Top-Themen im Datenschutz:
Ein AV-Vertrag regelt, wie ein Dienstleister Ihre personenbezogenen Daten verarbeiten darf. Nach Art. 28 DSGVO ist er Pflicht, sobald der Dienstleister in Ihrem Auftrag und nach Ihren Weisungen arbeitet.
Ein Auftragsverarbeitungsvertrag (AVV, auch AV-Vertrag) ist der schriftlich oder elektronisch geschlossene Vertrag zwischen Ihnen als Verantwortlichem und einem Dienstleister, der in Ihrem Auftrag und nach Ihren Weisungen personenbezogene Daten verarbeitet, zum Beispiel ein Hoster, ein Cloud-Anbieter oder ein Newsletter-Tool. Er legt fest, was der Dienstleister mit den Daten tun darf und welche Schutzmaßnahmen er einhalten muss (Art. 28 Abs. 3 DSGVO). Sie müssen ihn abschließen, bevor der Dienstleister mit den Daten arbeitet.
Der AV-Vertrag regelt die Rechte und Pflichten beider Seiten, auch für Unterauftragnehmer des Dienstleisters. Der Auftragsverarbeiter darf die Daten nur auf Ihre dokumentierte Weisung verarbeiten (Art. 28 DSGVO, Art. 29 DSGVO). Verfolgt er eigene Zwecke, gilt er insoweit selbst als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Sie bleiben für die Verarbeitung verantwortlich (Art. 24 DSGVO).
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenDer AVV muss schriftlich oder in einem elektronischen Format geschlossen werden (Art. 28 Abs. 9 DSGVO), und zwar bevor der Dienstleister erstmals mit Ihren Daten arbeitet.
Nach Art. 28 DSGVO muss der AVV mindestens Folgendes regeln:
Praxistipp
Nicht vorgeschrieben, aber üblich: namentliche Nennung der Parteien, Regelungen zur Vertragslaufzeit und Kündigung, bei besonders sensiblen Daten (Art. 9 DSGVO) zusätzliche Schutzvorgaben und gegebenenfalls eine Vertragsstrafe.
Nach Art. 4 Nr. 2 DSGVO versteht man unter „Verarbeiten“ jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, zum Beispiel:
Sie brauchen einen AVV, sobald ein Dienstleister in Ihrem Auftrag und nach Ihren Weisungen personenbezogene Daten verarbeitet (Art. 28 Abs. 3 DSGVO). Typische Beispiele: Hoster und Rechenzentren, Cloud-Software wie Microsoft 365, externe Newsletter-Tools, Callcenter, Aktenvernichter, IT-Support mit Fernzugriff.
Ein Vertrag über Auftragsverarbeitung (ehemals: Auftragsdatenverarbeitung) ist immer dann zu schließen, wenn personenbezogene Daten durch einen weisungsabhängigen Dienstleister verarbeitet werden. Drei Fragen:
Auftragsverarbeiter ist jede natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Das gilt auch für Anbieter außerhalb der EU und des EWR, dann kommen zusätzlich die Regeln zu Drittländern hinzu (Art. 44 ff. DSGVO). Typische Auftragsverarbeiter sind:
Mit jedem Dienstleister, der in Ihrem Auftrag und nach Ihren Weisungen personenbezogene Daten verarbeitet, brauchen Sie einen AVV. Das gilt auch für Wartung und Fernwartung, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann (DSK-Kurzpapier Nr. 13).
Sie können einen individuellen Vertrag schließen oder die EU-Standardvertragsklauseln für Auftragsverarbeiter (Durchführungsbeschluss (EU) 2021/915) verwenden. Vorlagen aus dem Internet sollten Sie vor der Nutzung auf Vollständigkeit und Ihren Fall prüfen lassen, zum Beispiel durch Ihren Datenschutzbeauftragten.
Entscheidet der Dienstleister selbst über Zweck und wesentliche Mittel der Verarbeitung, ist er kein Auftragsverarbeiter, sondern eigenständig oder gemeinsam mit Ihnen Verantwortlicher (Art. 26 DSGVO). Dann ist ein AVV das falsche Instrument. Für die Weitergabe brauchen Sie eine eigene Rechtsgrundlage nach Art. 6 DSGVO, bei gemeinsamer Verantwortlichkeit eine Vereinbarung nach Art. 26.
