Auftrags­verarbeitungs­vertrag (AVV) erstellen

Wann ist ein AVV Pflicht?

Entscheidend ist, wer über Zwecke und wesentliche Mittel der Verarbeitung entscheidet. Verarbeitet ein Dienstleister die Daten nur für Sie und nach Ihren Weisungen, ist er Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO). Typische Fälle sind Hosting und SaaS, IT-Support mit Datenzugriff, Lohnabrechnung, Newsletter-Versand oder Aktenvernichtung. Kein AVV ist nötig, wenn der Dienstleister eigenverantwortlich handelt, etwa Rechtsanwälte, Banken oder Postdienstleister. Legen Sie Zwecke und Mittel gemeinsam fest, ist stattdessen eine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO erforderlich. Maßstab für die Abgrenzung sind die Leitlinien 07/2020 des Europäischen Datenschutzausschusses (EDSA).

Fehleinordnungen schaden in beide Richtungen: Fehlt ein erforderlicher AVV, drohen Bußgelder, und die Weitergabe an den Dienstleister verliert ihre Privilegierung. Wird ein AVV zu Unrecht geschlossen, spricht das für eine Rolle, die tatsächlich nicht besteht. Heikel sind Mischrollen: Nutzt ein Dienstleister die Daten zusätzlich für eigene Zwecke, etwa für Benchmarks oder Produktverbesserung, ist er insoweit selbst Verantwortlicher. Diese Eigennutzung wird aus dem AVV ausgegrenzt, nicht darin „erlaubt“.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Der Vertrag beschreibt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen. Außerdem verpflichtet er den Auftragsverarbeiter insbesondere zu Folgendem:

• Verarbeitung nur auf dokumentierte Weisung (lit. a)
• Vertraulichkeit der eingesetzten Personen (lit. b)
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (lit. c)
• Bedingungen für den Einsatz von Unterauftragsverarbeitern (lit. d)
• Unterstützung bei Betroffenenrechten, Datensicherheit, Meldungen und Datenschutz-Folgenabschätzungen (lit. e und f)
• Löschung oder Rückgabe der Daten nach Vertragsende (lit. g)
• Nachweise und Überprüfungen einschließlich Inspektionen (lit. h)

Das offizielle EU-Muster als Basis

Die EU-Kommission hat Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU erlassen (Durchführungsbeschluss (EU) 2021/915, Art. 28 Abs. 7 DSGVO). Sie decken alle Pflichtinhalte ab, sind von den Aufsichtsbehörden akzeptiert und ersparen Diskussionen über den Grundtext. Ergänzt wird nur, was das Muster offenlässt oder was Ihr Fall erfordert, etwa Kosten, Haftung oder feste Meldefristen. Die Ergänzungen dürfen den Klauseln nicht widersprechen.

In der Praxis entscheiden die Anhänge über die Qualität: Ohne konkrete Beschreibung von Daten, Zwecken, technischen und organisatorischen Maßnahmen und Unterauftragsverarbeitern bleibt auch ein vollständiger Vertragstext eine leere Hülle.

Form und Zeitpunkt

Der AVV muss schriftlich oder in einem elektronischen Format vorliegen (Art. 28 Abs. 9 DSGVO). Eine handschriftliche Unterschrift ist dafür nicht erforderlich. Dienstleister im Massengeschäft können den AVV in ihre AGB einbeziehen, sofern Kunden ihn vor Vertragsschluss zur Kenntnis nehmen können. Für Standardvertragsklauseln zur Drittlandsübermittlung empfiehlt sich dagegen eine ausdrückliche Unterzeichnung.

Entscheidend ist der Zeitpunkt: Der Vertrag gehört vor den ersten Datenzugriff. Ein nachträglicher Abschluss beseitigt einen bereits eingetretenen Verstoß nicht, der Bußgeldrahmen richtet sich nach Art. 83 Abs. 4 lit. a DSGVO.

Wer legt den AVV vor?

Die Pflicht zum Vertragsschluss trifft Auftraggeber und Dienstleister gleichermaßen. Meist legt der Dienstleister sein eigenes Muster vor, gerade im Massengeschäft und bei großen Cloud-Anbietern, die kaum verhandeln. Ein eigener Entwurf lohnt sich für Auftraggeber trotzdem: als Prüfmaßstab, um Abweichungen schnell zu erkennen, und als Verhandlungsgrundlage. Dienstleister profitieren umgekehrt von einem einheitlichen Muster, das sie allen Kunden anbieten können.

Die fünf Verhandlungspunkte

Neben dem Pflichtprogramm sind es meist dieselben Punkte, über die Parteien verhandeln:

• Unterauftragsverarbeiter: Einzelgenehmigung oder allgemeine Genehmigung mit Widerspruchsrecht. Bei der allgemeinen Genehmigung muss der Dienstleister über Änderungen aktiv informieren und eine angemessene Frist einräumen. Eine bloße Online-Liste ohne Benachrichtigung genügt nicht.
• Kontrollrechte: Eine Abstufung ist zulässig, zuerst Zertifikate und Prüfberichte, dann Anfragen. Vor-Ort-Kontrollen dürfen aber nicht ausgeschlossen werden.
• Kosten: Ob Unterstützungsleistungen und Audits vergütet werden, ist verhandelbar. Kostenregeln dürfen jedoch nicht von Kontrollen abschrecken. Ein Freikontingent ist ein üblicher Kompromiss.
• Haftung: Haftungsbeschränkungen sind aus Sicht des Auftraggebers kritisch, weil er gegenüber Betroffenen und Behörden voll einstehen muss und sein Rückgriff beschnitten würde.
• Meldefrist: Das EU-Muster verlangt eine Meldung von Datenschutzverletzungen „unverzüglich“. Eine feste Frist, etwa 48 Stunden, hilft dem Auftraggeber, seine eigene 72-Stunden-Frist nach Art. 33 DSGVO einzuhalten.

Drittland: USA, Data Privacy Framework und TIA

Ist ein US-Anbieter unter dem EU-US Data Privacy Framework zertifiziert, genügt ein AVV nach EU-Muster. Sinnvoll sind eine Pflicht, die Zertifizierung aufrechtzuerhalten, und eine Auffanglösung für den Fall, dass das Framework entfällt. Ohne Zertifizierung und in anderen Drittländern ohne angemessenes Schutzniveau sind die Standardvertragsklauseln für Drittlandsübermittlungen im passenden Modul nötig (Durchführungsbeschluss (EU) 2021/914). Hinzu kommt ein Transfer Impact Assessment (TIA), das die Rechtslage im Empfängerland bewertet und regelmäßig zu wiederholen ist.

Typische Fehler

Diese Schwächen finden sich in der Praxis besonders häufig:

• Pauschale Datenkategorien wie „Kundendaten“ statt konkreter Kategorien mit Beispielen
• Übersehene sensible Daten, einschließlich Daten über Straftaten nach Art. 10 DSGVO
• Eine TOM-Anlage, die nur den Gesetzestext von Art. 32 DSGVO wiederholt
• Unterauftragsverarbeiter mit Markennamen statt vollständiger Firma, Land und Leistung, oder eine SaaS-Lösung angeblich ganz ohne Unterauftragsverarbeiter
• Eigennutzung durch den Dienstleister im AVV erlauben statt sie auszugrenzen
• Vertragsschluss erst, nachdem die Datenverarbeitung bereits begonnen hat