Personenbezogene Daten werden täglich über Dienstleister verarbeitet: in der Lohnabrechnung, im Cloud-Speicher, auf Marketingplattformen und in HR-Systemen. Der Auftragsverarbeitungsvertrag (AVV) regelt, was mit diesen Daten geschieht. Die meisten Unternehmen haben einen AVV. Deutlich weniger Verträge halten einer genauen Prüfung stand.
Auftragsverarbeitungsvertrag (AVV): Ein rechtlich bindender Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er legt Zweck, Umfang und Schutzmaßnahmen für die Verarbeitung personenbezogener Daten fest, wie es Art. 28 DSGVO und vergleichbare Datenschutzvorschriften verlangen.
Warum ein fehlender AVV einen Compliance-Verstoß darstellt
Aufsichtsbehörden betrachten einen fehlenden AVV nicht als bloßes Versäumnis bei der Dokumentation. Er kann einen Verstoß gegen die Datenschutzvorschriften darstellen.
Nach der Datenschutz-Grundverordnung (DSGVO) kann die Verarbeitung personenbezogener Daten ohne gültigen AVV mit Geldbußen von bis zu 20 Mio. Euro oder 4 % des gesamten weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist, geahndet werden. Die Geldbuße wird nach Art. 83 DSGVO bemessen und kann sich auf einzelne Verstöße beziehen, nicht nur auf das Ergebnis einer Prüfung.
Fehlt ein vollständiger AVV, fehlt Ihrem Unternehmen bei Datenschutzverletzungen ein wichtiger vertraglicher Hebel. Unklare Meldefristen, Sicherheitsstandards oder Löschpflichten erschweren die Bewältigung von Datenschutzvorfällen.
Welche Unterschiede gibt es zwischen Verantwortlichen, Auftragsverarbeitern und Unterauftragsverarbeitern?
Bevor Sie einen AVV erstellen oder prüfen, müssen die drei Rollen geklärt sein. Sie bestimmen, wer für welche Verarbeitung rechtlich verantwortlich ist und welche vertraglichen Pflichten zwischen den Beteiligten bestehen.
Was ist ein Verantwortlicher?
Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Er trägt die primäre rechtliche Verantwortung dafür, dass die Verarbeitung rechtmäßig, fair und nachvollziehbar erfolgt. Erhebt Ihr Unternehmen Beschäftigtendaten für die Lohnabrechnung oder Kundendaten zur Abwicklung von Bestellungen, ist Ihr Unternehmen der Verantwortliche.
Was ist ein Auftragsverarbeiter?
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen und folgt dabei dessen dokumentierten Weisungen. Im Rahmen dieser Beziehung darf er die Daten nicht für eigene Zwecke verwenden. Bestimmt er selbst die Zwecke und Mittel der Verarbeitung, kann er für diese Verarbeitung als Verantwortlicher gelten und die entsprechenden Pflichten übernehmen. Typische Beispiele sind Cloud-Speicheranbieter, Lohnabrechnungsdienstleister, HR-Softwareanbieter und Marketingplattformen.
Was ist ein Unterauftragsverarbeiter?
Ein Unterauftragsverarbeiter ist ein Dritter, den der Auftragsverarbeiter mit bestimmten Verarbeitungstätigkeiten beauftragt. Der Auftragsverarbeiter bleibt für die Einhaltung der Datenschutzvorschriften durch den Unterauftragsverarbeiter vollständig verantwortlich, auch wenn zwischen Verantwortlichem und Unterauftragsverarbeiter kein direkter Vertrag besteht. Nach Art. 28 DSGVO muss der Auftragsverarbeiter vor der Beauftragung eines Unterauftragsverarbeiters eine schriftliche Genehmigung einholen.
Die drei Rollen im Überblick
Was sie tun
Entscheidet, warum und wie personenbezogene Daten verarbeitet werden.
Beispiel
Ihr Unternehmen erhebt Daten für die Lohnabrechnung.
Was sie tun
Verarbeitet Daten im Auftrag des Verantwortlichen.
Beispiel
Ihr Anbieter für Lohnabrechnung.
Was sie tun
Wird vom Auftragsverarbeiter mit bestimmten Aufgaben beauftragt.
Beispiel
Der Cloud-Hosting-Anbieter des Dienstleisters.
Wann ist ein Auftragsverarbeitungsvertrag erforderlich?
