Wann ein AVV erforderlich ist
Immer wenn ein Dienstleister im Auftrag eines Unternehmens personenbezogene Daten verarbeitet – etwa ein Cloud-Anbieter, ein IT-Dienstleister, eine externe Lohnbuchhaltung oder ein E-Mail-Marketing-Tool – schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Ohne einen solchen Vertrag ist die Datenverarbeitung durch den Dienstleister rechtswidrig, selbst wenn der eigentliche Verarbeitungszweck legitim ist.
Was ein AVV mindestens regeln muss
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten
- Pflichten des Auftragsverarbeiters, insbesondere zur Vertraulichkeit und zu technisch-organisatorischen Maßnahmen
- Regelungen zum Einsatz von Unterauftragsverarbeitern (Subunternehmern)
- Unterstützungspflichten bei Betroffenenanfragen und Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweis- und Kontrollrechte des Auftraggebers
Typische Fehler in der Praxis
- Es wird schlicht kein AVV abgeschlossen, weil der Dienstleister „ohnehin vertrauenswürdig“ erscheint.
- Der AVV wird unterschrieben, ohne die Regelungen zu Unterauftragsverarbeitern und zum Serverstandort tatsächlich zu prüfen.
- Bestehende AVV werden nie wieder aktualisiert, obwohl sich Leistungsumfang oder eingesetzte Subunternehmer geändert haben.
Drittstaatentransfer im Blick behalten
Wird die Verarbeitung außerhalb der EU vorgenommen (etwa bei US-Cloud-Anbietern), reicht ein einfacher AVV allein nicht aus – zusätzlich sind Angemessenheitsbeschluss, Standardvertragsklauseln oder vergleichbare Garantien erforderlich.
Wie CMD unterstützt
Im Rahmen des Datenschutz-Audits von CMD werden bestehende Dienstleisterverträge systematisch auf fehlende oder unzureichende AVV geprüft – ein häufig unterschätztes, aber leicht zu behebendes Risiko.
Fazit
Ein AVV ist keine reine Formsache, sondern die rechtliche Grundlage für jede Zusammenarbeit mit externen Dienstleistern, die personenbezogene Daten verarbeiten. Wer bestehende Verträge nie überprüft, geht ein vermeidbares Risiko ein.