Vertrag zur Auftragsdatenverarbeitung: Was Unternehmen wissen müssen
Wenn ein Unternehmen personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, ist häufig ein Vertrag zur Auftragsverarbeitung erforderlich. Der Begriff „Auftragsdatenverarbeitung“ stammt aus dem früheren Bundesdatenschutzgesetz. Seit dem Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) lautet die offizielle Bezeichnung Auftragsverarbeitung. Der dazugehörige Vertrag wird meist als Auftragsverarbeitungsvertrag (AVV) bezeichnet.
Ein AVV legt fest, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf und welche Datenschutzpflichten beide Seiten haben. Die zentrale Rechtsgrundlage ist Artikel 28 DSGVO.
Was ist Auftragsverarbeitung?
Eine Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten von einem externen Dienstleister nach seinen Weisungen verarbeiten lässt. Das Unternehmen bestimmt dabei grundsätzlich den Zweck und die wesentlichen Mittel der Verarbeitung. Der Dienstleister verarbeitet die Daten dagegen nicht für eigene Zwecke, sondern unterstützt das Unternehmen bei einer bestimmten Leistung.
Typische Beispiele sind:
- Cloud- und Hosting-Dienste,
- externe Lohn- und Gehaltsabrechnung,
- IT-Wartung und technischer Support,
- Versand von Newslettern durch einen externen Anbieter,
- Speicherung oder Sicherung von Kundendaten,
- externe Callcenter oder Kundenservice-Dienstleistungen.
Ob tatsächlich eine Auftragsverarbeitung vorliegt, hängt von der konkreten Zusammenarbeit ab. Entscheidend ist unter anderem, wer über die Zwecke und wesentlichen Mittel der Datenverarbeitung entscheidet. Ein Vertrag allein macht eine Dienstleistung nicht automatisch zur Auftragsverarbeitung.
Wann ist ein AVV erforderlich?
Ein AVV ist grundsätzlich erforderlich, wenn ein Verantwortlicher einen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt und dieser die Daten nach den Weisungen des Verantwortlichen verarbeitet. Verantwortlicher ist in der Regel das Unternehmen, das über die Zwecke und Mittel der Verarbeitung entscheidet.
Verarbeitet ein Dienstleister Daten hingegen für eigene Zwecke und entscheidet selbstständig über die Verwendung, kann er für diese Verarbeitung selbst Verantwortlicher sein. In anderen Fällen können mehrere Beteiligte gemeinsam über Zwecke und Mittel entscheiden; dann kann eine Vereinbarung über eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO nötig sein. Die Einordnung sollte deshalb anhand der tatsächlichen Abläufe erfolgen.
Welche Inhalte muss der Vertrag enthalten?
Artikel 28 DSGVO gibt vor, welche Mindestangaben ein Vertrag zur Auftragsverarbeitung enthalten muss. Dazu gehören insbesondere:
- Gegenstand und Dauer: Welche Dienstleistung wird erbracht und wie lange dauert die Verarbeitung?
- Art und Zweck: Welche Verarbeitungsvorgänge finden statt und zu welchem Zweck?
- Arten personenbezogener Daten: Zum Beispiel Kontakt-, Vertrags- oder Abrechnungsdaten.
- Kategorien betroffener Personen: Etwa Kunden, Beschäftigte oder Interessenten.
- Rechte und Pflichten des Verantwortlichen: Dazu zählen insbesondere Weisungs- und Kontrollrechte.
- Weisungsbindung: Der Auftragsverarbeiter darf Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen verarbeiten.
- Vertraulichkeit: Personen, die Zugang zu den Daten haben, müssen zur Vertraulichkeit verpflichtet sein.
- Technische und organisatorische Maßnahmen: Der Dienstleister muss geeignete Schutzmaßnahmen umsetzen.
- Unterauftragsverarbeiter: Der Vertrag muss regeln, unter welchen Bedingungen weitere Dienstleister eingesetzt werden dürfen.