Ein AVV ist in der Regel erforderlich, wenn ein Unternehmen einen Dritten mit der Verarbeitung personenbezogener Daten beauftragt und zwischen beiden ein Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter besteht. Der praktische Auslöser ist einfach: Verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, sollte der AVV vor Beginn der Verarbeitung vorliegen.
Wann verlangt die DSGVO einen AVV?
Art. 28 DSGVO schreibt einen AVV für jedes Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter vor. Die Pflicht hängt weder von der Größe des Unternehmens noch von der Datenmenge oder dem Sitz des Auftragsverarbeiters ab. Gilt die DSGVO für die Verarbeitung, ist ein Vertrag nach Art. 28 DSGVO erforderlich, unabhängig davon, wo der Dienstleister seinen Sitz hat.
Der Vertrag muss schriftlich geschlossen werden. Eine E-Mail-Bestätigung oder ein pauschaler Verweis auf die Standardbedingungen eines Dienstleisters reicht möglicherweise nicht aus, sofern daraus nicht eindeutig hervorgeht, dass die erforderlichen Inhalte Bestandteil der schriftlichen Vereinbarung sind.
Welche deutschen Rechtsgrundlagen sind für einen AVV relevant?
In Deutschland gelten die Vorgaben der DSGVO gemeinsam mit den ergänzenden Regelungen des Bundesdatenschutzgesetzes (BDSG). Die Pflicht zum AVV ergibt sich insbesondere aus Art. 28 DSGVO. Je nach Verarbeitung können weitere Vorschriften und Anforderungen der zuständigen deutschen Datenschutzaufsichtsbehörde hinzukommen.
| RECHTSGRUNDLAGE ODER STELLE | VERTRAG ERFORDERLICH? | KERNANFORDERUNG |
|---|---|---|
| DSGVO, Art. 28 | Ja | Vertragliche Regelung des Verhältnisses zwischen Verantwortlichem und Auftragsverarbeiter |
| DSGVO, Art. 32 | Indirekt | Geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten |
| DSGVO, Art. 44 bis 49 | Bei Drittlandtransfer | Geeignete Garantien für Übermittlungen außerhalb des Europäischen Wirtschaftsraums |
| Bundesdatenschutzgesetz (BDSG) | Ergänzend | Nationale Datenschutzregelungen, die neben der DSGVO gelten können |
| BfDI und Landesdatenschutzbehörden | Keine eigene Vertragsform | Kontrolle der Einhaltung und Auslegung der Datenschutzvorschriften |
Wenn Ihr Unternehmen Daten in Deutschland oder anderen EU-Mitgliedstaaten verarbeitet, sollte der AVV die Anforderungen der DSGVO abdecken. Bei Übermittlungen in Drittländer müssen zusätzlich die geltenden Transfermechanismen und gegebenenfalls Standardvertragsklauseln geprüft werden.
Welche Inhalte muss ein Auftragsverarbeitungsvertrag enthalten?
Ein rechtskonformer AVV muss die zehn in Art. 28 Abs. 3 DSGVO genannten Punkte abdecken. Die folgende Checkliste enthält alle wesentlichen Bestandteile.
Anforderungen an einen AVV
Gegenstand, Zweck und Dauer
Welche Daten werden verarbeitet, zu welchem Zweck, wie lange und was geschieht nach Vertragsende?
Daten und betroffene Personen
Welche Datenarten werden verarbeitet und auf welche Personengruppen beziehen sie sich?
Pflichten der Parteien
Der Auftragsverarbeiter darf nur nach dokumentierten Weisungen des Verantwortlichen handeln.
Technische und organisatorische Maßnahmen
Dazu gehören Zugriffskontrollen, Schutzmaßnahmen und Verfahren für den Umgang mit Datenschutzverletzungen.
Unterauftragsverarbeiter
Der AVV muss Genehmigungen, Informationspflichten und die Verantwortung für Unterauftragsverarbeiter regeln.
Rechte betroffener Personen
Der Auftragsverarbeiter muss den Verantwortlichen bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit unterstützen.
Datenschutzverletzungen melden
Der Vertrag muss Frist und Verfahren für die Meldung einer Datenschutzverletzung an den Verantwortlichen festlegen.
Prüfungs- und Kontrollrechte
Der Verantwortliche muss die Möglichkeit haben, die Einhaltung der vertraglichen und gesetzlichen Pflichten zu prüfen.
Löschung oder Rückgabe
Der Vertrag muss regeln, was nach Ende der Verarbeitung mit den personenbezogenen Daten geschieht.
