Wann brauche ich einen Auftragsverarbeitungsvertrag?

Sobald ein externer Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet – etwa Cloud-Hosting, IT-Wartung mit Datenzugriff, Newsletter-Versand oder externe Lohnabrechnung. Verarbeitet der Dienstleister zu eigenen Zwecken, ist er selbst Verantwortlicher und es gilt kein AVV nach Art. 28.

Was muss in einem AVV stehen?

Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Gegenstand/Dauer/Zweck, Weisungsbindung, Vertraulichkeit, TOM (Art. 32), Regelungen zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung/Rückgabe nach Vertragsende sowie Nachweis- und Kontrollrechte.

Reicht der Standard-AVV des Anbieters?

Oft ja, aber prüfen Sie ihn: Sind alle Pflichtinhalte enthalten, die TOM konkret, der Umgang mit Unterauftragnehmern und Drittlandtransfers geregelt und die Löschung eindeutig? Lücken sollten nachverhandelt oder per Anlage ergänzt werden.

Muss ein AVV schriftlich sein?

Ja, der AVV ist schriftlich zu schließen, ausdrücklich auch in elektronischer Form. Er sollte dokumentiert und den betroffenen Verarbeitungstätigkeiten zugeordnet werden.

Wissen · Datenschutz

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO prüfen

Immer wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet – etwa ein Cloud-, Hosting-, Newsletter- oder Lohnabrechnungsanbieter – ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO erforderlich. Er legt die Pflichten des Auftragsverarbeiters fest und muss bestimmte Mindestinhalte enthalten. Wer einen AVV prüft, sollte diese Pflichtangaben als Checkliste durchgehen.

Rechtsgrundlage: Art. 28 DSGVO
Wann: weisungsgebundene Verarbeitung durch Dienstleister
Form: schriftlich, auch elektronisch
Kernpflichten: Weisungsbindung, Vertraulichkeit, TOM, Unterauftrag, Löschung
Kontrolle: Nachweis- und Auditrechte

Wann ist ein AVV Pflicht?

Ein AVV ist erforderlich, wenn ein externer Dienstleister personenbezogene Daten weisungsgebunden für den Verantwortlichen verarbeitet (Auftragsverarbeitung). Kein AVV im Sinne des Art. 28 liegt vor, wenn der Dienstleister die Daten zu eigenen Zwecken verarbeitet (dann eigener Verantwortlicher) oder wenn keine personenbezogenen Daten betroffen sind. Typische AVV-Fälle: Cloud-Hosting, IT-Wartung mit Datenzugriff, E-Mail-/Newsletter-Versand, externe Lohnabrechnung.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Der AVV muss u. a. regeln: Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Datenarten und Kategorien Betroffener; die Verarbeitung nur auf dokumentierte Weisung; die Verpflichtung der eingesetzten Personen auf Vertraulichkeit; die Umsetzung der TOM nach Art. 32; die Bedingungen für den Einsatz von Unterauftragnehmern (Genehmigung, gleichwertige Pflichten); die Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten; die Löschung oder Rückgabe der Daten nach Auftragsende; sowie Nachweis- und Kontrollrechte (Audits).

Prüf-Checkliste

Beim Prüfen eines vorgelegten AVV: Sind alle genannten Pflichtinhalte enthalten? Ist die Weisungsbindung klar (keine eigenen Zwecke)? Sind die TOM konkret beschrieben oder als Anlage beigefügt? Ist der Umgang mit Unterauftragnehmern geregelt (Liste, Genehmigung, Informationspflicht bei Änderungen)? Sind Drittlandtransfers samt Garantien (z. B. Standardvertragsklauseln) adressiert? Ist die Löschung/Rückgabe nach Vertragsende eindeutig?

In MGMSYS führen Sie Ihre Auftragsverarbeiter im Dienstleister-Register, hinterlegen den AVV und die TOM je Dienstleister und verknüpfen sie mit den betroffenen Verarbeitungstätigkeiten.

Häufige Fragen

Wann brauche ich einen Auftragsverarbeitungsvertrag?: Sobald ein externer Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet – etwa Cloud-Hosting, IT-Wartung mit Datenzugriff, Newsletter-Versand oder externe Lohnabrechnung. Verarbeitet der Dienstleister zu eigenen Zwecken, ist er selbst Verantwortlicher und es gilt kein AVV nach Art. 28.
Was muss in einem AVV stehen?: Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO: Gegenstand/Dauer/Zweck, Weisungsbindung, Vertraulichkeit, TOM (Art. 32), Regelungen zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung/Rückgabe nach Vertragsende sowie Nachweis- und Kontrollrechte.
Reicht der Standard-AVV des Anbieters?: Oft ja, aber prüfen Sie ihn: Sind alle Pflichtinhalte enthalten, die TOM konkret, der Umgang mit Unterauftragnehmern und Drittlandtransfers geregelt und die Löschung eindeutig? Lücken sollten nachverhandelt oder per Anlage ergänzt werden.
Muss ein AVV schriftlich sein?: Ja, der AVV ist schriftlich zu schließen, ausdrücklich auch in elektronischer Form. Er sollte dokumentiert und den betroffenen Verarbeitungstätigkeiten zugeordnet werden.