- Unterstützung des Verantwortlichen: Der Auftragsverarbeiter muss bei bestimmten Datenschutzpflichten mitwirken, etwa bei Betroffenenanfragen oder Datenschutzverletzungen.
- Rückgabe und Löschung: Nach Ende der Dienstleistung müssen die Daten grundsätzlich zurückgegeben oder gelöscht werden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Nachweise und Prüfungen: Der Verantwortliche muss die Einhaltung der vereinbarten Pflichten überprüfen können.
Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen (TOMs) zum Schutz der Daten ergreifen. Welche Maßnahmen angemessen sind, hängt unter anderem von Art, Umfang und Zweck der Verarbeitung sowie vom möglichen Risiko für betroffene Personen ab.
Zu den möglichen Maßnahmen zählen beispielsweise Zugriffsbeschränkungen, Verschlüsselung, regelmäßige Datensicherungen, Schutz vor unbefugtem Zugriff und Verfahren zur Wiederherstellung der Verfügbarkeit. Die Maßnahmen sollten im Vertrag oder in einer dazugehörigen Anlage konkret beschrieben und bei wesentlichen Änderungen überprüft werden.
Unterauftragsverarbeiter und Datenübermittlungen
Setzt der Auftragsverarbeiter weitere Dienstleister ein, gelten dafür besondere Anforderungen. Der Verantwortliche muss dem Einsatz grundsätzlich vorher zustimmen – entweder im Einzelfall oder auf Grundlage einer allgemeinen Genehmigung mit Informations- und Widerspruchsmöglichkeit. Der Auftragsverarbeiter muss den Unterauftragsverarbeiter vertraglich zu gleichwertigen Datenschutzpflichten verpflichten und bleibt gegenüber dem Verantwortlichen für dessen Einhaltung verantwortlich.
Werden personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt oder können sie dort eingesehen werden, sind zusätzlich die Regeln der DSGVO für internationale Datenübermittlungen zu beachten. Ein AVV allein schafft hierfür keine ausreichende Rechtsgrundlage.
Pflichten der Vertragsparteien
Der Verantwortliche bleibt dafür zuständig, dass die Verarbeitung rechtmäßig erfolgt. Dazu gehört unter anderem, eine geeignete Rechtsgrundlage zu haben und betroffene Personen ordnungsgemäß zu informieren. Außerdem muss der Verantwortliche einen geeigneten Auftragsverarbeiter auswählen und dessen Datenschutzmaßnahmen angemessen prüfen.
Der Auftragsverarbeiter muss die vertraglichen Weisungen beachten, geeignete Schutzmaßnahmen umsetzen und den Verantwortlichen bei der Erfüllung bestimmter Pflichten unterstützen. Erkennt er, dass eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstößt, muss er den Verantwortlichen darauf hinweisen.
Was passiert bei einer Datenschutzverletzung?
Wird der Auftragsverarbeiter auf eine Verletzung des Schutzes personenbezogener Daten aufmerksam, muss er den Verantwortlichen ohne unangemessene Verzögerung informieren. Der Verantwortliche benötigt diese Information, um zu prüfen, ob eine Meldung an die zuständige Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist. Der Vertrag sollte daher auch festlegen, über welche Kontaktwege und mit welchen Informationen Sicherheitsvorfälle gemeldet werden.
Häufige Fehler bei AV-Verträgen
- Ein Mustervertrag wird ungeprüft übernommen, obwohl er die tatsächliche Dienstleistung nicht beschreibt.
- Verarbeitungstätigkeiten, Datenarten oder betroffene Personengruppen bleiben zu ungenau.
- Technische und organisatorische Maßnahmen werden nur allgemein oder veraltet aufgeführt.
- Der Einsatz von Unterauftragsverarbeitern und Änderungen daran sind nicht klar geregelt.
- Prüfungsrechte bestehen nur auf dem Papier und lassen sich praktisch kaum nutzen.
