"Auftragsverarbeitung: Wann Ihr Betrieb einen AV-Vertrag braucht"
Sie nutzen einen Cloud-Speicher, lassen die Lohnabrechnung von einem externen Büro erledigen oder versenden Newsletter über einen Online-Dienst? Dann geben Sie personenbezogene Daten an ein anderes Unternehmen weiter, damit dieses sie in Ihrem Auftrag verarbeitet. Genau für diesen Fall verlangt die Datenschutz-Grundverordnung einen eigenen Vertrag: den Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV. Viele kleine Betriebe wissen nicht, dass sie ihn brauchen. Dieser Beitrag erklärt die Grundlagen.
Dieser Text ist eine allgemeine Information und ersetzt keine Rechts- oder Steuerberatung.
Was ist eine Auftragsverarbeitung?
Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nach Ihren Weisungen verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Der Dienstleister ist dabei nur das ausführende Werkzeug, die Verantwortung bleibt bei Ihnen.
Typische Beispiele aus dem Alltag kleiner Betriebe:
- Cloud-Speicher für Kunden- oder Mitarbeiterdaten
- IT-Dienstleister, die Ihre Server oder Rechner warten und dabei Zugriff auf Daten haben
- Lohn- und Gehaltsabrechnung durch ein externes Büro
- Newsletter- und E-Mail-Dienste
- Online-Terminbuchung oder Kassensysteme mit Kundendaten
Nicht jede Zusammenarbeit ist eine Auftragsverarbeitung. Ein Steuerberater oder ein Rechtsanwalt zum Beispiel arbeitet eigenverantwortlich und fällt in der Regel nicht darunter. Entscheidend ist, ob der Partner weisungsgebunden handelt oder eigene fachliche Entscheidungen trifft.
Warum verlangt die DSGVO diesen Vertrag?
Der AV-Vertrag stellt sicher, dass Ihre Vorgaben zum Datenschutz auch beim Dienstleister gelten. Rechtsgrundlage ist Artikel 28 der DSGVO. Ohne diesen Vertrag ist die Weitergabe der Daten formal nicht zulässig, selbst wenn technisch alles sauber läuft.
Wichtig: Es gibt keine Ausnahme für kleine Unternehmen. Auch der Ein-Personen-Betrieb braucht den Vertrag, sobald ein Dienstleister personenbezogene Daten für ihn verarbeitet. Das gilt ebenso für kostenlose Werkzeuge, solange darüber echte Personendaten laufen.
Was muss im Vertrag stehen?
Artikel 28 Absatz 3 der DSGVO legt feste Pflichtinhalte fest. Der Vertrag muss unter anderem regeln:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der Daten und die Kategorien betroffener Personen
- die Pflichten und Rechte von Ihnen als verantwortlichem Betrieb
- die Bindung des Dienstleisters an Ihre Weisungen
- Vertraulichkeit, technische Sicherheitsmaßnahmen, Umgang mit Unterauftragnehmern
- Unterstützung bei Anfragen betroffener Personen sowie die Löschung oder Rückgabe der Daten am Ende
Der Vertrag muss schriftlich oder in elektronischer Form vorliegen, und zwar bevor der erste Datenaustausch stattfindet.
Muss ich den Vertrag selbst schreiben?
In den allermeisten Fällen nicht. Seriöse Anbieter von Cloud- und IT-Diensten stellen einen fertigen AV-Vertrag bereit, oft als Teil der Vertragsunterlagen oder zum Download im Kundenkonto. Ihre Aufgabe ist es, diesen Vertrag abzuschließen, sicher abzulegen und bei einer Prüfung vorlegen zu können.
Prüfen Sie am besten einmal strukturiert, welche externen Dienste bei Ihnen personenbezogene Daten verarbeiten. Oft kommen schnell fünf bis zehn Dienstleister zusammen, von denen einige noch keinen Vertrag haben. Eine einfache Liste mit Anbieter, Zweck und Fundstelle des Vertrags schafft schnell Überblick und hilft Ihnen auch, den Stand jährlich zu kontrollieren.
Achten Sie außerdem darauf, ob ein Dienstleister seinerseits weitere Anbieter einsetzt, etwa ein Cloud-Anbieter mit Rechenzentren im Ausland. Solche Unterauftragnehmer müssen im Vertrag abgedeckt sein, und bei Standorten außerhalb der EU gelten zusätzliche Anforderungen.
Was passiert am Ende der Zusammenarbeit?
Ein Punkt wird häufig übersehen: Auch wenn ein Dienstleistungsverhältnis endet, sind die Daten damit nicht automatisch sicher. Der Vertrag sollte klar regeln, dass der Dienstleister die Daten löscht und dies auf Wunsch bestätigt. Gerichte haben bestätigt, dass das Vertragsende nicht das Ende der Verantwortung ist: Sie müssen die Löschung nachvollziehen können.
Fazit
Ein AV-Vertrag ist kein bürokratischer Selbstzweck, sondern die vertragliche Grundlage dafür, dass Sie Daten überhaupt an externe Dienste geben dürfen. Verschaffen Sie sich einen Überblick über Ihre Dienstleister, holen Sie fehlende Verträge nach und legen Sie alles geordnet ab. So sind Sie im Fall einer Prüfung oder einer Datenpanne deutlich besser aufgestellt.
Wenn Sie in der Region Reutlingen–Tübingen unsicher sind, welche Ihrer IT-Dienstleister einen solchen Vertrag brauchen, schauen wir uns Ihre Werkzeuge gern gemeinsam an und sortieren den Überblick.