Übermittlung in Drittländer
Für Übermittlungen außerhalb der EU oder des Europäischen Wirtschaftsraums müssen geeignete Garantien festgelegt werden.
Für die Erstellung eines AVV gibt es drei praxistaugliche Ansätze. Welche Variante passt, hängt von der Beziehung zum Dienstleister, den Kapazitäten Ihres Teams und dem regulatorischen Risiko ab.
Option 1: Mit einer Standardvorlage beginnen
Der Europäische Datenschutzausschuss (EDSA) und die nationalen Datenschutzaufsichtsbehörden veröffentlichen Hinweise, die als Grundlage für Standardvorlagen dienen. Eine Vorlage ist ein guter Ausgangspunkt, muss aber angepasst werden. Eine allgemeine Vorlage bildet die konkreten Datenflüsse, Verarbeitungstätigkeiten und das Risikoprofil eines einzelnen Dienstleisters nur selten vollständig ab. Verwenden Sie sie als Struktur, nicht als fertigen Vertrag.
Option 2: Den AVV aus Ihrem Contract Lifecycle Management erstellen
Wenn Ihre Rechtsabteilung mehrere Dienstleisterverträge verwaltet, können Sie mit einer Vertragsmanagement-Plattform AVVs auf Basis einer Standardvorlage erstellen, Klauselabweichungen im Anbieterportfolio verfolgen und Verlängerungen zentral verwalten. Ihr Team arbeitet mit einem einheitlichen Playbook, statt jeden Vertrag von Grund auf neu aufzubauen.
Sind Sie auf die Einführung einer CLM-Lösung vorbereitet?
Eine erfolgreiche Einführung umfasst fünf Schritte, von Konzeption, Konfiguration und Datenmigration bis zum Onboarding und Go-live. Lesen Sie den deutschen Leitfaden zum Contract Lifecycle Management, um die Einführung gut zu planen und Ihr Team auf demselben Stand zu halten.
Option 3: Die Standardbedingungen des Auftragsverarbeiters verhandeln
Viele große SaaS-Anbieter veröffentlichen eigene Standard-AVVs. Die Vorlage eines Dienstleisters anhand Ihrer Anforderungen zu prüfen, ist oft schneller, als einen Vertrag vollständig neu zu erstellen. Das zentrale Risiko: Standard-AVVs sind in der Regel auf den Schutz des Auftragsverarbeiters ausgerichtet. Prüfen Sie vor der Unterzeichnung, bei welchen Klauseln Sie Änderungen verlangen sollten.
Wie prüfen und verhandeln Sie einen AVV?
Beginnen Sie bei der Prüfung eines AVV mit den vier Klauseln, die in Standardvorlagen von Auftragsverarbeitern am häufigsten unzureichend sind: Prüfungsrechte, Listen der Unterauftragsverarbeiter, Fristen für die Meldung von Datenschutzverletzungen und Pflichten zur Löschung von Daten.
Viele Unternehmensjuristen erhalten den Standard-AVV eines Dienstleisters und akzeptieren ihn direkt oder geben ihn an eine externe Kanzlei weiter. Ein strukturierter Prüfprozess führt schneller zu belastbaren Ergebnissen.
Was ist der Unterschied zwischen einem Auftragsverarbeitungsvertrag und einem Datenschutzanhang?
Ein Datenschutzanhang und ein Auftragsverarbeitungsvertrag verfolgen grundsätzlich denselben Zweck. Ihr Umfang hängt davon ab, wie der Text formuliert und in den übergeordneten Vertrag einbezogen wird. Der Unterschied ist meist struktureller Natur. Entscheidend bleibt, ob alle vorgeschriebenen Pflichten abgedeckt sind.
Ein Datenschutzanhang ist eine Anlage zu einem bestehenden Rahmenvertrag über Dienstleistungen oder zu Nutzungsbedingungen. Ein Auftragsverarbeitungsvertrag kann als eigenständiger Vertrag geschlossen werden. Große SaaS-Anbieter verwenden häufig einen Datenschutzanhang und nehmen darin auf die Datenschutzregelungen des Hauptvertrags Bezug. Bei kleineren Dienstleistern oder individuell vereinbarten Leistungen wird häufiger ein eigenständiger AVV verwendet.
Für die DSGVO sind beide Formen zulässig, sofern sie die erforderlichen Inhalte enthalten. Die Bezeichnung ist weniger wichtig als die konkrete Regelung.
