Auftragsverarbeitungsvertrag: sauber aufgesetzt
Jeder Dienstleister mit Zugriff auf personenbezogene Daten braucht einen AV-Vertrag – vom Cloudanbieter über die Lohnbuchhaltung bis zur IT-Wartung. Wir prüfen Ihre bestehenden Verträge, schließen Lücken und bringen Ordnung in Ihr Dienstleisterverzeichnis.
Pflichtinhalte nach Art. 28
- Gegenstand, Dauer, Art und Zweck
- Weisungsbindung und Vertraulichkeit
- Technische und organisatorische Maßnahmen
- Regelungen zu Unterauftragnehmern
- Löschung oder Rückgabe nach Vertragsende
Kurz beantwortet: Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO zwingend erforderlich, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Verantwortlichen verarbeitet. Er regelt unter anderem Gegenstand und Dauer der Verarbeitung, die Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, den Einsatz von Unterauftragnehmern sowie Löschung und Kontrollrechte.
Wo überall ein AVV nötig ist
Die Liste ist länger, als die meisten vermuten. Typische Fälle im Mittelstand:
| Dienstleistung | AVV erforderlich? |
|---|---|
| Webhosting und Cloudspeicher | Ja |
| CRM-, ERP- und HR-Software als SaaS | Ja |
| Newsletter- und Marketing-Tools | Ja |
| Externe Lohnbuchhaltung | Ja |
| IT-Dienstleister mit Fernwartungszugriff | Ja |
| Aktenvernichtung mit personenbezogenen Unterlagen | Ja |
| Steuerberater und Rechtsanwälte | Nein – eigenverantwortlich tätig |
| Reine Transportdienstleistung ohne Datenzugriff | Nein |
Grenzfall Fernwartung: Auch wenn der Dienstleister die Daten nicht auswerten will, genügt die bloße Zugriffsmöglichkeit für die Pflicht zum AV-Vertrag. Das wird in der Praxis häufig übersehen.
Woran Verträge in der Praxis scheitern
Unterauftragnehmer
Pauschale Generalgenehmigung ohne Informationspflicht oder Widerspruchsrecht – ein häufiger Mangel in Anbieter-AGB.
Drittlandtransfer
Keine Angabe, wo verarbeitet wird, und keine Transfergrundlage für Verarbeitung außerhalb der EU.
Löschung
Unklare oder fehlende Regelung, was nach Vertragsende mit den Daten und Backups geschieht.
Kontrollrechte
Auf reine Selbstauskunft reduzierte Nachweise ohne belastbare Prüfmöglichkeit.
TOM-Anlage
Allgemeine Marketingfloskeln statt konkreter technischer und organisatorischer Maßnahmen.
Kein Überblick
Niemand weiß, welche Verträge existieren – und welche Dienstleister ohne Vertrag arbeiten.
Unsere Unterstützung
- Erfassung aller Dienstleister mit Datenzugriff
- Prüfung bestehender AV-Verträge auf die Pflichtinhalte
- Nachverhandlung kritischer Klauseln
- Bereitstellung geprüfter Vertragsmuster
- Bewertung von Drittlandtransfers
- Aufbau eines gepflegten Dienstleisterverzeichnisses
Wissen Sie, wer alles Zugriff hat?
Wir verschaffen Ihnen den Überblick über Ihre Dienstleister und bringen die Verträge auf einen rechtssicheren Stand.