Auftragsverarbeitungsvertrag – alle Informationen & Hinweise

Bei dem Auftragsverarbeitungsvertrag handelt es sich um einen Vertrag, der zwischen Auftraggeber und Auftragnehmer geschlossen wird. Dabei ist der Auftraggeber in den meisten Fällen ein verantwortliches Unternehmen im Sinne des Art. 4 Nr. 7 DSGVO und der Auftragnehmer (bzw. Auftragsverarbeiter) ein weisungsgebundener Dienstleister. Bei den Auftragnehmern kann es sich zum Beispiel um Marketingagenturen, externe Buchhaltungen oder externe Call-Center handeln, die personenbezogene Daten erhalten, verarbeiten oder nutzen, um den jeweiligen Auftrag zu erfüllen.

Wichtig zu erwähnen ist an dieser Stelle, dass dem beauftragten Dienstleister, der die personenbezogenen Daten im Rahmen des AVV erhält, eine Verwendung zu eigenen Zwecken untersagt ist, da er im Auftrag des Unternehmens agiert. Das auftraggebende Unternehmen trifft weiterhin die rechtliche Verantwortung für den Umgang mit den personenbezogenen Daten. Demnach ist es notwendig, dass der Auftragnehmer sorgfältig ausgewählt und überprüft wird, auch anhand seiner technischen und organisatorischen Maßnahmen (TOM).

Die wesentlichen Rechte und Pflichten der Vertragsparteien sind in Artikel 28 DSGVO geregelt. Demnach gilt es, die Mindestanforderungen an die Bestandteile des Vertrages zu erfüllen und eine individuelle Anpassung an den jeweiligen Dienstleister und seine Tätigkeit vorzunehmen.

So müssen in jedem Auftragsverarbeitungsvertrag mindestens die folgende Inhalte behandelt werden:

• Vertragsparteien
• Gegenstand und Dauer der Verarbeitung
• Art der personenbezogenen Daten
• Erhebungszweck
• Zweck der Weiterverarbeitung
• Umfang der Weisungsbefugnisse
• Rechte und Pflichten des Auftragnehmers bzw. Auftragsverarbeiters
• Rechte und Pflichten des Auftragsgebers
• Löschung oder Rückgabe der Daten bei Auftragsende
• Option, Informationen zur Datenprüfung zu erhalten
• Regelung technischer und organisatorischer Maßnahmen (TOM), die vom Auftragsverarbeiter bei der Datenverarbeitung eingehalten werden müssen

Zu den Auftragsverarbeitern zählen neben natürlichen und juristischen Personen auch Körperschaften des öffentlichen Rechts sowie Behörden. Zu den typischen Beispielen weisungsgebundener Dritte, die eine Auftragsverarbeitung personenbezogener Daten vornehmen, zählen:

• Software-as-a-Service-Lösungen
• Externe Buchhaltung oder Lohnbüros
• Auslagerung der E-Mail-Verwaltung oder von sonstigen Datendiensten zu Webseiten (z.B. Betreuung von Kontaktformularen oder Nutzeranfragen)
• Entsorger von Datenträgern & Akten
• Customer-Relationship-Management-Tools (cloudbasiert)
• Externe (telefonische) Kundenservices
• Druckereien (bei Weitergabe von Adressdaten)
• Marketing- und Vertriebsagenturen, wenn diese auf personenbezogene Daten von Mitarbeitern, Kunden, Lieferanten, Usern zugreifen können
• Server- und Computerwartung durch externe Dienstleister
• Sicherheitsdienste (z. B. bei Besuchererhebung durch Pförtner)

Wenn Sie als Unternehmen unschlüssig sind, ob der Abschluss eines Auftragsverarbeitungsvertrages notwendig ist oder nicht, ist ein elementarer Punkt zu berücksichtigen: die Weisungsgebundenheit. Die Notwendigkeit für einen AVV entfällt dann, wenn der Dienstleister freie Entscheidungen treffen kann und nicht den Weisungen Ihres Unternehmens unterliegt. In diesem Fall wäre ein Vertrag zur Auftragsverarbeitung allein deshalb schon nicht ratsam, da Sie als auftraggebendes Unternehmen sonst weiterhin für den Umgang mit den personenbezogenen Daten haften. Deshalb ist es sinnvoll, im Einzelfall genau zu prüfen, ob der Abschluss eines AVV sinnvoll und erforderlich ist oder nicht.

Neben Auftragnehmern, die der Weisung eines Unternehmens unterliegen, gibt es auch zahlreiche Dienstleister, die ihre Leistung eigenverantwortlich erbringen. In genau diesen Fällen ist der Abschluss eines AVV daher nicht notwendig. Zu den besagten Dienstleistern zählen zum Beispiel:

• Rechtsanwälte
• Notare
• Banken & weitere Kreditinstitute
• Inkassobüros
• Betriebsärzte
• Postdienste
• Steuerberater
• Wirtschaftsprüfer

Nach Art. 82 Abs. 2 DSGVO gilt für Auftraggeber und Auftragsverarbeiter eine gemeinsame Haftung nach außen, gegenüber den betroffenen Personen. Dies ist zumindest dann der Fall, wenn der Auftragsverarbeiter seine Pflichten verletzt hat. Im Anschluss daran wird im Innenverhältnis geklärt, wer tatsächlich die Verantwortung für den Schaden trägt und für die entstandenen Kosten aufkommen muss. Geregelt wird dies in Art. 82 DSGVO. Abhängig davon, welche Vertragsstrafe in dem AVV selbst festgelegt worden ist, kann daneben auch ein Bußgeld wegen mangelhaftem oder fehlendem AVV durch Aufsichtsbehörden verhangen werden. Dieses kann gemäß Art. 83 Abs. 4 a) DSGVO bis zu 2 % des Jahresumsatzes betragen.