Auftragsverarbeitungsvertrag (AVV): wann Sie einen brauchen und was hinein muss
Einen AVV brauchen Sie mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa mit der Firma, die Ihre Server betreut, oder mit Ihrem Cloudanbieter (Art. 28 DSGVO). Hinein gehören Gegenstand, Dauer, Zweck, Datenarten und Betroffene, dazu acht Pflichten des Dienstleisters aus Art. 28 Abs. 3.
Wann brauchen Sie einen AVV?
Ein Auftragsverarbeiter ist eine Stelle außerhalb Ihres Unternehmens, meist eine andere Firma, die personenbezogene Daten in Ihrem Auftrag verarbeitet (Art. 4 Nr. 8 DSGVO). Mit ihm schließen Sie einen Vertrag nach Art. 28 Abs. 3, den AVV. Er muss schriftlich vorliegen, und das darf elektronisch sein (Art. 28 Abs. 9).
Der Europäische Datenschutzausschuss (EDSA) nennt zwei Bedingungen: Der Dienstleister ist ein eigenes Unternehmen, und er verarbeitet die Daten für Sie statt für eigene Zwecke. Typisch sind die Firma, die Ihre Server und Konten betreut, Ihr Cloudanbieter für E-Mail und Dateien und der Anbieter Ihres Personalprogramms in der Cloud.
Keinen AVV brauchen Sie, wo jemand nur nebenbei auf Daten stoßen kann. Der EDSA nennt den IT Berater, der einen Programmfehler behebt und dabei kaum an Daten kommt, und die Reinigungsfirma. Mit ihnen vereinbaren Sie Vertraulichkeit und begrenzen den Zugang.
Art. 4 Nr. 8 · Art. 28 Abs. 1, 3 und 9 DSGVO
Was muss in den AVV? Die Punkte aus Art. 28 Abs. 3
Zuerst beschreibt der Vertrag die Verarbeitung: Gegenstand und Dauer, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und Ihre Pflichten und Rechte als Verantwortlicher. Danach verpflichtet er den Dienstleister zu acht Punkten.
Er verarbeitet die Daten nur auf Ihre dokumentierte Weisung, auch bei einer Übermittlung in ein Land außerhalb der EU (Buchst. a). Wer bei ihm mit den Daten arbeitet, ist zur Vertraulichkeit verpflichtet (Buchst. b). Er trifft alle Maßnahmen nach Art. 32, die technischen und organisatorischen Maßnahmen, kurz TOMs (Buchst. c).
Einen weiteren Auftragsverarbeiter setzt er nur mit Ihrer vorherigen schriftlichen Genehmigung ein und gibt ihm dieselben Pflichten (Buchst. d mit Abs. 2 und 4). Er unterstützt Sie, wenn Betroffene ihre Rechte geltend machen, etwa Auskunft verlangen (Buchst. e). Er unterstützt Sie bei Sicherheit, Datenpannen, Folgenabschätzung und vorheriger Konsultation nach Art. 32 bis 36 (Buchst. f).
Am Ende des Auftrags löscht er nach Ihrer Wahl alle Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern kein Gesetz das Aufbewahren verlangt (Buchst. g). Die Kopien nennt die deutsche Fassung erst seit einer Berichtigung von 2018. Er stellt Ihnen alle Informationen zum Nachweis bereit und ermöglicht Prüfungen einschließlich Inspektionen (Buchst. h). Hält er eine Weisung für einen Verstoß gegen Datenschutzrecht, sagt er es Ihnen unverzüglich.
Art. 28 Abs. 2 bis 4 DSGVO
Den AVV des Anbieters prüfen
Große Anbieter legen ihren eigenen AVV vor, oft als Teil ihrer Bedingungen. Das ist nach dem EDSA an sich kein Problem. Wer den Dienst nutzt, übernimmt aber die volle Verantwortung, auch wenn er nicht verhandeln konnte. Der EDSA erwartet konkrete Angaben dazu, wie die Pflichten erfüllt werden und welches Sicherheitsniveau gilt.
Lesen Sie die Liste der Unterauftragsverarbeiter: Bei einer allgemeinen Genehmigung muss der Anbieter Sie über jeden neuen informieren, damit Sie widersprechen können (Art. 28 Abs. 2). Ändert er seinen AVV, soll er Ihnen das nach dem EDSA direkt mitteilen; eine Veröffentlichung nur auf seiner Website reicht nicht.
