Muster Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Präsentation

Der Auftragsverarbeitungsvertrag (AVV) ist die nach Art. 28 Abs. 3 DSGVO zwingend vorgeschriebene vertragliche Grundlage jeder Verarbeitung personenbezogener Daten, die ein Auftragsverarbeiter im Namen und nach Weisung eines Verantwortlichen durchführt. Er ist von der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) zu unterscheiden: Beim AVV bleibt der Verantwortliche allein für die Rechtmäßigkeit der Verarbeitung verantwortlich, während der Auftragsverarbeiter ausschließlich nach dokumentierter Weisung handelt und keine eigenen Zwecke der Verarbeitung verfolgt (z. B. ein Hosting-Anbieter, ein SaaS-Anbieter, ein Lohnabrechnungsdienstleister oder ein E-Mail-Marketing-Tool, das im Auftrag des Kunden Daten verarbeitet). In Deutschland ergänzt § 62 BDSG die DSGVO-Vorgaben für bestimmte öffentliche Stellen, während für den privatwirtschaftlichen Bereich Art. 28 DSGVO unmittelbar und vollumfänglich gilt. Der Vertrag muss zwingend schriftlich oder in einem elektronischen Format abgeschlossen werden (Art. 28 Abs. 9 DSGVO) und alle in Art. 28 Abs. 3 DSGVO abschließend aufgezählten Mindestinhalte enthalten. Ein fehlender oder unvollständiger AVV stellt einen eigenständigen Verstoß dar, der nach Art. 83 Abs. 4 lit. a DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann — unabhängig davon, ob die eigentliche Datenverarbeitung selbst rechtmäßig war. Wann diese Vorlage verwenden: immer dann, wenn ein Dienstleister (Hosting, SaaS, Cloud, Lohnbuchhaltung, Kundenservice-Outsourcing, E-Mail-Versand, Marketing-Automatisierung usw.) im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet, ohne selbst über Zweck und wesentliche Mittel der Verarbeitung zu entscheiden. Parteien: der Verantwortliche (der die Zwecke und Mittel der Verarbeitung festlegt) und der Auftragsverarbeiter (der die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen verarbeitet). Wesentliche Klauseln: Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien der personenbezogenen Daten und der betroffenen Personen (Art. 28 Abs. 3 Satz 1 DSGVO); die Pflicht des Auftragsverarbeiters, nur auf dokumentierte Weisung des Verantwortlichen zu handeln (Art. 28 Abs. 3 lit. a); die Vertraulichkeitsverpflichtung der zur Verarbeitung befugten Personen (lit. b); die Umsetzung angemessener technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO (lit. c); die Bedingungen für den Einsatz von Unterauftragsverarbeitern, einschließlich der vorherigen allgemeinen oder spezifischen schriftlichen Genehmigung des Verantwortlichen (lit. d); die Unterstützungspflichten bei der Wahrnehmung von Betroffenenrechten (lit. e); die Unterstützung bei der Gewährleistung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen (lit. f); die Löschung oder Rückgabe der Daten nach Beendigung der Erbringung der Verarbeitungsdienstleistungen (lit. g); und die Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung sowie die Duldung von Audits durch den Verantwortlichen (lit. h). Zu vermeidende Fehler: einen SaaS- oder Dienstleistungsvertrag ohne gesonderten AVV abschließen, obwohl personenbezogene Daten verarbeitet werden; Unterauftragsverarbeiter einsetzen, ohne die vorherige Genehmigung des Verantwortlichen einzuholen und ohne die gleichen Datenschutzverpflichtungen vertraglich an sie weiterzugeben (Art. 28 Abs. 4 DSGVO); die technischen und organisatorischen Maßnahmen nur allgemein statt konkret und überprüfbar zu beschreiben; und keine Regelung zum internationalen Datentransfer treffen, obwohl Unterauftragsverarbeiter außerhalb der EU/des EWR eingesetzt werden.

Anzupassende Informationen

• Firma des Verantwortlichen

• Anschrift des Verantwortlichen

• Firma des Auftragsverarbeiters

• Anschrift des Auftragsverarbeiters

• Referenz des zugrunde liegenden Hauptvertrags

• Gegenstand der Verarbeitung

• Zweck der Verarbeitung

• Dauer der Verarbeitung

• Kategorien der verarbeiteten personenbezogenen Daten

• Kategorien der betroffenen Personen

• Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32 DSGVO)

• Liste der genehmigten Unterauftragsverarbeiter

• Angaben zu Datentransfers in Drittländer

• Frist zur Löschung oder Rückgabe der Daten nach Vertragsende

• Kontakt für Datenschutzfragen (Datenschutzbeauftragter)

• Datum der Vertragsunterzeichnung

Passen Sie Ihre Vorlage an

Häufig gestellte Fragen

Wann ist ein Auftragsverarbeitungsvertrag (AVV) erforderlich?

Immer dann, wenn ein Dienstleister im Auftrag und nach Weisung eines Verantwortlichen personenbezogene Daten verarbeitet, ohne selbst über die Zwecke und wesentlichen Mittel der Verarbeitung zu entscheiden — etwa ein Hosting-, SaaS-, Lohnbuchhaltungs- oder E-Mail-Marketing-Dienstleister. Art. 28 Abs. 3 DSGVO schreibt in diesem Fall zwingend einen schriftlichen oder elektronischen Vertrag vor.

Was ist der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit?

Bei der Auftragsverarbeitung nach Art. 28 DSGVO handelt der Dienstleister ausschließlich nach Weisung des Verantwortlichen und verfolgt keine eigenen Zwecke. Bei der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO legen zwei oder mehr Stellen gemeinsam die Zwecke und Mittel der Verarbeitung fest, was andere vertragliche Pflichten auslöst.

Was passiert bei fehlendem oder unvollständigem AVV?

Das Fehlen eines AVV stellt einen eigenständigen Verstoß gegen die DSGVO dar, unabhängig davon, ob die eigentliche Datenverarbeitung rechtmäßig erfolgte. Er kann nach Art. 83 Abs. 4 lit. a DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Darf der Auftragsverarbeiter frei Unterauftragsverarbeiter einsetzen?

Nein. Der Auftragsverarbeiter benötigt hierfür die vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen und muss diesem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegen, die im ursprünglichen AVV festgelegt sind.

Was muss bei Datentransfers außerhalb der EU beachtet werden?

Werden personenbezogene Daten an einen Unterauftragsverarbeiter außerhalb der EU/des EWR übermittelt, ist zusätzlich zum AVV eine geeignete Garantie nach Kapitel V DSGVO erforderlich, etwa der Abschluss der Standardvertragsklauseln der EU-Kommission oder ein Angemessenheitsbeschluss der EU-Kommission für das betreffende Drittland.

Was geschieht mit den Daten nach Vertragsende?

Nach Abschluss der Verarbeitungsleistungen muss der Auftragsverarbeiter die personenbezogenen Daten nach Wahl des Verantwortlichen entweder zurückgeben oder löschen sowie bestehende Kopien vernichten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Zugehörige Vorlagen