete Verarbeitung sollte separat betrachtet werden.

Für die allgemeine Zusammenarbeit kann zusätzlich unsere Agenturvertrag Vorlage verwendet werden.

IT-Dienstleister

IT-Support kann Auftragsverarbeitung sein, wenn der Dienstleister auf personenbezogene Kundensysteme zugreifen kann und die Verarbeitung im Auftrag erfolgt.

Für die allgemeinen Leistungsbedingungen steht unsere IT-Dienstleistungsvertrag Vorlage zur Verfügung.

Dienstleistungsvertrag und AVV

Ein allgemeiner Dienstleistungsvertrag ersetzt den AVV nicht, wenn Art. 28 DSGVO einschlägig ist.

Umgekehrt ersetzt der AVV auch nicht den eigentlichen Dienstleistungsvertrag.

Vertraulichkeitsvereinbarung

Der AVV enthält bereits datenschutzrechtliche Vertraulichkeitspflichten.

Für zusätzliche Geschäftsgeheimnisse kann unsere Geheimhaltungsvereinbarung / NDA Vorlage sinnvoll sein.

Art. 28 und Geschäftsgeheimnisse unterscheiden

Datenschutz schützt personenbezogene Daten.

Geschäftsgeheimnisse können dagegen auch Informationen betreffen, die keinen Personenbezug besitzen.

Anlage 1 – Beschreibung der Verarbeitung

Eine sinnvolle AVV-Anlage kann folgende Punkte enthalten:

• Gegenstand
• Dauer
• Art
• Zweck
• Datenkategorien
• betroffene Personen

Anlage 2 – TOMs

Die zweite Anlage kann das Sicherheitskonzept beschreiben.

Zum Beispiel:

• Zugriffsschutz
• Verschlüsselung
• Backups
• Logging
• Incident Management

Anlage 3 – Unterauftragnehmer

Eine weitere Anlage kann alle bestehenden Unterauftragnehmer dokumentieren.

Anlagen datieren

Gerade bei häufig wechselnden Dienstleistern kann ein Versionsdatum sinnvoll sein.

AVV elektronisch abschließen

Art. 28 DSGVO erlaubt eine schriftliche Form einschließlich elektronischer Form.

Ein AVV muss deshalb nicht zwingend als Papiervertrag mit handschriftlicher Unterschrift geführt werden.

Online-Abschluss dokumentieren

Bei elektronischem Vertragsschluss sollte nachvollziehbar bleiben, welche Vertragsversion zu welchem Zeitpunkt vereinbart wurde.

Standardvertragsklauseln eines Anbieters

Viele große Cloud-Anbieter stellen eigene AVVs beziehungsweise Data Processing Addenda zur Verfügung.

Diese sollten hinsichtlich des konkreten Dienstes und der tatsächlichen Verarbeitung geprüft werden.

Nicht mehrere widersprüchliche AVVs parallel verwenden

Wird bereits ein verbindlicher AVV des Anbieters akzeptiert, sollte nicht zusätzlich ungeprüft ein zweiter widersprüchlicher Vertrag verwendet werden.

Verarbeitung im Konzern

Auch innerhalb eines Konzerns kann Auftragsverarbeitung vorliegen.

Die gesellschaftsrechtliche Verbundenheit allein hebt die DSGVO-Rollen nicht auf.

Interne Dienstleister

Erbringt eine Konzerngesellschaft beispielsweise zentral IT- oder HR-Dienstleistungen für andere Gesellschaften, sollte die Rollenverteilung geprüft werden.

Besondere Verarbeitungssituationen

Ein AVV sollte bei Bedarf zusätzliche Regelungen enthalten, wenn besonders hohe Risiken bestehen.

Zum Beispiel bei:

• Gesundheitsdaten
• großen Datenmengen
• umfangreichem Profiling
• systematischer Überwachung

Keine pauschale Musterlösung für jeden Dienst

Ein Hosting-AVV benötigt andere Anlagen als ein AVV für Lohnabrechnung oder medizinische Datenverarbeitung.

Typische Fehler beim AVV

Viele Probleme entstehen dadurch, dass ein Muster nicht an die tatsächliche Verarbeitung angepasst wird.

• falsche Rollen: AVV wird geschlossen, obwohl keine Auftragsverarbeitung vorliegt.
• Verarbeitung zu allgemein: Zweck und Datenarten bleiben unklar.
• TOMs fehlen: Sicherheitsmaßnahmen werden nicht dokumentiert.
• Unterauftragnehmer fehlen: tatsächliche Dienstleister sind nicht berücksichtigt.
• Drittlandtransfer übersehen: Support oder Hosting erfolgt außerhalb des EWR.
• Weisungen unklar: Ansprechpartner und Dokumentation fehlen.
• Incident-Prozess fehlt: Datenschutzverletzungen werden zu spät gemeldet.
• Auditrecht vollständig ausgeschlossen: Art. 28 DSGVO wird nicht ausreichend berücksichtigt.
• Löschung unklar: Backups und Export werden nicht geregelt.
• AVV veraltet: tatsächliche Systeme und Unterauftragnehmer haben sich geändert.

Checkliste vor Unterzeichnung

Vor Abschluss eines AVV sollten insbesondere folgende Fragen beantwortet sein:

• Liegt tatsächlich Auftragsverarbeitung vor?
• Wer ist Verantwortlicher?
• Wer ist Auftragsverarbeiter?
• Was ist Gegenstand der Verarbeitung?
• Wie lange wird verarbeitet?
• Welche Datenarten sind betroffen?
• Welche Personen sind betroffen?
• Wie werden Weisungen dokumentiert?
• Welche TOMs gelten?
• Welche Unterauftragnehmer werden eingesetzt?
• Wie werden Änderungen mitgeteilt?
• Gibt es Drittlandtransfers?
• Wie werden Betroffenenrechte unterstützt?
• Wie werden Datenschutzverletzungen gemeldet?
• Wie funktionieren Audits?
• Wie werden Daten nach Vertragsende gelöscht oder zurückgegeben?

Word oder PDF – welches Format eignet sich besser?

Beide Downloads enthalten dieselbe Grundstruktur.

• Word: ideal, um Verarbeitung, Datenarten, Weisungen, TOMs, Unterauftragnehmer und Löschregeln individuell anzupassen.
• PDF: praktisch zum Ausdrucken, Besprechen und strukturierten Prüfen der Auftragsverarbeitung.

AVV individuell anpassen

Ein AVV für einfaches Website-Hosting sieht anders aus als eine Vereinbarung für eine umfangreiche Cloud-Plattform mit mehreren Unterauftragnehmern, Gesundheitsdaten und internationalen Datentransfers.

Die Vorlage ist deshalb eine allgemeine Arbeitsgrundlage und ersetzt keine individuelle rechtliche oder datenschutzrechtliche Beratung.

Besonders bei sensiblen Daten, großen Datenmengen, komplexen Unterauftragnehmerketten, Drittlandtransfers oder unklaren Verantwortlichkeiten sollte die konkrete Verarbeitung individuell geprüft werden.