Auftragsverarbeitungsvertrag (AVV)
Die Auftragsverarbeitung beschreibt die Verarbeitung personenbezogener Daten durch externe Dienstleister im Auftrag eines Unternehmens. Sie betrifft viele digitale Geschäftsprozesse. Ein Auftragsverarbeitungsvertrag ist für Unternehmen nach Art. 28 DSGVO zwingend erforderlich. Er regelt die Zusammenarbeit zwischen Auftraggeber und Auftragnehmer verbindlich. Typische Bereiche, in denen Unternehmen Auftragsverarbeitung einsetzen sind Cloud-Hosting, IT-Support oder Lohnbuchhaltung. Das Unternehmen selbst bleibt dabei jederzeit für den Datenschutz verantwortlich.
Was Auftragsverarbeitung im Kern bedeutet
Die Auftragsverarbeitung folgt einem klaren Prinzip. Der Dienstleister verarbeitet Daten ausschließlich nach konkreten Vorgaben des Unternehmens. Er erhält keinen eigenen Entscheidungsspielraum. Dadurch trägt das auftraggebende Unternehmen weiterhin die volle Verantwortung.
Das Unternehmen bestimmt Zweck und Mittel der Verarbeitung vollständig. Der Dienstleister setzt diese Vorgaben technisch und organisatorisch um. Diese Struktur schafft klare Verantwortlichkeiten und reduziert Sicherheitsrisiken für beide Parteien.
Wann ein AV-Vertrag erforderlich ist
Ein AV-Vertrag ist nach DSGVO immer erforderlich, wenn ein externer Dienstleister personenbezogene Daten verarbeitet. Dies gilt unabhängig von Branche oder Unternehmensgröße.
Typische Bereiche in denen ein externer Dienstleister personenbezogene Daten verarbeitet sind externes Hosting, Cloud-Dienste oder Newsletter-Tools. Auch IT-Support-Dienstleister greifen regelmäßig auf personenbezogene Daten zu. Gleiches gilt für externe Lohn- oder Gehaltsabrechnung.
Ohne vertragliche Regelung fehlt eine rechtliche Grundlage für diese Verarbeitung. Unternehmen haben die Pflicht, jeden Dienstleister sorgfältig zu prüfen und vertraglich einzubinden.
Inhalte eines AV-Vertrags nach Art. 28 DSGVO
Der AV-Vertrag beschreibt alle relevanten Aspekte der Datenverarbeitung. Er schafft Transparenz und klare Vorgaben für beide Seiten.
Der Vertrag definiert Gegenstand, Dauer sowie Art und Zweck der Verarbeitung. Auch Kategorien personenbezogener Dateen und betroffener Personen stehen im Vertrag.
Zusätzlich enthält der Vertrag klare Pflichten für den Dienstleister. Dazu zählen Weisungsgebundenheit und Vertraulichkeit aller beteiligten Personen.
Ein weiterer Schwerpunkt eines AVV liegt auf technischen und organisatorischen Maßnahmen . Diese Maßnahmen schützen Daten vor Verlust, Zugriff durch Unbefugte und Manipulation.
Der Vertrag regelt auch den Einsatz von Unterauftragnehmern. Bei geplanten Änderungen informiert der Dienstleister das Unternehmen. Dieses prüft und genehmigt jeden zusätzlichen Anbieter und nimmt alle Einzelheiten in den AVV auf.
Technische und organisatorische Maßnahmen (TOMs)
Technische und organisatorische Maßnahmen (TOMs) dienen dazu, die Sicherheit der Datenverarbeitung im Unternehmensalltag zu gewährleisten. Bei einer Auftragsverarbeitung konkretisieren die Beteiligten die erforderlichen Maßnahmen im Rahmen des AV-Vertrags.
Zu den wichtigen Sicherheitsmaßnahmen zählen beispielsweise Zugriffskontrollen. Sie stellen sicher, dass nur berechtigte Personen auf Informationen und personenbezogene Daten zugreifen. Auch Verschlüsselungstechnologien schützen Daten bei der Übertragung und Speicherung. Durch die Protokollierung von Zugriffen lässt sich zudem nachvollziehen, wer wann auf bestimmte Daten zugreift.
Mit Backup-Konzepten sichern Unternehmen die Verfügbarkeit der Daten nach einem Notfall. In diesen Fällen ermöglichen IT-Notfallpläne eine schnelle Wiederherstellung der Daten. Mithilfe von Schulungen stärken Unternehmen zudem das Sicherheitsbewusstsein ihrer Mitarbeiter.
Auswahl und Kontrolle von Dienstleistern
Unternehmen wählen Dienstleister sorgfältig aus. Sie prüfen Sicherheitskonzepte, Zertifikate und organisatorische Prozesse vor Vertragsabschluss.
Auch während der Zusammenarbeit führen Unternehmen weiterhin regelmäßige Kontrollen durch. Sie prüfen zum Beispiel Nachweise und Auditberichte systematisch.
Diese kontinuierliche Kontrolle sichert, dass Dienstleister alle vertraglichen Vorgaben einhalten. Dadurch erkennen Unternehmen Schwachstellen bei externen Anbietern früh und reagieren gezielt.
Umgang mit Unterauftragnehmern
Viele Dienstleister setzen weitere Subunternehmer ein. Diese verarbeiten Daten im gleichen Auftrag.
Der AV-Vertrag regelt auch diese Verarbeitung durch Subunternehmer eindeutig.
So behält das Unternehmen die volle Kontrolle über alle beteiligten Parteien. Diese Struktur sorgt für Transparenz entlang der gesamten Verarbeitungskette.
Risiken ohne Auftragsverarbeitung
Verzichtet ein Unternehmen auf AV-Verträge ist das Risiko für Datenschutzverstöße deutlich höher. Denn Unternehmen verlieren dadurch die Kontrolle über personenbezogene Daten.
Unternehmen haben nach Art. 28 DSGVO die Pflicht einen Auftragsverarbeitungsvertrag zu nutzen. Aufsichtsbehörden prüfen diese Konstellationen genau. Verstöße führen schnell zu Bußgeldern und Reputationsschäden.
Ein sauberer AV-Vertrag schafft Rechtssicherheit.
Empfohlene Vorgehensweise für Unternehmen
Unternehmen haben die Möglichkeit, etablierte Musterverträge als Grundlage zu nutzen. Vorlagen der IHK Frankfurt oder des BfDI bieten eine gute Orientierung.
Unternehmen passen diese Vorlagen einfach an die eigenen Prozesse an. Anschließend prüfen sie alle Dienstleister systematisch.
Ein zentrales Verzeichnis aller AV-Verträge erleichtert die Verwaltung der externen Anbieter. So behalten Unternehmen den Überblick über alle externen Verarbeitungen.
Fazit
Ein Auftragsverarbeitungsvertrag schafft klare Regeln für die Zusammenarbeit mit externen Dienstleistern. Er legt fest, wie diese personenbezogene Daten verarbeiten und schützen. Ein sorgfältig gestalteter AV-Vertrag nach Art. 28 DSGVO senkt datenschutzrechtliche Risiken und stärkt die Compliance. Klare Abläufe und regelmäßige Kontrollen sorgen dafür, dass alle Beteiligten die vereinbarten Vorgaben dauerhaft einhalten.
