Auftragsverarbeitung nach Art. 28 DSGVO: Wann Sie einen AVV brauchen

Kaum eine Organisation verarbeitet ihre Daten allein. Hosting, Cloud-Speicher, Newsletterversand, IT-Wartung, Aktenvernichtung: Überall greifen Externe auf personenbezogene Daten zu. Für diese Fälle verlangt Art. 28 DSGVO einen Vertrag. Fehler gibt es dabei in beide Richtungen: Verträge fehlen, wo sie nötig wären, und werden geschlossen, wo sie nicht passen.

Was Auftragsverarbeitung ist und was nicht

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden (Art. 4 Nr. 8 DSGVO). Das entscheidende Merkmal ist die Weisungsgebundenheit, nicht die Frage, wer die Rechnung schreibt.

Typische echte Auftragsverarbeitung: Webhosting, Cloud-Speicher, Rechenzentrumsbetrieb, Backup, Newsletterversand, Fernwartung mit Zugriff auf Produktivdaten, externe Aktenvernichtung, Callcenter, Terminvermittlung.

Keine Auftragsverarbeitung liegt in aller Regel bei Berufsgeheimnisträgern vor, die kraft eigener Berufspflichten tätig werden: Steuerberatung, Rechtsanwaltschaft, Wirtschaftsprüfung, ärztliche Konsile. Diese Stellen sind eigenständig verantwortlich, ein Auftragsverarbeitungsvertrag geht dort ins Leere. Bei der reinen Lohn- und Gehaltsabrechnung wird die Einordnung seit Jahren unterschiedlich beurteilt; wir empfehlen, sich an der Einschätzung der zuständigen Aufsichtsbehörde zu orientieren und die getroffene Einordnung zu dokumentieren.

Als dritte Kategorie gibt es die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Sie greift, wenn zwei Stellen die Zwecke und Mittel gemeinsam festlegen. Dann ist kein Auftragsverarbeitungsvertrag zu schließen, sondern eine Vereinbarung über die jeweiligen Rollen, deren wesentlicher Inhalt den betroffenen Personen zur Verfügung zu stellen ist.

Was im Vertrag stehen muss

Den Inhalt gibt Art. 28 Abs. 3 vor. Zu benennen sind Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.

Hinzu kommen acht Verpflichtungen des Auftragsverarbeiters: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen, Maßnahmen nach Art. 32, Bedingungen für den Einsatz weiterer Auftragsverarbeiter, Unterstützung bei Betroffenenrechten, Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung, Löschung oder Rückgabe nach Ende der Leistung sowie die Bereitstellung von Nachweisen und die Duldung von Überprüfungen.

Die Form ist unkritisch: Textform genügt, auch elektronisch (Art. 28 Abs. 9). Ein angeklickter Vertrag beim Cloud-Anbieter ist wirksam. Er muss aber vollständig sein, und Sie müssen ihn vorlegen können. Daran hapert es öfter als am Abschluss.

Die Unterauftragskette, die gern übersehen wird

Ihr Dienstleister arbeitet fast nie allein. Der Softwareanbieter nutzt ein Rechenzentrum, das Rechenzentrum einen Netzbetreiber, der Support ein Ticketsystem. Jede dieser Stellen ist ein weiterer Auftragsverarbeiter, und für jede gelten dieselben Anforderungen.

Zulässig ist der Einsatz nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung (Art. 28 Abs. 2). Bei der allgemeinen Genehmigung, dem Regelfall, muss der Dienstleister Sie über beabsichtigte Änderungen informieren und Ihnen die Möglichkeit zum Einspruch geben.

Prüfen Sie deshalb zwei Dinge, die im Vertragstext meist nicht auffallen: Führt der Anbieter eine versionierte, öffentlich einsehbare Liste seiner Unterauftragnehmer? Und werden Sie über Änderungen tatsächlich benachrichtigt, oder wird die Liste nur stillschweigend aktualisiert? Ohne Benachrichtigung läuft Ihr Einspruchsrecht leer.

Übermittlung in Drittländer

Liegt der Dienstleister oder einer seiner Unterauftragnehmer außerhalb der EU und des EWR, braucht die Übermittlung eine eigene Grundlage nach Kapitel V der DSGVO. Für in den USA zertifizierte Unternehmen besteht seit Juli 2023 ein Angemessenheitsbeschluss auf Grundlage des EU-US Data Privacy Framework. Er trägt aber nur, wenn das konkrete Unternehmen zertifiziert ist und die Zertifizierung den betreffenden Datentyp abdeckt. Beides lässt sich in der öffentlichen Liste prüfen, und beides sollte mindestens jährlich nachgehalten werden, denn Angemessenheitsbeschlüsse werden regelmäßig überprüft.

Ohne Angemessenheitsbeschluss bleiben die Standardvertragsklauseln nach Art. 46, ergänzt um eine dokumentierte Prüfung, ob das Recht des Ziellandes den Schutz aushöhlt.

Oft übersehen wird, dass auch ein Zugriff aus dem Ausland eine Übermittlung ist. Wenn der Support nachts aus Indien oder den USA auf Ihr System schaut, findet eine Drittlandübermittlung statt, selbst wenn der Server in Frankfurt steht. Diese Konstellation steht in fast keinem Vertrag ausdrücklich drin und muss aktiv erfragt werden.

