Muster Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Präsentation

Der Auftragsverarbeitungsvertrag (AVV) ist die nach Art. 28 Abs. 3 DSGVO zwingend vorgeschriebene vertragliche Grundlage jeder Verarbeitung personenbezogener Daten, die ein Auftragsverarbeiter im Namen und nach Weisung eines Verantwortlichen durchführt. Er ist von der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) zu unterscheiden: Beim AVV bleibt der Verantwortliche allein für die Rechtmäßigkeit der Verarbeitung verantwortlich, während der Auftragsverarbeiter ausschließlich nach dokumentierter Weisung handelt und keine eigenen Zwecke der Verarbeitung verfolgt (z. B. ein Hosting-Anbieter, ein SaaS-Anbieter, ein Lohnabrechnungsdienstleister oder ein E-Mail-Marketing-Tool, das im Auftrag des Kunden Daten verarbeitet). In Deutschland ergänzt § 62 BDSG die DSGVO-Vorgaben für bestimmte öffentliche Stellen, während für den privatwirtschaftlichen Bereich Art. 28 DSGVO unmittelbar und vollumfänglich gilt. Der Vertrag muss zwingend schriftlich oder in einem elektronischen Format abgeschlossen werden (Art. 28 Abs. 9 DSGVO) und alle in Art. 28 Abs. 3 DSGVO abschließend aufgezählten Mindestinhalte enthalten. Ein fehlender oder unvollständiger AVV stellt einen eigenständigen Verstoß dar, der nach Art. 83 Abs. 4 lit. a DSGVO mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann — unabhängig davon, ob die eigentliche Datenverarbeitung selbst rechtmäßig war. Wann diese Vorlage verwenden: immer dann, wenn ein Dienstleister (Hosting, SaaS, Cloud, Lohnbuchhaltung, Kundenservice-Outsourcing, E-Mail-Versand, Marketing-Automatisierung usw.) im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet, ohne selbst über Zweck und wesentliche Mittel der Verarbeitung zu entscheiden. Parteien: der Verantwortliche (der die Zwecke und Mittel der Verarbeitung festlegt) und der Auftragsverarbeiter (der die Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen verarbeitet). Wesentliche Klauseln: Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien der personenbezogenen Daten und der betroffenen Personen (Art. 28 Abs. 3 Satz 1 DSGVO); die Pflicht des Auftragsverarbeiters, nur auf dokumentierte Weisung des Verantwortlichen zu handeln (Art. 28 Abs. 3 lit. a); die Vertraulichkeitsverpflichtung der zur Verarbeitung befugten Personen (lit. b); die Umsetzung angemessener technischer und organisatorischer Maßnahmen gemäß Art. 32 DSGVO (lit. c); die Bedingungen für den Einsatz von Unterauftragsverarbeitern, einschließlich der vorherigen allgemeinen oder spezifischen schriftlichen Genehmigung des Verantwortlichen (lit. d); die Unterstützungspflichten bei der Wahrnehmung von Betroffenenrechten (lit. e); die Unterstützung bei der Gewährleistung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen (lit. f); die Löschung oder Rückgabe der Daten nach Beendigung der Erbringung der Verarbeitungsdienstleistungen (lit. g); und die Bereitstellung aller erforderlichen Informationen zum Nachweis der Einhaltung sowie die Duldung von Audits durch den Verantwortlichen (lit. h). Zu vermeidende Fehler: einen SaaS- oder Dienstleistungsvertrag ohne gesonderten AVV abschließen, obwohl personenbezogene Daten verarbeitet werden; Unterauftragsverarbeiter einsetzen, ohne die vorherige Genehmigung des Verantwortlichen einzuholen und ohne die gleichen Datenschutzverpflichtungen vertraglich an sie weiterzugeben (Art. 28 Abs. 4 DSGVO); die technischen und organisatorischen Maßnahmen nur allgemein statt konkret und überprüfbar zu beschreiben; und keine Regelung zum internationalen Datentransfer treffen, obwohl Unterauftragsverarbeiter außerhalb der EU/des EWR eingesetzt werden.