Datenschutzanhang Definition
Eine vertragliche Anlage zu einem Rahmenvertrag über Dienstleistungen, die dieselben wesentlichen Pflichten zur Datenverarbeitung wie ein eigenständiger Auftragsverarbeitungsvertrag enthält und die Anforderungen von Art. 28 DSGVO auf dieselbe Weise erfüllt.
Wie verwalten Sie mehrere AVVs in einem Anbieterportfolio?
Wenn ein Anbieterportfolio über einige wenige Verträge hinauswächst, wird die manuelle Nachverfolgung von AVVs zum Compliance-Risiko. AVVs sollten als strukturierte Vertragsdaten verwaltet werden, nicht als lose Dokumente in verschiedenen Ordnern.
Stellen Sie sich eine typische Situation vor: Ihr Unternehmen nutzt 40 SaaS-Tools. Für jedes Tool gibt es einen AVV. Einige AVVs sind an Hauptverträge angehängt, andere wurden separat geschlossen. Mehrere wurden seit der Unterzeichnung geändert. Einige müssen in diesem Quartal verlängert werden.
Mit wachsendem Portfolio entstehen bei der manuellen Verwaltung drei typische Probleme:
DiliTrust Contract Lifecycle Management führt alle AVVs zusammen mit dem jeweiligen Hauptvertrag, extrahiert wichtige Fristen und Verpflichtungen und erinnert rechtzeitig an anstehende Verlängerungen. Sie erhalten einen vollständigen Audit Trail, verknüpfte Vereinbarungen und strukturierte Vertragsdaten für Ihr gesamtes Anbieterportfolio. Tabellenkalkulationen werden dadurch weniger wichtig und Fristen gehen seltener verloren.
Mehrere AVVs in einem Anbieterportfolio verwalten
Mit DiliTrust CLM verwalten Rechtsabteilungen AVVs an einem geschützten Ort, verknüpfen sie mit Hauptverträgen, extrahieren wichtige Klauseln und verfolgen jede Frist.
Häufig gestellte Fragen
Was ist ein Auftragsverarbeitungsvertrag einfach erklärt?
Ein Auftragsverarbeitungsvertrag ist ein schriftlicher Vertrag. Er legt fest, wie ein Dienstleister, der Auftragsverarbeiter, personenbezogene Daten im Auftrag Ihres Unternehmens, des Verantwortlichen, verarbeiten darf. Der AVV regelt den Zweck der Verarbeitung, die erforderlichen Sicherheitsmaßnahmen, den Umgang mit Datenschutzverletzungen und die Löschung der Daten nach Ende der Zusammenarbeit.
Ist ein AVV in Deutschland erforderlich?
Ja, wenn ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Die Pflicht ergibt sich aus Art. 28 DSGVO und gilt unabhängig von der Größe des Unternehmens oder dem Sitz des Dienstleisters. Bei Datenübermittlungen in Drittländer müssen außerdem die Anforderungen der Art. 44 bis 49 DSGVO und die passenden Garantien geprüft werden.
Muss ein AVV von beiden Parteien unterzeichnet werden?
Die DSGVO verlangt, dass die Vereinbarung schriftlich geschlossen wird. Das schließt ein elektronisches Format ein. Die Vertragsbedingungen müssen eindeutig Bestandteil der Vereinbarung sein. Eine Unterschrift beider Parteien ist nicht in jedem Fall zwingend, doch ein Kontrollkästchen oder die bloße weitere Nutzung eines Dienstes belegt die Zustimmung und Einbeziehung der erforderlichen Bedingungen möglicherweise nicht eindeutig. Die beiderseitige Unterzeichnung hat insbesondere bei einem Streit oder einer Prüfung ein höheres Beweisgewicht.
Wie lange sollte ein AVV gelten?
Ein AVV sollte für die gesamte Laufzeit des zugrunde liegenden Dienstleistungsvertrags gelten. Hinzukommen kann der Zeitraum, der für die Löschung oder Rückgabe der Daten erforderlich ist. Viele AVVs enthalten Beendigungsregelungen, die an den Hauptvertrag gekoppelt sind. Pflichten wie die schriftliche Bestätigung der Löschung können über das Vertragsende hinaus fortbestehen.
Alle AVVs im Blick und für Prüfungen bereit
Erfahren Sie, wie DiliTrusts Contract Lifecycle Management (CLM) Rechtsabteilungen beim Vertragsmanagement unterstützt, von der Erstellung bis zur Verlängerung.
