Vertrag zur Auftragsdatenverarbeitung: Was Unternehmen wissen müssen

Wenn ein Unternehmen personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, reicht ein gewöhnlicher Dienstleistungsvertrag häufig nicht aus. Die Datenschutz-Grundverordnung (DSGVO) verlangt in solchen Fällen einen besonderen Vertrag zur Auftragsverarbeitung – oft kurz AV-Vertrag oder AVV genannt. Der ältere Begriff „Auftragsdatenverarbeitung“ wird umgangssprachlich weiterhin verwendet; die DSGVO spricht von „Auftragsverarbeitung“.

Der Vertrag legt fest, wie der Dienstleister die Daten verarbeiten darf und welche Pflichten beide Seiten haben. Er hilft dabei, Datenschutzanforderungen nachvollziehbar umzusetzen und Zuständigkeiten klar zu regeln.

Was bedeutet Auftragsverarbeitung?

Bei einer Auftragsverarbeitung verarbeitet ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen Unternehmens oder einer anderen Organisation. Das Unternehmen, das über Zwecke und wesentliche Mittel der Verarbeitung entscheidet, ist der Verantwortliche. Der Dienstleister wird als Auftragsverarbeiter bezeichnet.

Typische Beispiele sind:

• Cloud- und Hosting-Dienste, bei denen Kundendaten gespeichert werden
• externe Lohn- und Gehaltsabrechnung
• IT-Wartung oder technischer Support mit möglichem Zugriff auf personenbezogene Daten
• Versand- und Fulfillment-Dienstleistungen
• externe Anbieter für Newsletter, Kundenmanagement oder Bewerbungsmanagement

Ob tatsächlich eine Auftragsverarbeitung vorliegt, hängt von der konkreten Zusammenarbeit ab. Entscheidend ist unter anderem, wer über den Zweck der Datenverarbeitung entscheidet und ob der Dienstleister die Daten eigenständig für eigene Zwecke nutzt.

Wann ist ein AV-Vertrag erforderlich?

Nach Artikel 28 DSGVO muss die Verarbeitung durch einen Auftragsverarbeiter durch einen Vertrag oder ein anderes verbindliches Rechtsinstrument geregelt sein. Ein AVV ist daher erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Ein Vertrag ist nicht allein deshalb ein AVV, weil ein Anbieter mit personenbezogenen Daten in Berührung kommen könnte. Die tatsächliche Rolle des Anbieters muss geprüft werden. Verarbeitet ein Dienstleister Daten für eigene Zwecke und entscheidet selbst über deren Nutzung, kann er beispielsweise eigenständig Verantwortlicher sein. Sind mehrere Stellen gemeinsam für Zwecke und Mittel verantwortlich, kann eine Vereinbarung über gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO erforderlich sein.

Welche Inhalte muss der Vertrag enthalten?

Artikel 28 DSGVO nennt verbindliche Mindestanforderungen. Der AVV sollte insbesondere folgende Punkte regeln:

• Gegenstand und Dauer: Welche Dienstleistung wird erbracht und wie lange dauert die Verarbeitung?
• Art und Zweck der Verarbeitung: Welche Verarbeitungsvorgänge führt der Dienstleister durch und zu welchem Zweck?
• Art der personenbezogenen Daten und betroffene Personen: Zum Beispiel Kontaktdaten von Kunden oder Beschäftigtendaten.
• Weisungen: Der Auftragsverarbeiter darf Daten grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen verarbeiten.
• Vertraulichkeit: Personen, die Zugriff auf die Daten haben, müssen zur Vertraulichkeit verpflichtet sein.
• Technische und organisatorische Maßnahmen: Der Vertrag muss angemessene Maßnahmen zum Schutz der Daten beschreiben oder verbindlich einbeziehen.
• Unterauftragsverarbeiter: Es muss geregelt sein, ob und unter welchen Voraussetzungen weitere Dienstleister eingesetzt werden dürfen.
• Unterstützung des Verantwortlichen: Der Dienstleister muss, soweit möglich, bei Betroffenenanfragen, Datenschutzverletzungen und Datenschutz-Folgenabschätzungen unterstützen.
• Umgang mit Daten nach Vertragsende: Der Vertrag muss vorsehen, ob Daten zurückgegeben oder gelöscht werden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Nachweise und Prüfungen: Der Verantwortliche muss die Einhaltung der vereinbarten Pflichten überprüfen können.

