Auftragsverarbeitungsvertrag

Ein Auftragsverarbeitungsvertrag ist die Vereinbarung zwischen einem Verantwortlichen und einem Auftragsverarbeiter über die Verarbeitung personenbezogener Daten. Die Bezeichnung des Dokuments ist nicht entscheidend. Maßgeblich ist, ob ein Dienstleister Daten für den Verantwortlichen und nach dessen dokumentierten Weisungen verarbeitet. Typische Fälle sind Cloud-Dienste, Lohnverrechnung, IT-Support oder externe Archivierung.

Nach Art. 28 DSGVO muss der Vertrag unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegen. Er muss außerdem Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, die Rückgabe oder Löschung der Daten sowie Nachweise und Kontrollen regeln.

Für Unterauftragsverarbeiter braucht der Auftragsverarbeiter grundsätzlich eine vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen. Der Verantwortliche darf nur Dienstleister einsetzen, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Auftragsverarbeiter muss den Verantwortlichen informieren, wenn eine Weisung seiner Einschätzung nach gegen Datenschutzrecht verstößt. Verwendet ein Dienstleister Daten für eigene Zwecke und bestimmt er darüber selbst, kann seine Rolle über die eines Auftragsverarbeiters hinausgehen.

Für die Prüfung zählt daher nicht nur die Vertragsvorlage, sondern der tatsächliche Ablauf: Welche Daten werden für welchen Zweck verarbeitet, wer legt die wesentlichen Mittel fest, wo findet die Verarbeitung statt und welche Unterauftragsverarbeiter sind beteiligt? Der Bereich Auftragsverarbeitung und Dienstleister ordnet diese Fragen ein. Der AV-Vertragscheck und die Checkliste für Auftragsverarbeiter unterstützen bei einer ersten strukturierten Prüfung.