Auftragsverarbeitung (AVV)

Was regelt der Auftragsverarbeitungsvertrag (AVV)?

Der Auftragsverarbeitungsvertrag konkretisiert, was der Dienstleister mit den überlassenen Daten tun darf und muss. Art. 28 Abs. 3 DSGVO schreibt dafür einen festen Katalog an Mindestinhalten vor, der nicht verhandelbar ist – fehlt einer davon, ist der Vertrag unvollständig und die Verarbeitung angreifbar.

Zwingend zu regeln sind unter anderem: Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Kategorien betroffener Personen und Datenarten, die ausschließliche Weisungsbindung des Verarbeiters, die Vertraulichkeitsverpflichtung der eingesetzten Mitarbeiter, die zu treffenden technischen und organisatorischen Maßnahmen (TOM), die Regeln zum Einsatz von Unterauftragsverarbeitern, Unterstützungspflichten bei Betroffenenrechten und Meldepflichten sowie Löschung oder Rückgabe der Daten nach Vertragsende.

Verantwortlicher vs. Auftragsverarbeiter: die Rollenabgrenzung

Die zentrale Weichenstellung des Datenschutzrechts ist die Frage, wer über Zwecke und Mittel der Verarbeitung entscheidet. Wer das tut, ist Verantwortlicher (Art. 4 Nr. 7 DSGVO). Wer Daten nur nach fremder Weisung und ohne eigenen Entscheidungsspielraum verarbeitet, ist Auftragsverarbeiter (Art. 4 Nr. 8).

Abzugrenzen ist die Auftragsverarbeitung von der gemeinsamen Verantwortlichkeit (Art. 26 DSGVO), bei der zwei Stellen gemeinsam über Zwecke und Mittel bestimmen, sowie von der Übermittlung an einen eigenständig Verantwortlichen. Klassisches Beispiel für Letzteres: Ein Steuerberater oder ein Wirtschaftsprüfer verarbeitet Mandantendaten kraft eigener Berufspflichten – hier liegt gerade keine weisungsgebundene Auftragsverarbeitung, sondern eine Übermittlung an einen weiteren Verantwortlichen vor, für die kein AVV, wohl aber eine eigene Rechtsgrundlage nötig ist. Die falsche Einordnung führt regelmäßig zu unwirksamen Verträgen und Haftungslücken.

Warum Auftragsverarbeitung (AVV) wichtig ist

Ohne gültigen AVV ist jede Weitergabe personenbezogener Daten an einen Dienstleister rechtswidrig – unabhängig davon, wie sorgfältig dieser tatsächlich arbeitet. Aufsichtsbehörden prüfen das Vorhandensein und die Vollständigkeit von AVVs regelmäßig als „low hanging fruit", weil es schnell und ohne technische Analyse feststellbar ist.

Verstöße gegen Art. 28 DSGVO sind nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes bewehrt. Hinzu kommen Reputationsrisiken und mögliche Schadenersatzansprüche betroffener Personen. Für den Verantwortlichen ist der AVV zugleich ein Instrument des Nachweises: Er dokumentiert im Sinne der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO), dass die Datenverarbeitung durch Dritte kontrolliert und abgesichert erfolgt.

Nicht zuletzt schützt ein sauber geführter AVV auch das eigene Geschäft: Er zwingt beide Seiten, Verantwortlichkeiten, Zugriffswege und Meldeketten vor dem ersten Datenaustausch zu klären. Kommt es zu einer Datenpanne, verkürzt das die Reaktionszeit und erleichtert die fristgerechte Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO erheblich.

Auftragsverarbeitung im ERP-System

Ein modernes ERP verarbeitet in großem Umfang personenbezogene Daten: Kunden- und Lieferantenstammdaten, Ansprechpartner, Bestell- und Lieferhistorien, teils auch Beschäftigtendaten. Wird das ERP als Cloud-ERP oder SaaS betrieben, liegen diese Daten auf der Infrastruktur des Anbieters – der damit fast immer Auftragsverarbeiter ist und mit dem ein AVV geschlossen werden muss.

Praktisch relevant sind dabei mehrere ERP-Themen: die Datenresidenz (in welchem Land bzw. Rechenzentrum die Daten liegen und ob ein Drittlandtransfer stattfindet), das Berechtigungs- und Rollenkonzept, die revisionssichere Protokollierung von Zugriffen über einen Audit-Trail sowie ein sauberes Löschkonzept, das die Löschung oder Rückgabe der Daten nach Vertragsende technisch umsetzt. Auch angebundene Subsysteme – Shop, CRM, Versanddienstleister, Zahlungsdienstleister – begründen jeweils eigene Auftragsverarbeitungs-Beziehungen, die im Verzeichnis der Verarbeitungstätigkeiten geführt werden sollten.

DACH-Besonderheiten und Umsetzung

In Deutschland ergänzt das Bundesdatenschutzgesetz (BDSG) die DSGVO, in Österreich das Datenschutzgesetz (DSG). Die Schweiz unterliegt nicht der DSGVO, sondern dem revidierten Datenschutzgesetz (revDSG, in Kraft seit September 2023); auch dieses kennt in Art. 9 die Auftragsbearbeitung mit sehr ähnlichen Anforderungen. Wer über Grenzen hinweg arbeitet, muss beide Regime im Blick behalten.

Ein häufiger Stolperstein ist der Datentransfer in Drittländer, etwa in die USA. Hier sind zusätzlich geeignete Garantien wie EU-Standardvertragsklauseln (SCC) oder eine Zertifizierung nach dem EU-US Data Privacy Framework erforderlich. Für die praktische Umsetzung empfiehlt sich, AVVs zentral zu verwalten, Änderungen bei Unterauftragsverarbeitern nachzuhalten und die TOM regelmäßig zu überprüfen – idealerweise gestützt durch Zertifizierungen des Anbieters wie ISO 27001.