Definition
Ein Auftragsverarbeitungsvertrag (AVV) ist ein rechtlicher Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Er regelt die Bedingungen, unter denen personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden. Ziel ist es, den Schutz der Daten sicherzustellen und die Einhaltung datenschutzrechtlicher Vorgaben zu gewährleisten.
Der Begriff stammt aus der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, die seit Mai 2018 gilt. Die DSGVO schreibt vor, dass die Verarbeitung personenbezogener Daten durch Dritte nur auf Basis eines schriftlichen Vertrags erfolgen darf, der die Rechte und Pflichten beider Parteien klar definiert.
Der Begriff Datenverarbeitungsvertrag wird oft gleichbedeutend verwendet, im Englischen heißt das Dokument meist Data Processing Agreement (DPA). Rechtlich zählt nicht der Name, sondern dass die Pflichtinhalte nach Art. 28 DSGVO enthalten sind.
Was bedeutet das für Ihr Unternehmen?
Viele Anbieter stellen ihren AVV als Download oder Online-Klick bereit, er gilt aber erst, wenn Sie ihn tatsächlich abgeschlossen und abgelegt haben. Prüfen Sie dabei vor allem, welche Unterauftragnehmer eingebunden sind, in welchen Ländern die Daten verarbeitet werden und welche technischen und organisatorischen Maßnahmen beschrieben sind. Bei einer Prüfung durch die Datenschutzaufsicht gehören die AVVs zu den ersten Unterlagen, die angefordert werden.
Rechtliche Grundlage und Hintergrund
Die rechtliche Grundlage für den Auftragsverarbeitungsvertrag bildet Artikel 28 der DSGVO. Dieser Artikel legt fest, dass der Verantwortliche nur dann einen Auftragsverarbeiter mit der Datenverarbeitung beauftragen darf, wenn dieser ausreichende Garantien für die Umsetzung technischer und organisatorischer Maßnahmen zum Schutz der Daten bietet.
Vor der DSGVO wurde der AVV bereits im Bundesdatenschutzgesetz (BDSG) geregelt, allerdings mit weniger strengen Anforderungen. Die Einführung der DSGVO führte zu einer europaweit einheitlichen Regelung, die insbesondere die Transparenz und Rechenschaftspflicht in der Datenverarbeitung durch Dritte erhöht.
Inhalt und Anforderungen
Ein Auftragsverarbeitungsvertrag muss bestimmte Mindestinhalte enthalten. Dazu gehören unter anderem die Beschreibung des Verarbeitungsgegenstands, die Art und der Zweck der Verarbeitung sowie die Dauer der Verarbeitung. Zudem sind die Pflichten des Auftragsverarbeiters hinsichtlich Vertraulichkeit, Sicherheit und Unterstützung des Verantwortlichen bei der Wahrnehmung von Betroffenenrechten festzuhalten.
Weiterhin regelt der Vertrag, dass der Auftragsverarbeiter keine Subunternehmer ohne Zustimmung des Verantwortlichen einsetzen darf. Auch die Rückgabe oder Löschung der Daten nach Beendigung des Auftrags ist vertraglich zu vereinbaren. Diese Regelungen dienen dazu, den Datenschutz auch bei der Weitergabe von Daten an externe Dienstleister sicherzustellen.
Einsatzgebiete und Praxis
Auftragsverarbeitungsverträge kommen in vielen Branchen und Unternehmensbereichen zum Einsatz, wenn personenbezogene Daten an externe Dienstleister weitergegeben werden. Typische Beispiele sind Cloud-Dienste, IT-Support, Marketingagenturen oder Lohnabrechnungsdienstleister.
In der Praxis ist die korrekte Gestaltung und Dokumentation des AVV für Unternehmen von großer Bedeutung, um Datenschutzverstöße und damit verbundene Bußgelder zu vermeiden. Unternehmen sind verpflichtet, die Einhaltung der vertraglichen Vereinbarungen regelmäßig zu überprüfen und gegebenenfalls anzupassen.
Abgrenzung zu verwandten Begriffen
Der Auftragsverarbeitungsvertrag unterscheidet sich vom Datenübermittlungsvertrag, der allgemein die Weitergabe von Daten regelt, ohne dass ein Auftragsverhältnis vorliegt. Während der AVV spezifisch die Verarbeitung im Auftrag betrifft, geht es bei Datenübermittlungen oft um eigenständige Verantwortlichkeiten der Empfänger.
Ein weiterer verwandter Begriff ist die Vereinbarung zur gemeinsamen Verantwortlichkeit, die greift, wenn mehrere Parteien gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden. Im Gegensatz dazu definiert der AVV klar die Rollen von Verantwortlichem und Auftragsverarbeiter.