AV-Vertrag: Leitfaden zum Auftragsverarbeitungs-Vertrag

Heutzutage ist eine erfolgreiche Unternehmensführung ohne digitale Prozesse eigentlich gar nicht mehr denkbar. Ob E-Mails, Cloud-Speicher oder das CRM-System – fast überall werden Daten bewegt. Doch was passiert, wenn du diese Daten nicht nur selbst nutzt, sondern externe Dienste damit beauftragst? Genau hier kommt der sogenannte AV-Vertrag ins Spiel. In diesem Leitfaden zeigen wir dir Schritt für Schritt, was du beachten musst, um rechtlich auf der möglichst sicheren Seite zu stehen.

Kurze Einführung zum AV-Vertrag

Zweck des AV-Vertrag

Ein AV-Vertrag ist im Grunde ein rechtliches Dokument, das du als Unternehmer zwingend in der Tasche haben musst, sobald du externe Dienste oder Dienstleister einspannst, damit diese deine Kundendaten im Rahmen der EU-Datenschutz-Grundverordnung (DSGVO) verarbeiten. Dieser Vertrag regelt klipp und klar die Bedingungen, unter denen der Partner deine Daten im Auftrag überhaupt anfassen und nutzen darf. Er sorgt also ganz unkompliziert für faire Spielregeln und die absolute Sicherstellung der Datensicherheit.

DSGVO als rechtliche Grundlage

Die absolute Basis für das ganze Thema ist die europäische Datenschutzgrundverordnung (DS-GVO). Sie gibt den Takt vor und verlangt kompromisslose Transparenz darüber, was mit den Daten der Bürger passiert.

Zielgruppen wie Agenturen und Hosting-Anbieter

Besonders im Fokus stehen hier digitale Lösungen. Wenn du eine Marketing-Agentur für deine Kampagnen einspannst oder deine Website bei einem Hosting-Anbieter liegt, fließen im Hintergrund Unmengen an Daten. Beide Parteien – sowohl du als Auftraggeber als auch der Anbieter als Auftragnehmer – müssen sich hier absichern.

Was ist ein Auftragsverarbeitungs Vertrag

Definition der Auftragsverarbeitung

Ganz einfach erklärt: Eine Auftragsverarbeitung liegt immer dann vor, wenn ein externer Partner weisungsgebunden personenbezogene Daten im Auftrag für dich verarbeitet. Er erfüllt quasi als verlängerter Arm eine Aufgabe für deine Organisation.

Auftraggeber vs. Auftragsverarbeiter

• Der Auftraggeber (Verantwortlicher): Das bist du. Du bestimmst als Verantwortlicher das "Warum" und das "Wie" der Datenverarbeitung.
• Der Auftragsverarbeiter: Das ist der Dienstleister, der die Daten nach deinen strengen Vorgaben im Auftrag verarbeitet.

Verbot der Datenverwendung für eigene Zwecke

Das ist die goldene Regel der Auftragsverarbeitung: Der Dienstleister darf die Daten, die du ihm gibst, unter keinen Umständen für seine eigenen Zwecke nutzen. Er ist strikt an deine Weisungen gebunden.

Personenbezogene Daten: Umfang und Beispiele

Definition personenbezogener Daten

Unter personenbezogenen Daten versteht man jegliche Information, über die man einen Menschen eindeutig identifizieren kann. Kurz gesagt: Alles, womit man herausfinden kann, wer gemeint ist.

Typische Datenkategorien

In der täglichen Praxis fließen meistens folgende Standard-Kategorien von Daten ein:

• Name und Vorname
• E-Mail-Adresse und Telefonnummern
• Anschriften und IP-Adressen

Beispiele sensibler Daten

Manche Daten sind besonders schützenswert. Hierzu gehören unter anderem Gesundheitsdaten, Gewerkschaftszugehörigkeiten oder religiöse Überzeugungen im Sinne der Datenschutzgrundverordnung.

Wann sind AV Verträge erforderlich?

