←  Alle Begriffe
A
Security & Compliance

Auftragsverarbeitungsvertrag

Ein Auftragsverarbeitungsvertrag regelt nach DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

Ein Auftragsverarbeitungsvertrag regelt nach DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die konkrete Ausgestaltung hängt von Daten, Risiko und Rechtsraum ab und sollte technisch wie organisatorisch geprüft werden. Eng verbunden ist der Begriff mit DSGVO und Hosting.

Weiterlesen

DSGVO

Hosting

Consent Management Platform

FAQ

Auftragsverarbeitungsvertrag

Was ändert sich beim Auftragsverarbeitungsvertrag mit Anbietern außerhalb der EU?
Allein genügt der Vertrag dann nicht, denn die Datenübermittlung in ein Drittland braucht eine eigene Grundlage nach DSGVO, etwa Standardvertragsklauseln. Auch Unterauftragsverarbeiter außerhalb der EU sind zu prüfen. Welche Lösung passt, bewertet eine Rechtsberatung im Einzelfall. Auch Zugriffe aus Drittländern, etwa im Support, können relevant sein.
Worin unterscheidet sich ein AVV von einer gemeinsamen Verantwortlichkeit?
Bei der Auftragsverarbeitung handelt der Dienstleister weisungsgebunden, bei gemeinsamer Verantwortlichkeit entscheiden mehrere Stellen gemeinsam über Zweck und Mittel. Beide Konstellationen verlangen unterschiedliche Vereinbarungen. Die Einordnung hängt vom konkreten Sachverhalt ab und gehört in die rechtliche Prüfung. Ein Muster für den einen Fall passt nicht automatisch auf den anderen.
Wer ist für den Abschluss eines Auftragsverarbeitungsvertrags zuständig?
Sicherstellen muss den Vertrag der Verantwortliche, in der Praxis stellt aber häufig der Dienstleister ein Muster bereit. Prüfen und unterzeichnen müssen beide Seiten. Ein vorgelegter Standardvertrag ersetzt nicht die Prüfung, ob Zweck, Datenarten und Unterauftragnehmer zum tatsächlichen Einsatz passen. Klare Zuständigkeiten vermeiden Lücken.
Welche Inhalte gehören typischerweise in einen Auftragsverarbeitungsvertrag?
Typisch sind Gegenstand und Dauer der Verarbeitung, Art der Daten, Kreis der Betroffenen, Weisungsrechte, technische und organisatorische Maßnahmen sowie Regeln zu Unterauftragsverarbeitern. Art. 28 DSGVO nennt die Mindestbestandteile. Die konkrete Formulierung stimmen Juristen und Datenschutzverantwortliche ab. Anhänge listen meist Maßnahmen und Unterauftragnehmer einzeln auf.
Wann ist ein Auftragsverarbeitungsvertrag erforderlich?
Erforderlich ist er nach Art. 28 DSGVO, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Verantwortlichen verarbeitet, etwa ein Hosting-Anbieter oder ein Newsletter-Dienst. Ob im Einzelfall tatsächlich eine Auftragsverarbeitung vorliegt, ist eine rechtliche Bewertung. Auch Dienstleister mit Zugriff auf Kundendaten, etwa Wartungspartner, können darunter fallen.