Auftragsverarbeitungsvertrag
Auch bekannt als: AVV · Datenverarbeitungsvertrag
Ein Auftragsverarbeitungsvertrag regelt nach Art. 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeiten darf.
Sobald ein externer Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, etwa ein Cloud-Anbieter, der Videoaufzeichnungen speichert, oder ein IT-Dienstleister mit Fernzugriff auf Systeme, sieht die DSGVO dafür einen eigenen Vertrag vor. Dieser Auftragsverarbeitungsvertrag legt fest, wofür die Daten verarbeitet werden dürfen, welche technischen und organisatorischen Maßnahmen gelten und was bei Vertragsende mit den Daten passiert. Der Dienstleister darf dabei nur nach dokumentierter Weisung des Auftraggebers handeln, nicht eigenständig über die Daten verfügen.
In der Praxis wird ein Auftragsverarbeitungsvertrag meist als eigenes Dokument neben dem eigentlichen Liefer- oder Dienstleistungsvertrag abgeschlossen und regelt typischerweise Vertraulichkeit, Unterauftragsverarbeiter, Meldepflichten bei Datenpannen und Löschung nach Vertragsende. Viele Softwareanbieter stellen dafür standardisierte Vorlagen bereit, die geprüft und an den eigenen Fall angepasst werden sollten. Fehlt ein solcher Vertrag ganz, obwohl personenbezogene Daten im Auftrag verarbeitet werden, ist das ein technisch wie organisatorisch offener Punkt.
Ein Grenzfall, der oft übersehen wird: Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter. Wer eigenständig über Zweck und Mittel der Datenverarbeitung entscheidet, gilt als eigener Verantwortlicher und braucht andere vertragliche Grundlagen. Ob im Einzelfall ein Auftragsverarbeitungsvertrag nötig ist und wie er konkret auszugestalten ist, ist eine rechtliche Frage, die mit der eigenen Rechtsberatung geklärt werden sollte.
Was das im Betrieb heißt
Im Betrieb fällt ein fehlender Auftragsverarbeitungsvertrag meist erst auf, wenn ein neuer Dienstleister, etwa für Videoüberwachung oder Cloud-Speicher, produktiv geht, ohne dass jemand die Verträge geprüft hat. NDVDL weist bei Projekten mit externen Dienstleistern auf diesen Punkt hin, die vertragliche und rechtliche Ausgestaltung liegt beim Betrieb und seiner Rechtsberatung.
Ist das bei Ihnen sauber gelöst?
Wir schauen uns an, wie es bei Ihnen tatsächlich aussieht — und sagen ehrlich, ob etwas zu tun ist.
Verwandte Begriffe
Alle BegriffeEin Begriff aus Ihrem Angebot fehlt hier?
Schicken Sie uns die Stelle, die Sie nicht verstehen. Wir erklären sie — ohne dass daraus gleich ein Auftrag werden muss.