- Regelungen zu Rückgabe, Löschung oder Sicherheitsvorfällen fehlen.
- Der Vertrag wird nicht aktualisiert, obwohl sich Dienstleistung oder Datenverarbeitung ändern.
Checkliste: Was vor der Unterzeichnung zu prüfen ist
- Ist die Beziehung tatsächlich eine Auftragsverarbeitung?
- Beschreibt der Vertrag die konkrete Dienstleistung und die betroffenen Daten vollständig?
- Sind die TOMs nachvollziehbar und für das Risiko angemessen?
- Sind Genehmigung und Kontrolle von Unterauftragsverarbeitern geregelt?
- Gibt es klare Abläufe für Weisungen, Betroffenenanfragen und Datenschutzverletzungen?
- Sind Rückgabe und Löschung der Daten nach Vertragsende festgelegt?
- Werden internationale Datenübermittlungen gesondert geprüft?
Fazit
Ein Vertrag zur Auftragsdatenverarbeitung – heute üblicherweise Auftragsverarbeitungsvertrag genannt – ist ein wichtiger Bestandteil der Zusammenarbeit mit externen Dienstleistern, wenn diese personenbezogene Daten im Auftrag verarbeiten. Ein wirksamer AVV sollte nicht nur die Mindestanforderungen der DSGVO wiederholen, sondern die tatsächlichen Datenflüsse, Sicherheitsmaßnahmen und Verantwortlichkeiten verständlich und konkret abbilden. Da die richtige Einordnung und Ausgestaltung vom Einzelfall abhängt, sollte der Vertrag regelmäßig überprüft und bei Änderungen angepasst werden.
Häufig gestellte Fragen zum Vertrag zur Auftragsdatenverarbeitung (AVV)
- Was ist ein Vertrag zur Auftragsdatenverarbeitung (AVV)?
- Wann ist ein Auftragsverarbeitungsvertrag gesetzlich erforderlich?
- Welche Inhalte muss ein AVV gemäß DSGVO enthalten?
- Wer muss den AVV erstellen und unterschreiben?
- Welche Pflichten haben Auftraggeber und Auftragsverarbeiter?
- Darf ein Auftragsverarbeiter Unterauftragsverarbeiter einsetzen?
- Was muss nach Beendigung des Vertrags mit den personenbezogenen Daten geschehen?
Was ist ein Vertrag zur Auftragsdatenverarbeitung (AVV)?
Ein Vertrag zur Auftragsdatenverarbeitung – nach der DSGVO meist Auftragsverarbeitungsvertrag (AVV) genannt – regelt, wie ein externer Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf. Er legt unter anderem fest, welche Daten zu welchem Zweck verarbeitet werden, welche Sicherheitsmaßnahmen gelten und welche Pflichten beide Seiten haben. Ein AVV ist grundsätzlich erforderlich, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für ein Unternehmen verarbeitet.
Wann ist ein Auftragsverarbeitungsvertrag gesetzlich erforderlich?
Ein Auftragsverarbeitungsvertrag (AVV) ist nach Artikel 28 DSGVO erforderlich, wenn ein Unternehmen einen externen Dienstleister damit beauftragt, personenbezogene Daten in seinem Auftrag und nach seinen Weisungen zu verarbeiten. Das ist beispielsweise häufig bei Cloud-, Hosting- oder Lohnabrechnungsdiensten der Fall. Entscheidend sind die tatsächlichen Abläufe: Verarbeitet der Dienstleister Daten für eigene Zwecke oder entscheidet er selbst über die wesentlichen Zwecke und Mittel, kann eine andere datenschutzrechtliche Vereinbarung erforderlich sein.
Welche Inhalte muss ein AVV gemäß DSGVO enthalten?
