Glossar
Was ist Auftragsverarbeitungsvertrag (AVV)?
Kurz erklärt
Ein Auftragsverarbeitungsvertrag (AVV) ist die Vereinbarung zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet. Art. 28 DSGVO verlangt ihn und legt Mindestinhalte fest.
Setzt ein Unternehmen externe Dienste ein, etwa Hosting, Mailversand oder KI-Werkzeuge, gelangen personenbezogene Daten zu Dritten. Für diesen Fall sieht die DSGVO einen Vertrag vor.
Was ist ein Auftragsverarbeitungsvertrag?
Der AVV ist ein schriftlicher oder elektronischer Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Verantwortlich ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Der Auftragsverarbeiter handelt nur nach dokumentierter Weisung. Grundlage ist Art. 28 DSGVO.
Wann ist ein AVV erforderlich?
Immer dann, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach den Vorgaben des Verantwortlichen verarbeitet. Typische Fälle sind Cloudspeicher, Newsletter-Versand oder Software, die Kundendaten verarbeitet. Ob im Einzelfall eine Auftragsverarbeitung vorliegt, hängt von der konkreten Rollenverteilung ab und ist gegebenenfalls fachlich zu klären.
Was muss im AVV stehen?
Art. 28 Abs. 3 DSGVO nennt Mindestinhalte. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.
- Verarbeitung nur auf dokumentierte Weisung
- Verpflichtung der eingesetzten Personen zur Vertraulichkeit
- Maßnahmen zur Sicherheit der Verarbeitung nach Art. 32
- Regeln für den Einsatz weiterer Auftragsverarbeiter
- Unterstützung bei Betroffenenrechten und Kontrollen
- Löschung oder Rückgabe der Daten nach Vertragsende
Gilt das auch für KI-Dienste?
Ja, sobald ein KI-Dienst personenbezogene Daten im Auftrag verarbeitet, etwa Texte mit Namen oder Mailinhalte. Dann ist zu prüfen, ob ein AVV vorliegt und welche Unterauftragnehmer beteiligt sind. Mehr zum Zusammenspiel steht im Eintrag zur DSGVO. Dieser Eintrag ist keine Rechtsberatung.
Viele Anbieter stellen Musterverträge bereit, die online abgeschlossen werden können. Ob ein solcher Vertrag zum eigenen Fall passt, sollte vor dem Abschluss gelesen werden. Wichtig sind vor allem der Verarbeitungsort der Daten, die Liste der Unterauftragnehmer und die Fristen für die Löschung. Der Verantwortliche bleibt auch dann für die Daten verantwortlich, wenn er die Verarbeitung auslagert.