Auftragsverarbeitung

Auftragsverarbeitung liegt nach Art. 28 DSGVO vor, wenn ein externer Dienstleister personenbezogene Daten ausschließlich nach deinen Weisungen verarbeitet, ohne eigene Entscheidungsbefugnis über Zwecke und Mittel. Typische Beispiele sind Hosting-Anbieter, E-Mail-Marketing-Tools oder Cloud-Speicher.

Wann brauchst du einen AV-Vertrag?

Was muss im Vertrag stehen?

Art. 28 Abs. 3 DSGVO verlangt unter anderem: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und Daten, sowie Pflichten und Rechte des Verantwortlichen. Ohne diesen Vertrag verarbeitest du personenbezogene Daten formal rechtswidrig, selbst wenn der Dienstleister technisch einwandfrei arbeitet.

Subunternehmer des Auftragsverarbeiters

Setzt dein Auftragsverarbeiter selbst wieder Subdienstleister ein, etwa ein Hoster, der Cloud-Infrastruktur eines dritten Anbieters nutzt, braucht er dafür grundsätzlich deine vorherige Zustimmung, entweder im Einzelfall oder generell mit Widerspruchsrecht.

Auftragsverarbeitung oder eigene Verantwortlichkeit?

Nicht jeder externe Dienstleister ist automatisch Auftragsverarbeiter. Entscheidend ist, ob er ausschließlich nach deinen Weisungen handelt oder eigene Entscheidungen über Zwecke und Mittel trifft. Ein Hosting-Anbieter, der nur speichert, was du ihm gibst, ist klassischer Auftragsverarbeiter. Ein Zahlungsdienstleister, der eigene Betrugspräventionssysteme mit den Daten betreibt, handelt dagegen oft als eigenständig Verantwortlicher, mit eigener Datenschutzerklärung statt eines reinen AV-Vertrags.

Was, wenn ein Anbieter keinen AV-Vertrag anbietet?

Manche kleinere Tools bieten von sich aus keinen Auftragsverarbeitungsvertrag an, obwohl sie personenbezogene Daten verarbeiten. In diesem Fall solltest du aktiv nachfragen, bevor du das Tool produktiv einsetzt. Reagiert der Anbieter nicht oder verweigert er den Vertrag, ist der Einsatz dieses Tools rechtlich riskant, unabhängig davon, wie gut es sonst funktioniert.

Praxisbeispiel

Ein SaaS-Anbieter nutzt für seinen Kundenservice ein externes Ticket-System. Da das Ticket-System personenbezogene Daten der Endkunden im Auftrag des SaaS-Anbieters verarbeitet, braucht es zwingend einen Auftragsverarbeitungsvertrag. Ohne diesen Vertrag verstößt der SaaS-Anbieter gegen Art. 28 DSGVO, auch wenn der Ticket-Anbieter selbst sorgfältig mit den Daten umgeht.