Was ist eine Auftragsverarbeitung?

Einfach erklärt

Arbeitet ein Dienstleister für Sie mit Daten Ihrer Kunden oder Beschäftigten, handelt er in Ihrem Auftrag. Das nennt die Datenschutz-Grundverordnung Auftragsverarbeitung. Man kann es sich wie den Schlüssel vorstellen, den Sie dem Reinigungsdienst geben: Er darf hinein, aber nur für die Arbeit, für die Sie ihn beauftragt haben. Die Regeln dafür stehen in einem Vertrag, dem Auftragsverarbeitungsvertrag, kurz AVV, nach Art. 28 DSGVO.

Wann Sie einen AVV brauchen

Typische Fälle in kleinen Betrieben:

• Website, E-Mail-Postfach oder Dateien liegen bei einem Hoster oder in einer Cloud.
• Ihr IT-Dienstleister wartet Ihre Rechner per Fernzugriff und kann dabei Daten sehen.
• Ein Rechenzentrum erstellt Ihre Lohnabrechnung oder ein Dienstleister scannt Ihre Akten.
• Ein Anbieter betreibt Ihren Newsletter, Ihr Ticketsystem oder Ihre Zeiterfassung.

Keinen AVV brauchen Sie in der Regel mit Steuerberater, Rechtsanwalt, Bank oder Post. Sie entscheiden selbst, was sie mit den Daten tun, und sind dafür eigenständig verantwortlich.

Was Sie tun können

Fordern Sie von jedem Dienstleister, der Ihre Daten verarbeitet, seinen AVV an. Bei großen Anbietern ist er oft Teil der Vertragsbedingungen und lässt sich im Kundenkonto abschließen. Legen Sie alle Verträge an einer Stelle ab und notieren Sie, wann Sie sie zuletzt geprüft haben. Wie eine vollständige Datenschutzdokumentation aufgebaut sein kann, zeigt die Seite Datenschutz-Dokumentation.

Achtung: Mit dem AVV geben Sie die Verantwortung nicht ab. Sie bleiben verantwortlich und müssen einen Dienstleister wählen, der Ihre Daten angemessen schützt.

Einordnung: Ob ein bestimmter Dienstleister in Ihrem Auftrag arbeitet oder selbst verantwortlich ist, klären Sie im Zweifel mit Ihrem Datenschutzbeauftragten oder einem Anwalt.

Rollen und Mindestinhalt

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Wer über Zwecke und Mittel entscheidet, ist Verantwortlicher (Art. 4 Nr. 7). Bestimmt ein Auftragsverarbeiter Zwecke und Mittel eigenmächtig, gilt er für diese Verarbeitung selbst als Verantwortlicher (Art. 28 Abs. 10).

Der Vertrag nach Art. 28 Abs. 3 legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen fest. Den Auftragsverarbeiter verpflichtet er auf:

lit. a  Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlungen
lit. b  Vertraulichkeit der befugten Personen
lit. c  Maßnahmen nach Art. 32 (TOM)
lit. d  Bedingungen für Unterauftragsverarbeiter nach Abs. 2 und 4
lit. e  Unterstützung bei Anträgen betroffener Personen
lit. f  Unterstützung bei Art. 32 bis 36 (Sicherheit, Meldungen, DSFA)
lit. g  Löschung oder Rückgabe nach Ende der Leistung
lit. h  Nachweise und Überprüfungen einschließlich Inspektionen

Der Vertrag ist schriftlich abzufassen, ein elektronisches Format genügt (Abs. 9). Als Vorlage hat die EU-Kommission Standardvertragsklauseln nach Art. 28 Abs. 7 erlassen (Durchführungsbeschluss (EU) 2021/915).

Abgrenzung in der Praxis

Nach dem Kurzpapier Nr. 13 der Datenschutzkonferenz ist IT-Wartung und Fernwartung Auftragsverarbeitung, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Rein technische Arbeiten an Stromversorgung, Kühlung oder Heizung sind es nicht. Keine Auftragsverarbeitung sind in der Regel Fachleistungen eigenständig Verantwortlicher: Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, Inkasso mit Forderungsübertragung, Banken für den Geldtransfer.

Typische Fehler

• Fernwartung ohne AVV. Wer als IT-Dienstleister auf Kundensysteme zugreift, ist in der Regel selbst Auftragsverarbeiter und braucht den Vertrag mit jedem Kunden.
• TOM-Anlage passt nicht zur Leistung. Beschrieben ist ein Rechenzentrum, nicht der Dienst, der tatsächlich genutzt wird.
• Weisungsweg ungeklärt. Offen bleibt, wer beim Kunden Weisungen erteilen darf und wie sie dokumentiert werden.
• Vertragsende ungeregelt. Ohne Regel nach lit. g bleiben Kopien und Backups beim Dienstleister.
• AVV mit eigenständig Verantwortlichen. Ein AVV mit dem Steuerberater ändert nichts an dessen Rolle.

Prüfen

Aus dem Verzeichnis von Verarbeitungstätigkeiten alle Empfänger ziehen und je Empfänger festhalten:

Jede Zeile mit der Rolle Auftragsverarbeiter und ohne Datum in „AVV vom“ ist eine Lücke.