Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für ein Unternehmen verarbeitet — der Cloud-Anbieter, der Hoster, das Newsletter-Tool, der IT-Dienstleister mit Systemzugriff. Für diese Konstellation schreibt Artikel 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor.
Der AVV regelt, was der Dienstleister darf und muss: nur nach Weisung verarbeiten, Vertraulichkeit sichern, TOMs bereitstellen, bei Vorfällen unverzüglich melden, Unterauftragnehmer offenlegen und nach Vertragsende löschen oder zurückgeben.
Was in einen AVV gehört
Die Pflichtinhalte gibt Artikel 28 vor: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien und Betroffene, die Pflichten des Verarbeiters — Weisungsbindung, Vertraulichkeit, TOMs, Unterstützung bei Betroffenenrechten und Meldepflichten, Umgang mit Subprozessoren, Kontrollrechte des Verantwortlichen und die Regelung für Löschung oder Rückgabe am Ende.
Praktisch entscheidend sind drei Punkte: die TOMs als konkreter, aktueller Anhang; die Subprozessor-Liste samt Informations- oder Zustimmungsmechanik bei Änderungen; und bei Drittlandbezug die passenden Garantien — etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss wie das EU-US Data Privacy Framework.
AVV-Praxis im Unternehmen
- Inventar führen: Welche Dienstleister verarbeiten welche Daten — mit oder ohne AVV?
- TOM-Anhänge wirklich lesen: vage Maßnahmen sind ein Warnsignal.
- Subprozessor-Änderungen überwachen — dort wandern Daten oft in neue Länder.
- Managed-Services-Verträge prüfen: Systemzugriff bedeutet meist Auftragsverarbeitung.