Ein AVV muss gemäß Artikel 28 DSGVO unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Datenverarbeitung sowie die Arten personenbezogener Daten und Kategorien betroffener Personen festlegen. Außerdem regelt er die Rechte und Pflichten des Verantwortlichen und des Auftragsverarbeiters, insbesondere dokumentierte Weisungen, Vertraulichkeit und technische und organisatorische Schutzmaßnahmen. Auch Vorgaben zum Einsatz von Unterauftragsverarbeitern, zur Unterstützung bei Betroffenenanfragen und Datenschutzpflichten, zur Meldung von Datenschutzverletzungen sowie zur Rückgabe oder Löschung der Daten nach Vertragsende gehören dazu. Schließlich muss der Vertrag Nachweise und Prüfungen ermöglichen, damit der Verantwortliche die Einhaltung der vereinbarten Pflichten kontrollieren kann.
Wer muss den AVV erstellen und unterschreiben?
Der AVV wird in der Regel vom Verantwortlichen vorbereitet oder dessen Dienstleister stellt einen Vertragsentwurf bereit; wichtig ist, dass beide Seiten die Vereinbarung vor Beginn der Auftragsverarbeitung prüfen und an die konkrete Dienstleistung anpassen. Unterschrieben wird der Vertrag von beiden Parteien: dem Verantwortlichen und dem Auftragsverarbeiter. Die Unterzeichnung kann handschriftlich oder – sofern rechtlich wirksam vereinbart – elektronisch erfolgen. Entscheidend ist, dass die Vereinbarung verbindlich geschlossen und dokumentiert wird.
Welche Pflichten haben Auftraggeber und Auftragsverarbeiter?
Der Auftraggeber bleibt dafür verantwortlich, dass die Verarbeitung personenbezogener Daten rechtmäßig erfolgt. Er muss einen geeigneten Auftragsverarbeiter auswählen, dokumentierte Weisungen erteilen und die Einhaltung der vereinbarten Datenschutzmaßnahmen angemessen überprüfen. Der Auftragsverarbeiter darf die Daten grundsätzlich nur gemäß diesen Weisungen verarbeiten. Außerdem muss er geeignete technische und organisatorische Maßnahmen umsetzen, Mitarbeitende zur Vertraulichkeit verpflichten, den Auftraggeber bei Betroffenenanfragen und Datenschutzpflichten unterstützen sowie Datenschutzverletzungen unverzüglich melden. Auch der Einsatz von Unterauftragsverarbeitern und die Rückgabe oder Löschung der Daten nach Vertragsende müssen entsprechend dem AV-Vertrag und der DSGVO geregelt werden.
Darf ein Auftragsverarbeiter Unterauftragsverarbeiter einsetzen?
Ja, ein Auftragsverarbeiter darf Unterauftragsverarbeiter einsetzen, wenn der Verantwortliche dem zuvor zugestimmt hat. Die Zustimmung kann für jeden Einzelfall oder allgemein erteilt werden. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über geplante Änderungen informieren, damit dieser gegebenenfalls widersprechen kann. Außerdem muss der Auftragsverarbeiter dem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auferlegen, die den Pflichten aus dem ursprünglichen Auftragsverarbeitungsvertrag entsprechen. Für die ordnungsgemäße Erfüllung dieser Pflichten bleibt der Auftragsverarbeiter gegenüber dem Verantwortlichen verantwortlich.
Was muss nach Beendigung des Vertrags mit den personenbezogenen Daten geschehen?
Nach Beendigung des Auftrags muss der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückgeben oder datenschutzgerecht löschen – einschließlich vorhandener Kopien. Eine Ausnahme gilt, wenn gesetzliche Vorschriften eine weitere Speicherung verlangen; in diesem Fall sind die Daten entsprechend zu schützen und dürfen nur für den vorgeschriebenen Zweck aufbewahrt werden. Der Auftragsverarbeitungsvertrag sollte festlegen, wie die Rückgabe oder Löschung erfolgt und wie der Auftragsverarbeiter deren Durchführung nachweist.