Typische Outsourcing-Fälle

Immer wenn du Aufgaben nach außen verlagerst, bei denen Menschen im Spiel sind, solltest du hellhörig werden. Auftragsverarbeiter können verschiedenste Tätigkeiten übernehmen, wie zum Beispiel die externe Buchhaltung, Callcenter-Services oder das gesamte Kunden-Marketing.

SaaS, Hosting und Newsletter als Beispiele

Klassische digitale Beispiele, die fast jedes Unternehmen nutzt und für die du zwingend AV-Verträge brauchst:

• SaaS: Du nutzt ein Online-Tool für dein Projektmanagement.
• Webhosting: Die Server, auf denen die Daten deiner Website-Besucher liegen.
• Newsletter-Tools: Über die du deine Werbe-Mails an Kunden verschickst.

Prüfung des Datenzugriffs vor Vertragsabschluss

Wichtig zu wissen: Ein AV-Vertrag ist auch dann notwendig, wenn ein externer Dienstleister rein theoretisch Zugriff auf personenbezogene Daten hat, selbst wenn er im Alltag gar nicht tatsächlich darauf zugreift (z.B. bei der IT-Fernwartung). Prüfe das also unbedingt vorab!

Pflicht zum Abschluss eines AV Vertrags

Art. 28 DSGVO als Pflichtgrundlage

Hier gibt es keinen Verhandlungsspielraum. Laut Artikel 28 DSGVO muss eine solche Vereinbarung geschlossen werden, wenn personenbezogene Daten durch einen weisungsabhängigen Dienstleister verarbeitet werden. Ohne einen AV-Vertrag besteht keine Rechtsgrundlage für die Datenverarbeitung durch den Auftragsverarbeiter.

Verantwortung des Auftraggebers

Der Auftraggeber bleibt auch bei der Auslagerung der absolute Chef im Ring. Du kannst die Arbeit zwar abgeben, nicht aber die Verantwortung. Du musst aktiv sicherstellen, dass der von dir gewählte Dienstleister die strengen Datenschutzanforderungen auch wirklich einhält. Ohne einen AV-Vertrag wird es für die Parteien schwierig, ihre Unschuld bei einem Datenschutzverstoß nachzuweisen.

Mögliche Bußgelder

Wer ohne den Abschluss eines gültigen Auftragsverarbeitungsvertrags Daten verarbeiten lässt, riskiert leider richtig empfindliche Strafen der Aufsichtsbehörden. Wenn der AV-Vertrag ganz fehlt oder Mängel hat, können saftige Bußgelder nach der DSGVO die Folge sein – die Verordnung zieht die Daumenschrauben bei Verstößen ohne Vertrag nämlich noch einmal extra an. Im schlimmsten Fall sieht die Datenschutzgrundverordnung hier DSGVO-Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Vorjahresumsatzes vor. Und als wäre das nicht genug: Unternehmen, die das Thema auf die leichte Schulter nehmen, müssen zusätzlich mit teuren Abmahnungen von Wettbewerbern oder sogar einem echten Gerichtsverfahren rechnen. 

Bei eventuellen Fragen schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt

ADV Vertrag vs. AV-Vertrag

Der Begriff ADV-Vertrag historisch

Früher sprach man im alten Bundesdatenschutzgesetzes (BDSG-alt) von der "Auftragsdatenverarbeitung", abgekürzt als ADV-Vertrag.

Vergleich ADV und DSGVO-AV

Mit dem Start der Datenschutzgrundverordnung wurde aus dem alten Begriff die „Auftragsverarbeitung“ (AV). Die gesetzlichen Anforderungen wurden dabei deutlich verschärft. Die DSGVO legt dem Auftragsverarbeiter heute einfach viel mehr Pflichten auf, als es im alten Bundesdatenschutzgesetz früher der Fall war.

Praktische Folgen für bestehende Verträge

Alte ADV-Verträge genießen keinen unendlichen Bestandsschutz. Wer noch uralte Verträge in der Schublade hat, muss diese dringend an die aktuellen Regeln der DSGVO anpassen.

