Glossar · Datenschutz
Auftragsverarbeitungsvertrag (AVV)
Der zwischen Verantwortlichem und Auftragsverarbeiter erforderliche Vertrag, der regelt, wie der Auftragsverarbeiter personenbezogene Daten behandeln darf.
Was ein AVV ist
Ein Auftragsverarbeitungsvertrag (AVV) ist der Vertrag, den Artikel 28 DSGVO verlangt, sobald ein Auftragsverarbeiter personenbezogene Daten für einen Verantwortlichen verarbeitet, etwa ein Lohnbüro, ein Cloud-Hoster oder ein SaaS-Werkzeug. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen sowie die Pflichten beider Parteien fest.
Was Artikel 28 Absatz 3 vorschreibt
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer.
- Vertraulichkeitspflicht für alle Personen, die mit den Daten arbeiten.
- Technische und organisatorische Maßnahmen nach Artikel 32.
- Regeln für Unterauftragsverarbeiter: vorherige Genehmigung und Weitergabe derselben Pflichten per Vertrag.
- Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen.
- Löschung oder Rückgabe der Daten nach Ende der Leistung.
- Informations- und Prüfrechte des Verantwortlichen einschließlich Inspektionen.
In der Praxis
Die Europäische Kommission stellt Standardvertragsklauseln für Artikel 28 bereit, die sich unverändert verwenden lassen. Große Anbieter bringen einen eigenen AVV mit; das ist zulässig, solange jeder der genannten Punkte abgedeckt ist. Der AVV gehört zum Verzeichnis der Verarbeitungstätigkeiten beim jeweiligen Auftragsverarbeiter, und die darin zugesagten Maßnahmen sollten mit dem verglichen werden, was der Anbieter tatsächlich betreibt, statt ungelesen abgelegt zu werden.