Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Wozu der Vertrag da ist

Wenn ein Auftragsverarbeiter Daten für dich verarbeitet, gibst du die Daten aus der Hand, bleibst aber Verantwortlicher. Der AVV ist das Werkzeug, mit dem du diese Verantwortung behältst: Er bindet den Dienstleister an deine Weisungen und an die DSGVO und schafft die Grundlage, um seine Einhaltung zu prüfen.

Art. 28 Abs. 3 verlangt einen „Vertrag oder ein anderes Rechtsinstrument“. Er muss nach Abs. 9 schriftlich abgefasst sein, was ausdrücklich auch elektronisch erfolgen kann. Ein online akzeptierter AVV eines Software-Anbieters ist daher grundsätzlich möglich. Eine Unterschrift mit Füllfeder ist nicht nötig.

Was mindestens drinstehen muss

Der Vertrag legt zunächst Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen fest. Außerdem muss er nach Art. 28 Abs. 3 lit. a–h vorsehen, dass der Auftragsverarbeiter

• nur auf dokumentierte Weisung verarbeitet – auch was Übermittlungen in Drittländer betrifft,
• sein Personal zur Vertraulichkeit verpflichtet,
• die nötigen Sicherheitsmaßnahmen nach Art. 32 trifft,
• weitere Dienstleister nur unter den Bedingungen von Art. 28 Abs. 2 und 4 einsetzt,
• bei Anfragen von Betroffenen und bei den Pflichten aus Art. 32 bis 36 unterstützt,
• nach Ende des Auftrags alle Daten nach Wahl des Verantwortlichen löscht oder zurückgibt,
• alle nötigen Informationen bereitstellt und Überprüfungen einschließlich Inspektionen ermöglicht.

In der Praxis hängen am Vertrag meist zwei Anlagen: eine Beschreibung der technischen und organisatorischen Maßnahmen und eine Liste der Unterauftragsverarbeiter.

Bei KI-Diensten lohnt es sich, über das Pflichtprogramm hinaus auf drei Punkte zu achten: ob der Anbieter Inhalte für eigene Zwecke wie Modelltraining verwenden darf, wo die Daten gespeichert und verarbeitet werden und wie lange Aufnahmen, Transkripte und Protokolle aufbewahrt werden. Steht dazu nichts Konkretes im AVV oder in den verlinkten Unterlagen, ist eine Rückfrage beim Anbieter sinnvoll, bevor die ersten Gespräche durchlaufen.

Eigener Vertrag oder EU-Muster

Niemand muss einen AVV von Grund auf neu schreiben. Die EU-Kommission hat 2021 Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern beschlossen (Durchführungsbeschluss (EU) 2021/915, gestützt auf Art. 28 Abs. 7). Sie decken die Pflichtinhalte ab und lassen Optionen offen, etwa ob Unterauftragsverarbeiter einzeln oder allgemein genehmigt werden.

Nicht verwechseln: Für Übermittlungen in Länder außerhalb der EU und des EWR gibt es eigene Standardvertragsklauseln. Sie ersetzen den AVV nicht, sondern kommen bei einem Dienstleister in einem Drittland zusätzlich dazu.

Abgrenzung zu ähnlichen Verträgen

Ein AVV ist kein beliebiger Vertragsanhang, sondern hat einen klar umrissenen Zweck. Die wichtigsten Nachbarn im Vergleich:

Eine Geheimhaltungsvereinbarung allein reicht für eine Auftragsverarbeitung nicht: Sie enthält in der Regel weder Weisungsbindung noch Regeln zu Unterauftragnehmern, Löschung oder Kontrollrechten.