Keine Auftragsverarbeitung liegt vor, wenn der Dienstleister die anvertrauten Daten eigenverantwortlich behandelt. Der Auftraggeber verfügt also weder über Weisungs- noch über Kontrollrechte und überlässt dem Dienstleister die Entscheidung über Mittel und Zweck der Datenverarbeitung und der inhaltlichen Gestaltung.
Wenn Sie aber einen Auftragsverarbeiter beauftragen und die Zwecke und Mittel der Datenverarbeitung festlegen, sind Sie verantwortlich für die Daten der Betroffenen. Eine Auftragsverarbeitung liegt vermutlich vor, wenn der Dienstleister
Technisch-organisatorische Entscheidungsspielräume des Dienstleisters schließen eine Auftragsverarbeitung nicht aus.
Sind Sie sich nach wie vor nicht sicher ob Sie einen AVV benötigen, können Sie sich auch an Ihre Aufsichtsbehörde oder Ihren Datenschutzbeauftragten wenden.
Der Auftragsverarbeiter muss insbesondere
Kein AVV ist nötig, wenn der Dienstleister eine fremde Fachleistung erbringt und selbst Verantwortlicher ist. Für die Weitergabe der Daten brauchen Sie dann eine Rechtsgrundlage nach Art. 6 DSGVO. Nach der Datenschutzkonferenz gilt das regelmäßig für:
Setzen Sie die DSGVO-Anforderungen rechtssicher um – mit der strukturierten Vorlage nach Art. 28 DSGVO inkl. allen Pflichtbestandteilen und praxiserprobten Formulierungen für typische Verarbeitungstätigkeiten, kostenlos als Download.
Fehlt der AVV oder ist er mangelhaft, verstoßen Sie gegen Art. 28 DSGVO. Dafür können Aufsichtsbehörden Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes des Vorjahres verhängen, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO). Das Bußgeld kann Verantwortliche und Auftragsverarbeiter treffen. Der höhere Rahmen von bis zu 20 Millionen Euro oder 4 % (Art. 83 Abs. 5 DSGVO) gilt für andere Verstöße, etwa gegen die Grundsätze der Verarbeitung oder die Regeln zu Drittlandübermittlungen.
Praxisbeispiel: Fehlender AVV bei Volkswagen
Im Juli 2022 gab die Landesbeauftragte für den Datenschutz Niedersachsen bekannt, dass sie gegen die Volkswagen AG ein Bußgeld von 1,1 Millionen Euro festgesetzt hat. Auslöser war ein Erprobungsfahrzeug mit Kameras, das 2019 bei einer Verkehrskontrolle in Österreich auffiel. Ein beauftragtes Unternehmen führte die Forschungsfahrten durch. Die Behörde stellte unter anderem fest, dass VW mit diesem Unternehmen keinen Auftragsverarbeitungsvertrag geschlossen hatte. Insgesamt beanstandete sie vier Verstöße mit jeweils niedrigem Schweregrad.
Das Bußgeld gilt für alle vier Verstöße zusammen, nicht allein für den fehlenden AVV. Die Forschungsfahrten selbst waren aus Sicht der Behörde nicht zu beanstanden. VW kooperierte, stellte die Mängel ab und akzeptierte den Bescheid. Der Fall zeigt: Auch ein sonst unbeanstandetes Vorhaben wird angreifbar, wenn der Vertrag mit dem Dienstleister fehlt.
Betroffene Personen können außerdem Schadensersatz verlangen, wenn ihnen durch einen Verstoß gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist (Art. 82 Abs. 1 DSGVO). Ein Verstoß liegt zum Beispiel vor bei
Wer in Anspruch genommen wird, kann sich nur entlasten, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden entstanden ist (Art. 82 Abs. 3 DSGVO).
Klären wir zunächst einmal was es mit dem Verbot mit Erlaubnisvorbehalt auf sich hat.
Für die Weitergabe von Daten an Dritte und für die Verarbeitung wird eine Rechtsgrundlage benötigt, das besagt das sogenannte Verbot mit Erlaubnisvorbehalt. Das bedeutet konkret, dass eine gesetzliche Erlaubnis oder eine Einwilligung des Betroffenen für den Umgang mit personenbezogenen Daten benötigt wird.
Für die Weitergabe an den Auftragsverarbeiter brauchen Sie regelmäßig keine weitere Rechtsgrundlage als die, auf die Sie die Verarbeitung selbst stützen. Sie müssen Empfänger oder Empfängerkategorien in Ihren Datenschutzhinweisen nennen.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen