Brauche ich einen Auftragsverarbeitungsvertrag — und wann?

Worum es geht

Ein Auftragsverarbeitungsvertrag regelt, was ein Dienstleister mit Ihren Daten tun darf. Die Rechtsgrundlage ist Art. 28 DSGVO. Die Rollenverteilung ist dabei entscheidend: Sie sind Verantwortlicher und entscheiden über Zweck und Mittel. Der Dienstleister ist Auftragsverarbeiter und handelt auf Ihre Weisung.

Der Vertrag ist keine Formsache, sondern die Voraussetzung dafür, dass die Zusammenarbeit überhaupt zulässig ist. Fehlt er, ist das nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt — und zwar für beide Seiten.

Wann Sie einen brauchen

Immer dann, wenn ein Dienstleister für Sie personenbezogene Daten verarbeitet, ohne selbst über den Zweck zu entscheiden. Typische Fälle in einem Handwerks- oder Gewerbebetrieb:

• IT-Betreuung. Wer Arbeitsplätze oder Server wartet, sieht dabei Daten von Beschäftigten und Kunden. Das lässt sich nicht vermeiden, wer einen Mailserver in Ordnung bringt, sieht Absender und Empfänger.
• Cloud-Dienste und Hosting. Vom Speicherdienst bis zum Buchungskalender auf der Website.
• Externe Lohnabrechnung, sofern sie rein ausführend erfolgt.
• Newsletter- und Terminwerkzeuge, die Kontaktdaten speichern.

Wann Sie keinen brauchen

Hier liegen die meisten Beiträge daneben. Steuerberater, Rechtsanwälte, Wirtschaftsprüfer und Banken sind keine Auftragsverarbeiter. Sie arbeiten eigenverantwortlich und unterliegen eigenen Berufspflichten. Wer ihnen einen AVV vorlegt, bekommt ihn zu Recht zurück.

Ebenfalls kein Fall für einen AVV: reine Nebenleistungen wie Post, Telefonie oder die Wartung eines Kopierers durch Dritte, solange dabei kein Zugriff auf Daten vorgesehen ist. Und alles, was ohne Personenbezug abläuft.

Was hineingehört

Art. 28 Abs. 3 DSGVO verlangt einen festen Satz an Angaben: Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, der Kreis der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen. Dazu kommen acht Pflichtklauseln — unter anderem Weisungsbindung, Vertraulichkeit, technische Maßnahmen, der Umgang mit Unterauftragnehmern und die Löschung nach Vertragsende.

Zwei Fehler sehen wir dabei besonders oft. Der erste: eine Anlage, die bei Unterschrift noch leer ist. Ein Vertrag, in dem „nach Absprache" steht, wo Systeme und Datenarten stehen müssten, erfüllt die Anforderung nicht. Der zweite: eine Maßnahmenliste, die angekreuzt wurde, ohne dass es die Maßnahmen gibt. Im Schadensfall wird genau diese Liste herangezogen.

Wer ihn stellt

Verantwortlich für das Zustandekommen sind Sie als Auftraggeber. Üblich ist trotzdem, dass der Dienstleister den Entwurf mitbringt — er kennt seine eigenen Abläufe und Maßnahmen am besten. Sie prüfen ihn und können widersprechen.

Wir bringen unseren Vertrag zum Erstgespräch mit und füllen die Anlage gemeinsam aus, bevor irgendetwas unterschrieben wird. Wie so ein Termin abläuft, steht unter Firmen-IT.