Auftragsverarbeitungsvertrag (AVV): Inhalte und Pflicht Kurz erklärt Ein Auftragsverarbeitungsvertrag (AVV) regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Er ist nach Art. 28 DSGVO Pflicht, sobald ein externer Anbieter weisungsgebunden mit solchen Daten arbeitet. Wann brauchen Sie einen Auftragsverarbeitungsvertrag? Immer dann, wenn ein Dienstleister Daten nach Ihren Weisungen verarbeitet und nicht selbst über Zweck und Mittel entscheidet. Typische Beispiele sind Cloud-Speicher, Lernplattformen, Newsletter-Tools, externe Lohnabrechnung oder IT-Wartung mit Datenzugriff. 8 Pflichtinhalte Gegenstand und Dauer der Verarbeitung Art und Zweck der Verarbeitung Art der Daten und Kategorien betroffener Personen Weisungsgebundenheit des Dienstleisters Vertraulichkeit der eingesetzten Personen Technische und organisatorische Maßnahmen Regeln für Unterauftragsverarbeiter Löschung oder Rückgabe der Daten nach Vertragsende Auftragsverarbeitungsvertrag auf einen Blick MerkmalBeschreibungRechtsgrundlageArt. 28 DSGVOFormSchriftlich, elektronisches Format genügtVerantwortlichBleibt das beauftragende UnternehmenNicht nötig beiEigenverantwortlichen Stellen wie Steuerberatung Worauf Sie achten sollten Prüfen Sie vor Vertragsschluss, wo die Daten gespeichert werden und welche Unterauftragnehmer eingebunden sind. Den Wortlaut der Vorgaben finden Sie in Art. 28 DSGVO. Worauf Sie bei Lernplattformen besonders achten, zeigt der Beitrag LMS und DSGVO. Beispiel aus der Praxis Ein Unternehmen führt ein neues Tool für Online-Umfragen ein und befragt damit die Belegschaft. Erst die Datenschutzbeauftragte bemerkt, dass kein Vertrag zur Auftragsverarbeitung abgeschlossen wurde. Das Unternehmen holt den Vertrag nach, ergänzt das Verarbeitungsverzeichnis und legt fest, dass neue Tools künftig vor dem Start geprüft werden. Verwandte Begriffe Datenschutzbeauftragter, Personenbezogene Daten und Datenschutz-Folgenabschätzung. Weitere Begriffe finden Sie im Datenschutz-Glossar. Häufig gestellte Fragen Ist ein AVV mit jedem Dienstleister nötig?Nein. Er ist nur nötig, wenn der Dienstleister weisungsgebunden personenbezogene Daten verarbeitet. Berufsgeheimnisträger wie Steuerberatungen arbeiten in der Regel eigenverantwortlich. Wer muss den AVV vorlegen?Meist stellt der Dienstleister eine Vorlage bereit. Verantwortlich für einen ausreichenden Vertrag bleibt aber das beauftragende Unternehmen. Was passiert ohne Auftragsverarbeitungsvertrag?Die Datenweitergabe ist dann rechtswidrig. Die Aufsichtsbehörde kann ein Bußgeld verhängen.