Auftragsverarbeitung nach Art. 28 DSGVO: Wann Sie einen AVV brauchen

Kaum eine Organisation verarbeitet ihre Daten allein. Hosting, Cloud-Speicher, Newsletterversand, IT-Wartung, Aktenvernichtung: Überall greifen Externe auf personenbezogene Daten zu. Für diese Fälle verlangt Art. 28 DSGVO einen Vertrag. In unseren Prüfungen ist das der Punkt mit den meisten Befunden, und zwar in beide Richtungen: Verträge fehlen dort, wo sie nötig wären, und werden dort geschlossen, wo sie sachlich falsch sind.

Was Auftragsverarbeitung ist und was nicht

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden (Art. 4 Nr. 8 DSGVO). Das entscheidende Merkmal ist die Weisungsgebundenheit, nicht die Frage, wer die Rechnung schreibt.

Typische echte Auftragsverarbeitung: Webhosting, Cloud-Speicher, Rechenzentrumsbetrieb, Backup, Newsletterversand, Fernwartung mit Zugriff auf Produktivdaten, externe Aktenvernichtung, Callcenter, Terminvermittlung.

Keine Auftragsverarbeitung liegt in aller Regel bei Berufsgeheimnisträgern vor, die kraft eigener Berufspflichten tätig werden: Steuerberatung, Rechtsanwaltschaft, Wirtschaftsprüfung, ärztliche Konsile. Diese Stellen sind eigenständig verantwortlich, ein Auftragsverarbeitungsvertrag geht dort ins Leere. Bei der reinen Lohn- und Gehaltsabrechnung wird die Einordnung seit Jahren unterschiedlich beurteilt; wir empfehlen, sich an der Einschätzung der zuständigen Aufsichtsbehörde zu orientieren und die getroffene Einordnung zu dokumentieren.

Als dritte Kategorie gibt es die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Sie greift, wenn zwei Stellen die Zwecke und Mittel gemeinsam festlegen. Dann ist kein Auftragsverarbeitungsvertrag zu schließen, sondern eine Vereinbarung über die jeweiligen Rollen, deren wesentlicher Inhalt den betroffenen Personen zur Verfügung zu stellen ist.

Was im Vertrag stehen muss

Art. 28 Abs. 3 gibt den Inhalt vor, und zwar abschließend genug, dass sich Lücken leicht feststellen lassen. Zu benennen sind Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.

Hinzu kommen acht Verpflichtungen des Auftragsverarbeiters: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen, Maßnahmen nach Art. 32, Bedingungen für den Einsatz weiterer Auftragsverarbeiter, Unterstützung bei Betroffenenrechten, Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung, Löschung oder Rückgabe nach Ende der Leistung sowie die Bereitstellung von Nachweisen und die Duldung von Überprüfungen.

Die Form ist unkritisch: Textform genügt, auch elektronisch (Art. 28 Abs. 9). Ein angeklickter Vertrag beim Cloud-Anbieter ist wirksam. Entscheidend ist nicht die Unterschrift, sondern dass der Vertrag vollständig ist und Sie ihn im Zweifel vorlegen können. Genau daran scheitert es in der Praxis häufiger als am Vertragsschluss selbst.

Die Unterauftragskette, die gern übersehen wird

Ihr Dienstleister arbeitet fast nie allein. Der Softwareanbieter nutzt ein Rechenzentrum, das Rechenzentrum einen Netzbetreiber, der Support ein Ticketsystem. Jede dieser Stellen ist ein weiterer Auftragsverarbeiter, und für jede gelten dieselben Anforderungen.

Zulässig ist der Einsatz nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung (Art. 28 Abs. 2). Bei der allgemeinen Genehmigung, dem Regelfall, muss der Dienstleister Sie über beabsichtigte Änderungen informieren und Ihnen die Möglichkeit zum Einspruch geben.

Prüfen Sie deshalb zwei Dinge, die im Vertragstext meist nicht auffallen: Führt der Anbieter eine versionierte, öffentlich einsehbare Liste seiner Unterauftragnehmer? Und werden Sie über Änderungen tatsächlich benachrichtigt, oder wird die Liste nur stillschweigend aktualisiert? Ohne Benachrichtigung läuft Ihr Einspruchsrecht leer.

