Auftragsverarbeitungsvertrag: Rechtssichere Zusammenarbeit mit externen Dienstleistern

Warum ein Auftragsverarbeitungsvertrag bei externer Datenverarbeitung unverzichtbar ist

Im Folgenden erfahren Sie, wann ein Auftragsverarbeitungsvertrag erforderlich ist und welche Inhalte er mindestens umfassen muss. Zudem zeigen wir, welche Verantwortung Auftraggeber gegenüber ihren Dienstleistern behalten.

Was ist Auftragsverarbeitung?

Eine Auftragsverarbeitung (AVV) liegt vor, wenn ein externer Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, etwa ein Cloud-Anbieter oder IT-Dienstleister. Die DSGVO verlangt für solche Konstellationen einen schriftlichen Auftragsverarbeitungsvertrag mit konkret definierten Pflichten.

Wann eine Auftragsverarbeitung vorliegt

Eine Auftragsverarbeitung liegt typischerweise vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Unternehmens verarbeitet, etwa beim Hosting von Kundendaten oder der Nutzung einer Cloud-Software. Der Dienstleister trifft dabei keine eigenen Entscheidungen über den Zweck der Datenverarbeitung, sondern folgt den Vorgaben des Auftraggebers.

Mindestinhalte eines Auftragsverarbeitungsvertrags

Ein AVV muss unter anderem den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Datenverarbeitung, die Kategorien betroffener Personen und Daten sowie konkrete technische und organisatorische Schutzmaßnahmen des Dienstleisters festlegen. Auch Regelungen zu Unterauftragsverarbeitern und zur Unterstützung bei Betroffenenanfragen gehören zu den verpflichtenden Vertragsinhalten.

Verbleibende Verantwortung des Auftraggebers

Auch mit einem abgeschlossenen AVV bleibt das beauftragende Unternehmen weiterhin für die datenschutzkonforme Verarbeitung verantwortlich und muss den gewählten Dienstleister sorgfältig auswählen und dessen Einhaltung der vereinbarten Maßnahmen regelmäßig überprüfen.

Für IT-Dienstleister und Cloud-Anbieter ist ein transparent kommunizierter, rechtssicherer Auftragsverarbeitungsvertrag ein wichtiges Vertrauenssignal gegenüber potenziellen Kunden, die selbst für die Einhaltung der DSGVO verantwortlich bleiben.

AVV-Konformität als Vertrauenssignal nutzen – mit summ-it

IT-Dienstleister und Cloud-Anbieter, die einen rechtssicheren, transparenten Auftragsverarbeitungsvertrag anbieten, sollten dies aktiv als Vertrauenssignal gegenüber potenziellen Kunden kommunizieren.

summ-it hilft, diesen oft unterschätzten Compliance-Aspekt überzeugend darzustellen.

Kostenloses Erstgespräch vereinbaren

FAQ: Auftragsverarbeitungsvertrag (AVV)

Wann ist ein Auftragsverarbeitungsvertrag erforderlich?

Ein AVV ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Unternehmens verarbeitet, etwa bei Cloud-Hosting, IT-Support mit Datenzugriff oder externer Lohnbuchhaltung.

Bleibt das beauftragende Unternehmen trotz AVV verantwortlich?

Ja, das beauftragende Unternehmen bleibt datenschutzrechtlich weiterhin verantwortlich und muss den Dienstleister sorgfältig auswählen sowie dessen Einhaltung der vereinbarten Maßnahmen regelmäßig überprüfen.

Was passiert, wenn kein Auftragsverarbeitungsvertrag abgeschlossen wird, obwohl er erforderlich wäre?

Das Fehlen eines erforderlichen AVV stellt einen Verstoß gegen die DSGVO dar und kann mit Bußgeldern geahndet werden, unabhängig davon, ob es tatsächlich zu einer Datenschutzverletzung gekommen ist.

Dürfen Auftragsverarbeiter Unterauftragsverarbeiter einsetzen?

Dies ist grundsätzlich möglich, muss jedoch im Auftragsverarbeitungsvertrag geregelt sein, häufig mit der Pflicht, den Auftraggeber vorab zu informieren oder dessen Zustimmung einzuholen.

Was unterscheidet Auftragsverarbeitung von gemeinsamer Verantwortlichkeit?

Bei der Auftragsverarbeitung folgt der Dienstleister ausschließlich den Weisungen des Auftraggebers, während bei gemeinsamer Verantwortlichkeit beide Parteien gemeinsam über Zweck und Mittel der Datenverarbeitung entscheiden, was andere rechtliche Anforderungen mit sich bringt.

Muss ein AVV bei jeder Cloud-Nutzung abgeschlossen werden?

Sofern der Cloud-Dienst personenbezogene Daten im Auftrag des Unternehmens verarbeitet, ist ein AVV erforderlich. Viele große Cloud-Anbieter stellen dafür standardisierte Vertragsvorlagen zur Verfügung.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.