Inhalte eines AV-Vertrags

Ein rechtssicherer Vertrag muss zwingend folgende Pflichtinhalte abdecken:

• Gegenstand und Dauer der Verarbeitung
• Die Art der verarbeiteten Daten
• Der konkrete Zweck der Datenverarbeitung
• Regelungen zu Datenübermittlungen an dritte Staaten (Ausland)
• Umfassende Vertraulichkeit der Mitarbeiter des Dienstleisters

Gemäß den gesetzlichen Vorgaben muss der AV-Vertrag zwingend die Art der verarbeiteten Daten, die Kategorien betroffener Personen und den Zweck der Datenverarbeitung enthalten. Zudem muss der Auftraggeber das Recht haben, Audits und Kontrollen durchzuführen.

Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeitungsvertrag muss zwingend die technischen und organisatorischen Maßnahmen enthalten. Sie beweisen schwarz auf weiß, wie der Anbieter deine Daten schützt. Verlange vom Anbieter handfeste Beispiele wie Verschlüsselungen oder Zugangskontrollen. Technik entwickelt sich weiter, weshalb Änderungen an den Maßnahmen möglich sein müssen – das Schutzniveau darf dabei aber niemals herabgesenkt werden.

Unterauftragnehmer und Drittstaatentransfers

Nutzt dein Dienstleister wiederum andere Firmen (Subunternehmer)? Das darf er in der Regel nur mit deiner vorherigen Genehmigung. Lass dir eine vollständige Liste aller Sub-Dienstleister geben. Wechselt der Anbieter einen Subunternehmer, muss er dir das rechtzeitig ankündigen, damit du im Zweifel widersprechen kannst.

Muster, Vorlagen und praktische Hinweise

Du musst das Rad nicht neu erfinden. Nutze für die Erstellung am besten rechtlich geprüfte Mustervorlagen oder ein Muster von den Landesdatenschutzbehörden. Eine solche Vorlage ist jedoch immer nur ein Gerüst. Du musst sie individuell auf deinen konkreten Fall und deinen Bereich anpassen! Ein kleiner bürokratischer Lichtblick: Ein AV-Vertrag muss in Textform vorliegen, eine handschriftliche Unterschrift ist nicht erforderlich. Das bedeutet, eine E-Mail oder ein digitales Dokument reicht nach unserer Ansicht völlig aus.

Risiken bei fehlendem AV-Vertrag

Fehlt der Vertrag, drohen drastische Bußgelder durch die Datenschutzbehörden. Neben Bußgeldern können auch betroffene Personen Schadensersatz fordern, wenn ihre Daten ungeschützt bei einem Drittanbieter gelandet sind. Solltest du merken, dass du für ein Tool oder einen Partner keine Vereinbarung hast: Hole den Abschluss des AV-Vertrags sofort und unverzüglich nach!

Bei eventuellen Fragen schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt

Praktische Checkliste für den AV-Vertragsschluss

Gehe vor jedem Abschluss diese Punkte durch:

1. Weißt du genau, welche Daten an den Partner übertragen werden?
2. Hat dir der Anbieter seine Sicherheitsmaßnahmen vorgelegt?
3. Kennst du alle beteiligten Subunternehmer?
4. Sind Kontrollrechte wie vor Ort Kontrollen im Vertrag formuliert?
5. Ist die aktuelle Vertragsversion sicher in deiner Firma abgespeichert?

Abschluss und FAQ

Zusammenfassend lässt sich sagen: Ein AV-Vertrag ist kein lästiges Stück Papier, sondern das Fundament für sicheres Outsourcing und den Schutz eures geschäftlichen Know-Hows. Nutze offizielle Musterverträge zum Download für einen leichten Einstieg. Dennoch gilt: Bei komplexen Datenflüssen oder offenen Fragen empfiehlt sich vor der Finalisierung immer eine professionelle rechtliche Beratung sowie die Einbindung deines betrieblichen Datenschutzbeauftragten.

Bei eventuellen Fragen schreiben Sie uns bitte zwecks kostenfreier telefonischer Ersteinschätzung über unser Kontaktformular unter aid24.de/kontakt