Wer externe Mitarbeiter (Freiberuflicher/ Selbständige) einstellt und dabei personenbezogene Daten verarbeitet, benötigt einen Auftragsverarbeitungsvertrag (kurz AVV oder AV-Vertrag), um auf der sicheren Seite zu sein. Darin werden die Bedingungen & Regeln festgelegt. 

Begriffserklärung & Bedeutung

AVV – Was ist das genau? Ein Auftragsverarbeitungsvertrag ist ein Vertrag über die Auftragsverarbeitung, also die Verarbeitung von personenbezogenen Daten, welches die Datenschutzverordnung (DSGVO) vorschreibt. Darin enthalten sind die Pflichten & Rechte für den Auftraggeber und Auftragsverarbeiter.
 

Was betrifft den Vertrag

Eine Auftragsverarbeitung liegt dann vor, wenn personenbezogenen Daten extern in Auftrag gegeben werden. Das betrifft Erheben, Erfassen, Ändern und Speichern der personenbezogenen Daten. 

Das können bspw. sein: externe Lohnabrechnung, Webhoster, Marketing wie Newsletter oder Kunden-Akquise. 

Dabei vergibt das Unternehmen (Auftraggeber) den Auftrag an einen Dienstleister (Auftragnehmer). Dieser verarbeitet die Daten nach Anweisung mit E-Mail-Adressen und weiteren personenbezogenen Informationen. Der Auftragnehmer dokumentiert seine Aufarbeitung und berichtet dem Auftraggeber. 

Wichtig dabei zu wissen ist, dass der Auftraggeber rechtlich für den Schutz der Daten verantwortlich bleibt. Bei Datenschutzverstößen können je nach Verantwortlichkeit der Auftraggeber oder der Auftragnehmer haften. 

Der Vertrag muss in schriftlicher oder elektronischer Form abgeschlossen werden. 

Wann liegt keine Auftragsverarbeitung vor

Eine Auftragsverarbeitung liegt nicht vor, wenn es sich um reine Datenübermittlung handelt.

Ebenfalls keine Auftragsverarbeitung liegt vor, wenn es sich um eine gemeinsame Verantwortlichkeit handelt. 

Im Normalfall wird für eine Fachleistung in Eigenständigkeit ebenfalls kein AV-Vertrag benötigt wie bspw. Steuerberater, Rechtsanwälte, Wirtschaftsprüfer etc. 

Pflichtinhalte

• Gegenstand & Dauer: Was wird mit den Daten verarbeitet und wie lange.
• Art & Zweck: Warum werden diese Daten verarbeitet.
• Weisungsbefugnis: Die Daten dürfen nur so verarbeitet werden, wie vereinbart.
• TOMS (technische & organisatorische Maßnahmen): Welche Sicherheitsvorkehrungen, Verschlüsselungen, Kontrollen werden involviert. 
• Pflichten: Verschwiegenheit & Meldepflicht bei Datenverlust

Wichtige Bestandteile

• Gegenstand, Dauer, Art, Zweck, 
• Art der personenbezogenen Daten
• Rechte & Pflichten 
• Weisungsbefugnisse 
• Sicherstellung der technischen & organisatorischen Maßnahmen durch den Auftragsverarbeiter 
• Anforderungen
• Regelungen über die Dokumentation & Berichterstattung
• Unterstützung bei Anfragen, Datenverluste, Sicherstellung
• Haftung & Verantwortlichkeit
• Rückgabe/ Löschung nach Abschluss 

Zusammenfassung

Auftragsverarbeitungsvertrag regelt somit die Zusammenarbeit von personenbezogenen Daten zwischen Auftraggeber und Auftragnehmer. Das soll Klarheit über Verarbeitung und den Auftrag geben, worin Rechte & Pflichten genau festgelegt werden. Für eine garantierte & entspannte Zusammenarbeit. 

Bis zum nächsten Mal