Auswahl und Kontrolle der Dienstleister

Art. 28 Abs. 1 verlangt, dass Sie nur mit Dienstleistern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Das ist eine Auswahlpflicht, die vor dem Vertragsschluss greift. Ein unterschriebener Vertrag mit einem ungeeigneten Anbieter erfüllt sie nicht.

Als Nachweis eignen sich eine Zertifizierung nach ISO 27001, ein aktueller Prüfbericht oder eine belastbare Beschreibung der Maßnahmen nach Art. 32. Für kleinere Organisationen ist keine Vor-Ort-Prüfung nötig; eine dokumentierte Auswertung der vorgelegten Nachweise genügt in aller Regel, solange sie wiederkehrend stattfindet und nicht nur einmal bei Vertragsschluss.

Praktisch führt das zu einem Dienstleisterregister: eine Liste aller Stellen mit Zugriff, je Eintrag die Rolle, die Rechtsgrundlage der Übermittlung, das Datum der letzten Prüfung und die hinterlegten Nachweise. In unserem DSMS ist dieses Register mit dem Verarbeitungsverzeichnis verknüpft, sodass ein Dienstleisterwechsel nicht an drei Stellen nachgetragen werden muss. Wer zusätzlich ein Informationssicherheits-Managementsystem betreibt, pflegt dieselbe Liste ohnehin schon.

Was passiert, wenn der Vertrag fehlt

Der Verstoß gegen Art. 28 ist nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt, mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bußgelder können sowohl den Verantwortlichen als auch den Auftragsverarbeiter treffen.

Ein fehlender Vertrag lässt sich zudem leicht feststellen. Die Aufsicht fragt schriftlich nach dem Vertrag mit Ihrem Hoster, und entweder liegt er vor oder nicht. Deshalb gehört diese Frage bei Prüfungen und nach Datenpannen zu den ersten.

Ohne vereinbarte Löschung oder Rückgabe bleiben Ihre Daten nach dem Ende der Zusammenarbeit außerdem beim Dienstleister liegen, oft in Backups, und Sie haben keinen durchsetzbaren Anspruch darauf, das zu ändern.

So gehen Sie vor

Beginnen Sie nicht mit Verträgen, sondern mit einer Liste. Erfassen Sie jede externe Stelle, die auf personenbezogene Daten zugreifen kann, einschließlich der Fälle, in denen der Zugriff nur technisch möglich ist, etwa bei Fernwartung.

Ordnen Sie danach jede Stelle einer Rolle zu: Auftragsverarbeitung, eigene Verantwortlichkeit oder gemeinsame Verantwortlichkeit. Daraus ergibt sich, welcher Vertrag nötig ist.

Halten Sie zuletzt fest, wann Sie welchen Nachweis geprüft haben. Damit erfüllen Sie Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Der Vertrag allein belegt nur den Abschluss, nicht die sorgfältige Auswahl.

Häufige Fragen

Ersetzt eine Geheimhaltungsvereinbarung (NDA) den AVV?

Nein. Eine NDA verpflichtet zur Verschwiegenheit, regelt aber nicht die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO, etwa die Bindung an Weisungen, die technischen und organisatorischen Maßnahmen, den Einsatz von Unterauftragnehmern und die Löschung nach Vertragsende. Liegt Auftragsverarbeitung vor, ist ein AVV nötig. Eine NDA kann ihn ergänzen, aber nicht ersetzen.

Brauche ich für Auftragsverarbeitung die Einwilligung der Betroffenen?

Nein. Nach herrschender Auffassung braucht die Weitergabe an einen Auftragsverarbeiter keine eigene Rechtsgrundlage, solange Sie selbst eine Rechtsgrundlage für die Verarbeitung haben und ein wirksamer AVV besteht. Der Dienstleister handelt dann als Ihr verlängerter Arm. Umgekehrt ersetzt eine Einwilligung keinen fehlenden AVV.

Muss der AVV ein eigenes Dokument sein?

Nein. Er kann Teil des Hauptvertrags oder der Geschäftsbedingungen sein. Üblich ist ein eigenes Dokument oder eine Anlage, weil sich die Pflichtinhalte so leichter prüfen und im Zweifel vorlegen lassen.

Was gilt bei großen Anbietern wie Microsoft, Google oder Apple?

Auch dort ist ein AVV nötig, sobald personenbezogene Daten in deren Diensten verarbeitet werden. Große Anbieter stellen ihn als Standardvertrag bereit, meist als Teil der Geschäftsbedingungen für Geschäftskunden oder zum Abschluss im Kundenkonto. Prüfen Sie, ob er tatsächlich abgeschlossen ist und ob die Übermittlung in Drittländer geregelt ist.

Braucht eine Hausverwaltung Auftragsverarbeitungsverträge?

Ja, mit allen Dienstleistern, die in ihrem Auftrag Daten von Mietern und Eigentümern verarbeiten: etwa mit dem Anbieter der Verwaltungssoftware, zum Beispiel einer webbasierten Lösung wie betriebskosten.app, mit dem Hoster oder mit dem Rechenzentrum, das die Buchhaltung betreibt. Keine Auftragsverarbeitung liegt dagegen in der Regel bei Handwerkern vor, die vor Ort einen Auftrag ausführen, und beim Steuerberater, der eigenverantwortlich tätig wird.