Art. 28 Abs. 2 DSGVO · EDSA Leitlinien 07/2020
Ein Beispiel: fünf Lieferanten, drei AVV
Die Brandt Metallbau GmbH (ausgedacht, 140 Beschäftigte) geht ihre Kreditorenliste durch. Die Firma, die per Fernzugriff Server, Konten und Datensicherung betreut, kommt laufend an Personal- und Kundendaten: AVV. Der Cloudanbieter für E-Mail und Dateien und der Anbieter der Zeiterfassung: zwei weitere AVV, beide Teil der Bedingungen, gelesen und mit Datum abgelegt.
Das Steuerbüro macht die Lohnabrechnung, und ein Steuerberater ist nach § 11 Abs. 2 StBerG für die Daten seiner Mandanten selbst Verantwortlicher: kein AVV. Die Firma, die die Fräsmaschinen aus der Ferne wartet, sieht nur Maschinendaten: auch kein AVV. Für NIS 2 zählt sie trotzdem, wegen ihres Fernzugangs.
Häufige Fehler beim AVV
Mit jedem Lieferanten einen AVV abschließen, auch mit Steuerbüro oder Reinigungsfirma. Das Papier beschreibt dann Rollen, die es so nicht gibt.
Den AVV des Anbieters annehmen, ohne die TOMs anzusehen. Eine allgemeine Beschreibung der Maßnahmen ist zu wenig; die Standardvertragsklauseln der EU Kommission verlangen in Anhang III ausdrücklich eine konkrete.
Den AVV für die Lieferantenvereinbarung nach NIS 2 halten. Seine Pflichten aus Art. 28 Abs. 3 Buchst. c und Art. 33 Abs. 2 betreffen personenbezogene Daten; ein Ausfall oder Angriff ohne solche Daten fällt nicht darunter. Ein Lieferant ohne Zugriff auf solche Daten hat gar keinen AVV.
Art. 28 Abs. 3 Buchst. c · Art. 33 Abs. 2 DSGVO · Art. 21 Abs. 2 Buchst. d NIS 2
Mit einem KI Assistenten
Ein KI Assistent wie Claude, ChatGPT oder Copilot kann den AVV eines Anbieters Punkt für Punkt mit Art. 28 Abs. 3 abgleichen und zeigen, wo etwas fehlt, etwa konkrete TOMs oder die Liste der Unterauftragsverarbeiter. Aus Ihrer Lieferantenliste kann er vorsortieren, wer wahrscheinlich Auftragsverarbeiter ist.
Entscheiden muss Ihr Unternehmen: wer Auftragsverarbeiter ist, ob seine Garantien hinreichen (Art. 28 Abs. 1) und ob Sie einen Vertrag annehmen. Was Sie dem Assistenten zeigen, etwa Verträge mit Namen von Ansprechpartnern, verarbeitet sein Anbieter mit; klären Sie vorher, unter welchem Vertrag das geschieht.
Verarbeitet der Anbieter Ihres Assistenten selbst personenbezogene Daten in Ihrem Auftrag, brauchen Sie auch mit ihm einen AVV. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.
Art. 28 Abs. 1 DSGVO
Was der NIS 2 Durchgang davon schon festhält
Punkt 5.2 hält fest, ob mit einem Lieferanten Sicherheitsanforderungen und die Meldung von Sicherheitsvorfällen geregelt sind; ein AVV ist das nicht.
5.1 Aufschreiben, wer für Sie arbeitet: Auf „Ihre Lieferanten“ steht jeder Lieferant mit dem, was er für Sie tut. Ob er Auftragsverarbeiter ist, fragt der Bildschirm nicht; das klären Sie für jeden selbst.
5.2 Festhalten, was Sie mit Ihren Lieferanten vereinbart haben: Auf „Was mit jedem geregelt ist“ haken Sie pro Lieferant an, ob Vertrag, Auftragsverarbeitung oder Bedingungen „Sicherheitsanforderungen, etwa an Zugänge und Updates“ und die „Meldung von Sicherheitsvorfällen an Sie“ regeln. 5.2 prüft keinen der Punkte aus Art. 28 Abs. 3.
Neben jedem Namen zeigt 5.2 die Stufe aus Ihrer Risikobewertung in 2.3. Nach unserer Lesart sehen Sie daran, wessen AVV Sie zuerst lesen sollten.
Ein KI Assistent kann beide Bildschirme ausfüllen, etwa aus Kreditorenliste und Verträgen; der Bildschirm zeigt danach, dass er eingetragen hat. Prüfen und abschließen tun Sie den Punkt selbst.
