Häufig gestellte Fragen
Wann braucht es einen AVV?
Ein Auftragsverarbeitungsvertrag ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten ausschließlich nach Weisung und im Auftrag eines Unternehmens verarbeitet (Art. 28 DSGVO). Typische Beispiele sind Cloud-Hoster, ERP- und SaaS-Anbieter, Lohnabrechnungs-Dienstleister oder Newsletter-Tools, sofern sie Zugriff auf personenbezogene Daten haben. Kein AVV-Verhältnis besteht dagegen, wenn ein Dritter die Daten eigenverantwortlich zu eigenen Zwecken nutzt, etwa Banken, Steuerberater oder Rechtsanwälte als selbst Verantwortliche; bei Steuerberatern ist dies seit der Neufassung von § 11 StBerG sogar gesetzlich klargestellt. Maßgeblich ist also nicht der Datenzugriff allein, sondern die reine Weisungsbindung des Dienstleisters.
Welche Pflichtinhalte muss ein AVV nach Art. 28 DSGVO enthalten?
Art. 28 Abs. 3 DSGVO schreibt einen festen Mindestinhalt vor, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und Datenarten sowie die Weisungsbindung des Auftragsverarbeiters umfasst. Hinzu kommen die Vertraulichkeitsverpflichtung der Mitarbeiter, die technischen und organisatorischen Maßnahmen (TOM), Regelungen zum Einsatz von Unterauftragsverarbeitern sowie die Unterstützung bei Betroffenenrechten und Meldepflichten. Ebenfalls vorgeschrieben sind Vorgaben zur Löschung oder Rückgabe der Daten nach Auftragsende und Kontroll- beziehungsweise Auditrechte des Verantwortlichen. Fehlt einer dieser Bausteine, gilt der Vertrag als unvollständig und erfüllt die gesetzliche Anforderung nicht.
Was sind TOM in einem AVV?
TOM steht für technische und organisatorische Maßnahmen, mit denen der Auftragsverarbeiter ein angemessenes Schutzniveau für die ihm anvertrauten Daten sicherstellt. Dazu zählen etwa Verschlüsselung, Pseudonymisierung, abgestufte Zugriffs- und Berechtigungskonzepte, Backup- und Wiederherstellungsverfahren sowie regelmäßige Mitarbeiterschulungen. Üblicherweise werden die TOM als eigene Anlage zum AVV dokumentiert und bilden die Grundlage für spätere Nachweise gegenüber Aufsichtsbehörden. Die konkrete Ausgestaltung hängt vom Schutzbedarf der verarbeiteten Daten ab und sollte mit dem jeweiligen ERP-Anbieter individuell abgeglichen werden.
Brauche ich einen AVV mit jedem ERP-Anbieter?
Ein AVV ist mit jedem ERP-Anbieter erforderlich, der personenbezogene Daten im Auftrag verarbeitet, was bei Cloud- und SaaS-Lösungen praktisch immer der Fall ist. Bei On-Premise-Systemen ohne externen Datenzugriff entsteht die Pflicht erst dann, wenn der Hersteller oder ein Implementierungspartner per Fernwartung auf das Live-System zugreift. Werden zur Verarbeitung weitere Subdienstleister herangezogen, etwa ein zugrunde liegender Cloud-Infrastrukturbetreiber, sind diese als Unterauftragsverarbeiter in die Vertragskette einzubeziehen. Im Zweifel sollte vor Vertragsschluss geklärt werden, ob und in welchem Umfang der Anbieter Zugriff auf personenbezogene Daten erhält.
Was passiert mit dem AVV bei Datentransfers in Drittländer wie die USA?
Werden personenbezogene Daten an einen Auftragsverarbeiter oder Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums übermittelt, reicht der AVV allein nicht aus, sondern es muss zusätzlich eine geeignete Transfergrundlage nach Kapitel V der DSGVO vorliegen. Für die USA ist dies seit dem Angemessenheitsbeschluss vom 10. Juli 2023 das EU-US Data Privacy Framework, sofern das empfangende Unternehmen entsprechend zertifiziert ist. Ist keine Zertifizierung oder kein Angemessenheitsbeschluss vorhanden, kommen meist die EU-Standardvertragsklauseln (SCC) zum Einsatz, häufig ergänzt um eine Risikobewertung des Drittlands. AVV und Transferinstrument sollten dabei widerspruchsfrei aufeinander abgestimmt sein.
Welche Folgen drohen ohne gültigen AVV?
Ohne wirksamen Auftragsverarbeitungsvertrag ist die Weitergabe personenbezogener Daten an einen externen Verarbeiter regelmäßig unzulässig und stellt einen eigenständigen Datenschutzverstoß dar. Nach Art. 83 Abs. 4 DSGVO können Aufsichtsbehörden dafür Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist; in der Praxis bewegen sich verhängte Bußgelder bislang meist im vier- bis fünfstelligen Bereich, etwa 5.000 Euro im bekannten Fall der hessischen Aufsichtsbehörde oder 50.000 Euro in Brandenburg. Verantwortlich bleibt grundsätzlich der beauftragende Verantwortliche, während der Auftragsverarbeiter vor allem dann haftet, wenn er entgegen den Weisungen oder den Pflichten aus dem AVV handelt. Ein fehlender AVV fällt bei behördlichen Prüfungen zudem sofort negativ auf und lässt sich nachträglich nicht mehr rückwirkend heilen.