Auftragsverarbeitung: Welche Verträge Unternehmen mit ihren Dienstleistern brauchen

Ein Auftragsverarbeitungsvertrag (AVV) ist eine schriftliche Vereinbarung zwischen einem Unternehmen als Verantwortlichem und einem Dienstleister als Auftragsverarbeiter. Rechtsgrundlage ist Art. 28 DSGVO. Die Regelung ist keine Bürokratie-Kür, sondern zwingendes Recht: Wer ohne AVV personenbezogene Daten an Dritte übergibt, begeht einen Datenschutzverstoß, der mit Bußgeldern bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann.

Der AVV legt fest, was der Dienstleister mit den Daten tun darf, welche technischen und organisatorischen Maßnahmen er ergreifen muss, ob und welche Unter-Auftragsverarbeiter er einsetzen darf, und wie er bei Datenpannen reagieren muss. Er macht den Dienstleister weisungsgebunden: Der Auftragsverarbeiter darf die Daten ausschließlich nach Ihren Anweisungen verarbeiten, nicht für eigene Zwecke.

Für Unternehmen bedeutet das in der Praxis: Bevor Sie irgendwelche personenbezogenen Daten (Kundendaten, Mitarbeiterdaten, Interessenten) an einen externen Dienstleister weitergeben oder zugänglich machen, muss ein AVV vorhanden und unterschrieben sein. Die Verantwortung bleibt beim Unternehmen — der Dienstleister haftet zwar mit, aber ein fehlender AVV trifft immer zuerst Sie als Verantwortlichen.

Art. 28 DSGVO schreibt vor, was ein rechtswirksamer AVV enthalten muss. Ein selbst formuliertes Dokument ohne diese Mindestinhalte schützt Sie im Zweifel nicht. Die meisten seriösen Dienstleister haben standardisierte AVVs, die Sie einfach annehmen können — prüfen Sie aber, ob alle Pflichtbestandteile vorhanden sind.

Zwingend enthalten sein müssen: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen, die Pflichten und Rechte des Verantwortlichen, die Weisungsbindung des Auftragsverarbeiters, Vertraulichkeitspflichten seiner Mitarbeiter, technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO, Regelungen zu Unter-Auftragsverarbeitern (Sub-AVV), Unterstützungspflichten bei Betroffenenanfragen, Löschpflichten nach Auftragsende und Kontrollrechte des Verantwortlichen.

Besonders wichtig ist die Regelung zu Sub-Auftragsverarbeitern: Wenn Ihr Mailchimp-Konto beispielsweise über Amazon Web Services betrieben wird, ist AWS ein Sub-Auftragsverarbeiter. Dieser muss ebenfalls vertraglich eingebunden sein — und Sie müssen das wissen. Prüfen Sie daher immer die aktuelle Liste der Sub-Auftragsverarbeiter Ihrer wichtigsten Dienstleister.

Fehlt ein vorgeschriebener AVV, liegt ein Datenschutzverstoß vor — unabhängig davon, ob Daten tatsächlich missbraucht wurden. Die bloße Tatsache, dass keine Vereinbarung besteht, ist der Verstoß. Datenschutzbehörden können diesen Verstoß aktiv prüfen, wenn Beschwerden eingehen oder Kontrollen durchgeführt werden.

Die Konsequenzen reichen von einer Verwarnung über Anordnungen zur sofortigen Nachbesserung bis hin zu Bußgeldern. In der Praxis sind Bußgelder für fehlende AVVs bei kleinen Unternehmen selten sechsstellig, aber vier- bis fünfstellige Bescheide kommen vor. Teurer wird es, wenn der fehlende AVV mit anderen Verstößen zusammentrifft — zum Beispiel wenn auch die Einwilligung für den Newsletter fehlt.

Hinzu kommt das Reputationsrisiko: Wenn ein Datenschutzverstoß publik wird, steht das Unternehmen vor seinen Kunden als fahrlässig da. Für B2B-Unternehmen kann das Aufträge kosten, weil Kunden eigene DSGVO-Pflichten haben und Ihre Datenschutzpraxis als Teil der Lieferkette prüfen müssen.