Drittland: der Punkt, an dem viele Verträge dünn werden

Liegt der Dienstleister oder einer seiner Unterauftragnehmer außerhalb der EU und des EWR, braucht die Übermittlung eine eigene Grundlage nach Kapitel V der DSGVO. Für in den USA zertifizierte Unternehmen besteht seit Juli 2023 ein Angemessenheitsbeschluss auf Grundlage des EU-US Data Privacy Framework. Er trägt aber nur, wenn das konkrete Unternehmen zertifiziert ist und die Zertifizierung den betreffenden Datentyp abdeckt. Beides lässt sich in der öffentlichen Liste prüfen, und beides sollte mindestens jährlich nachgehalten werden, denn Angemessenheitsbeschlüsse werden regelmäßig überprüft.

Ohne Angemessenheitsbeschluss bleiben die Standardvertragsklauseln nach Art. 46, ergänzt um eine dokumentierte Prüfung, ob das Recht des Ziellandes den Schutz aushöhlt.

Am häufigsten übersehen: Auch ein Zugriff aus dem Ausland ist eine Übermittlung. Wenn der Support nachts aus Indien oder den USA auf Ihr System schaut, findet eine Drittlandübermittlung statt, selbst wenn der Server in Frankfurt steht. Diese Konstellation steht in fast keinem Vertrag ausdrücklich drin und muss aktiv erfragt werden.

Auswählen und kontrollieren: was der Vertrag nicht ersetzt

Art. 28 Abs. 1 verlangt, dass Sie nur mit Dienstleistern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Auswahlpflicht, die vor dem Vertragsschluss greift. Ein unterschriebener Vertrag mit einem ungeeigneten Anbieter erfüllt sie nicht.

Als Nachweis eignen sich eine Zertifizierung nach ISO 27001, ein aktueller Prüfbericht oder eine belastbare Beschreibung der Maßnahmen nach Art. 32. Für kleinere Organisationen ist keine Vor-Ort-Prüfung nötig; eine dokumentierte Auswertung der vorgelegten Nachweise genügt in aller Regel, solange sie wiederkehrend stattfindet und nicht nur einmal bei Vertragsschluss.

Praktisch führt das zu einem Dienstleisterregister: eine Liste aller Stellen mit Zugriff, je Eintrag die Rolle, die Rechtsgrundlage der Übermittlung, das Datum der letzten Prüfung und die hinterlegten Nachweise. In unserem DSMS ist dieses Register mit dem Verarbeitungsverzeichnis verknüpft, sodass ein Dienstleisterwechsel nicht an drei Stellen nachgetragen werden muss. Wer zusätzlich ein Informationssicherheits-Managementsystem betreibt, pflegt dieselbe Liste ohnehin schon.

Was passiert, wenn der Vertrag fehlt

Der Verstoß gegen Art. 28 ist nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt, mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bußgelder können sowohl den Verantwortlichen als auch den Auftragsverarbeiter treffen.

Wichtiger als die Höhe ist die Nachweisbarkeit: Die Frage nach dem Vertrag mit Ihrem Hoster braucht keine technische Prüfung und keinen Sachverständigen. Sie wird schriftlich gestellt und schriftlich beantwortet, und die Antwort liegt entweder vor oder nicht. Deshalb steht dieser Punkt bei Prüfungen und nach Datenpannen fast immer weit oben.

Es gibt außerdem eine sehr praktische Folge jenseits der Aufsicht. Ohne vereinbarte Löschung oder Rückgabe bleiben Ihre Daten nach dem Ende der Zusammenarbeit beim Dienstleister liegen, oft in Backups, und Sie haben keinen durchsetzbaren Anspruch darauf, das zu ändern.

So gehen Sie vor

Beginnen Sie nicht mit Verträgen, sondern mit einer Liste. Erfassen Sie jede externe Stelle, die auf personenbezogene Daten zugreifen kann, einschließlich der Fälle, in denen der Zugriff nur technisch möglich ist, etwa bei Fernwartung.

Ordnen Sie danach jede Stelle einer Rolle zu: Auftragsverarbeitung, eigene Verantwortlichkeit oder gemeinsame Verantwortlichkeit. Erst dann stellt sich die Frage nach dem richtigen Vertrag, und sie beantwortet sich meist von selbst.

Halten Sie zuletzt fest, wann Sie welchen Nachweis geprüft haben. Diese Dokumentation ist der eigentliche Nachweis Ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Der Vertrag allein belegt nur, dass Sie ihn geschlossen haben, nicht, dass Sie den Dienstleister sorgfältig ausgewählt haben.