Technische und organisatorische Maßnahmen

Die technischen und organisatorischen Maßnahmen (TOM) sind ein zentraler Bestandteil eines AV-Vertrags. Sie sollen ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu können beispielsweise Zugriffskontrollen, Verschlüsselung, Datensicherungen, Berechtigungskonzepte und Verfahren zur Wiederherstellung der Verfügbarkeit gehören.

Die Maßnahmen sollten nicht nur allgemein erwähnt, sondern für die konkrete Dienstleistung nachvollziehbar beschrieben werden. Da sich Systeme und Risiken ändern können, sollte außerdem festgelegt sein, wie Änderungen dokumentiert und kommuniziert werden.

Unterauftragsverarbeiter und Drittlandübermittlungen

Setzt der Auftragsverarbeiter weitere Dienstleister ein, gelten diese als Unterauftragsverarbeiter, sofern sie ebenfalls personenbezogene Daten im Auftrag verarbeiten. Der AVV muss die Voraussetzungen für ihren Einsatz regeln. Dazu gehören etwa eine vorherige Genehmigung oder ein allgemeines Genehmigungsverfahren mit Informations- und Widerspruchsmöglichkeiten.

Der Auftragsverarbeiter muss die Datenschutzpflichten an seine Unterauftragsverarbeiter weitergeben und bleibt gegenüber dem Verantwortlichen für deren Einhaltung verantwortlich. Werden Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt oder können Anbieter aus solchen Ländern darauf zugreifen, sind zusätzlich die Regeln für internationale Datenübermittlungen zu prüfen.

Pflichten des Verantwortlichen

Mit dem Abschluss eines AVV gibt der Verantwortliche seine Verantwortung für den Datenschutz nicht ab. Er muss den Dienstleister sorgfältig auswählen und prüfen, ob dieser ausreichende Garantien für eine datenschutzkonforme Verarbeitung bietet. Außerdem muss er die Verarbeitung rechtmäßig gestalten, geeignete Weisungen erteilen und die Einhaltung der vereinbarten Maßnahmen in angemessenen Abständen überprüfen.

Häufige Fehler bei AV-Verträgen

• Ein Mustervertrag wird unterschrieben, ohne zu prüfen, ob er zur konkreten Dienstleistung passt.
• Die betroffenen Datenarten, Personengruppen und Verarbeitungsvorgänge bleiben zu ungenau beschrieben.
• Technische und organisatorische Maßnahmen werden nur pauschal oder veraltet aufgeführt.
• Unterauftragsverarbeiter und deren Standorte sind nicht transparent geregelt.
• Es gibt keine praktikablen Abläufe für Weisungen, Datenschutzvorfälle oder Betroffenenanfragen.
• Die Regelungen zu Rückgabe und Löschung nach Vertragsende fehlen oder sind unklar.

Checkliste vor der Unterzeichnung

1. Ist der Dienstleister tatsächlich Auftragsverarbeiter und nicht eigenständig oder gemeinsam Verantwortlicher?
2. Sind Zweck, Dauer und Umfang der Verarbeitung konkret beschrieben?
3. Sind die TOM angemessen, aktuell und nachvollziehbar dokumentiert?
4. Ist der Einsatz von Unterauftragsverarbeitern geregelt?
5. Gibt es klare Verfahren für Weisungen, Sicherheitsvorfälle und Anfragen betroffener Personen?
6. Sind Prüf- und Nachweismöglichkeiten vorgesehen?
7. Ist festgelegt, was nach Ende der Zusammenarbeit mit den Daten geschieht?
8. Wurden mögliche Übermittlungen in Drittländer gesondert geprüft?

Fazit

Ein Vertrag zur Auftragsverarbeitung ist mehr als eine formale Anlage zum Dienstleistungsvertrag. Er schafft verbindliche Regeln für den Umgang mit personenbezogenen Daten und verteilt Aufgaben zwischen Verantwortlichem und Auftragsverarbeiter. Unternehmen sollten den AVV deshalb auf die tatsächliche Verarbeitung abstimmen, regelmäßig überprüfen und gemeinsam mit den dazugehörigen technischen und organisatorischen Maßnahmen aktuell halten.

Hinweis: Dieser Beitrag bietet allgemeine Informationen und ersetzt keine individuelle rechtliche Beratung.