Häufige Fragen
Gibt es eine offizielle AVV Vorlage?
Ja. Die EU Kommission hat Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern beschlossen (Durchführungsbeschluss (EU) 2021/915). Nach seinem Art. 1 erfüllen sie die Anforderungen von Art. 28 Abs. 3 und 4 DSGVO. Die Anhänge füllen Sie selbst aus, die TOMs in Anhang III konkret.
Braucht man mit dem Steuerberater einen AVV?
Für die Daten, die er als Steuerberater für Sie verarbeitet, nicht: § 11 Abs. 2 StBerG macht ihn dafür zum Verantwortlichen, der weisungsfrei arbeitet. Das gilt für die Berufe und Gesellschaften aus § 3 StBerG, etwa auch Wirtschaftsprüfer. Ein Lohnbüro außerhalb dieser Gruppe prüfen Sie wie jeden anderen Dienstleister.
Muss ein AVV unterschrieben werden?
Die DSGVO verlangt Schriftform, die auch elektronisch sein darf (Art. 28 Abs. 9); eine Unterschrift auf Papier nennt der Text nicht. Halten Sie fest, welche Fassung Sie wann angenommen haben, damit Sie den Vertrag vorzeigen können (Art. 5 Abs. 2).
Wer haftet, wenn ein Unterauftragsverarbeiter seine Pflichten verletzt?
Gegenüber Ihnen haftet der erste Auftragsverarbeiter voll für ihn (Art. 28 Abs. 4). Er muss dem Unterauftragsverarbeiter dieselben Pflichten auferlegen, die in Ihrem AVV stehen. Lesen Sie deshalb die Liste der Unterauftragsverarbeiter, bevor Sie zustimmen.
Braucht man einen AVV mit ChatGPT, Claude oder Copilot?
Wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, ja: Dann ist er Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Ob und für welche Produkte ein Anbieter so handelt, steht in seinen Bedingungen. Was das für die einzelnen Assistenten heißt, behandeln unsere Artikel zu ChatGPT und zu Claude im Unternehmen.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 8, Art. 5 Abs. 2, Art. 28 und Art. 33 Abs. 2, mit der Berichtigung zu Art. 28 Abs. 3 Buchst. g im ABl. L 127 vom 23.5.2018, CELEX 32016R0679, publications.europa.eu
- Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, CELEX 32021D0915, publications.europa.eu
- Europäischer Datenschutzausschuss, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, Version 2.1 (englische Fassung), Randnummern 76 bis 89, 110 bis 112 und 126, edpb.europa.eu
- Steuerberatungsgesetz (StBerG), § 3 und § 11 Abs. 2, gesetze-im-internet.de
- Richtlinie (EU) 2022/2555 (NIS 2), Art. 21 Abs. 2 Buchst. d, publications.europa.eu, und § 30 Abs. 2 Nr. 4 BSIG, gesetze-im-internet.de
- open-isms, messages/durchgang (Punkte 5.1 und 5.2) und lib/mcp/walk.ts, github.com/NISD2/open-isms
In der Praxis
Wo das im Durchgang vorkommt
Im Durchgang werden daraus Schritte, die Sie ausfüllen, mit dem Gesetz jeweils daneben erklärt. Öffnen Sie einen Schritt, um ihn ausgefüllt am Beispiel einer erfundenen Firma zu sehen.
Lieferkettensicherheit
Aufschreiben, wer für Sie arbeitet
Eine Liste Ihrer Lieferanten und Dienstleister.
Lieferkettensicherheit
Festhalten, was Sie mit Ihren Lieferanten vereinbart haben
Für jeden Lieferanten: Was regelt der Vertrag zur Sicherheit?
In Arbeit
Der DSGVO Durchgang
Nach dem NIS 2 Durchgang entsteht auf nisd2.eu ein DSGVO Durchgang. Er wird mit demselben MCP Server arbeiten, sodass Ihr eigener KI Assistent auch dort ausfüllen kann. Einen Termin nennen wir noch nicht. Wenn Sie sich vormerken, schreiben wir Ihnen, sobald er bereitsteht.
Mit einem kostenlosen Konto auf nisd2.eu. Die Vormerkung beenden Sie jederzeit auf derselben Seite.
Sie sollen sich um NIS2 kümmern?
Am Ende haben Sie alles in einem Dokument: was getan ist, was noch offen ist, und die Freigabe Ihrer Geschäftsführung mit Namen und Datum. Die Texte schreibt die App.
