Auftragsverarbeitungsverträge (AVV)
Erstellen, verwalten und dokumentieren Sie AV-Verträge schnell und übersichtlich an einem zentralen Ort.
Mit unserer Funktion für Auftragsverarbeitungsverträge (AVV) behalten Sie alle datenschutzrelevanten Verträge zur Auftragsverarbeitung im Blick. Erstellen Sie neue AV-Verträge schnell und unkompliziert mithilfe vorgefertigter Vorlagen, organisieren Sie bestehende Verträge zentral und dokumentieren Sie alles strukturiert an einem Ort. So erfüllen Sie Ihre gesetzlichen Pflichten effizient und nachvollziehbar.
Highlights dieser Funktion:
Optimieren Sie die Verwaltung Ihrer AV-Verträge und behalten Sie alle wichtigen Informationen stets im Überblick.
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag ist ein eine vertragliche Vereinbarung zum Zwecke der Erhebung, Verarbeitung und Nutzung personenbezogener Daten durch den Auftragnehmer im Auftrag des Arbeitgebers. Damit ist gemeint, dass personenbezogene Daten an einen Dienstleister übermittelt werden, der diese weisungsgebunden verarbeitet. Ist ein solches Arbeitsverhältnis vorhanden, muss ein Auftragsverarbeitungsvertrag zwischen Arbeitgeber und Arbeitnehmer abgeschlossen worden sein. Ist dies nicht der Fall, wird gegen die EU-DSVGO (europäische Datenschutz-Grundverordnung) und das BDSG (Bundesdatenschutzgesetz) verstoßen.
Was sind die gesetzlichen Grundlagen des Auftragsverarbeitungsvertrags?
Die gesetzliche Grundlage für den Auftragsverarbeitungsvertrag ist der Artikel 28 der EU- DSVGO. Zudem wird der Begriff des Auftragsverarbeiters in Artikel 4, Nr. 8 der EU-DSVGO genauer definiert. Demnach kann ein Auftragsverarbeiter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle sein, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
In Artikel 4, Nr. 7 der EU-DSVGO ist außerdem der Begriff des Verantwortlichen klar definiert. Demzufolge ist ein Verantwortlicher die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Wann liegt eine Auftragsverarbeitung vor?
Die Frage, wann genau eine Auftragsverarbeitung vorliegt und somit ein Auftragsverarbeitungsvertrag benötigt wird, ist nicht leicht zu beantworten. Grundsätzlich müssen zwei Voraussetzungen gegeben sein. Zunächst muss der Auftragnehmer personenbezogene Daten, die der Auftraggeber zur Verfügung gestellt hat, in jeglicher Art erheben, verarbeiten und nutzen. Dazu muss das Erheben, Verarbeiten und Nutzen der personenbezogenen Daten in einer strengen weisungsgebunden Art und Weise passieren. Der Arbeitnehmer darf also keine eigenen Entscheidungen beim Umgang mit den personenbezogenen Daten treffen, sondern nur die Weisungen des Arbeitgebers umsetzen. Der Arbeitnehmer arbeitet sozusagen als „verlängerter Arm“ des Arbeitgebers.
Beispiele zum Auftragsverarbeitungsvertrag
Um zu verdeutlichen, wann ein Auftragsverarbeitungsvertrag nötig ist und wann nicht, haben wir Ihnen Beispiele erstellt.
Beispiele, bei denen es sich um eine Auftragsverarbeitung handelt:
- IT-Wartung und Fernzugriff des IT-Dienstleisters
- Buchhaltung durch Rechenzentren
- Cloud-Computing
- Werbeadressenverarbeitung durch einen Lettershop
- Datenträgerentsorgung durch Dienstleister
- Shared Services-Dienstleistungen innerhalb eines Konzerns
- DSM-Online als Datenschutzmanagement-Software
Beispiele, bei denen es sich nicht um eine Auftragsverarbeitung handelt:
- Alle Dienstleister, die Berufsgeheimnisträger sind, wie Steuerberater, Rechtsanwälte, externe Betriebsärzte und Wirtschaftsprüfer
- Inkassobüros
- Bankinstitute für Geldtransfer
- Postdienste für den Brieftransport
Das gilt es beim Auftragsverarbeitungsvertrag zu beachten
Vorlagen für einen Auftragsverarbeitungsvertrag gibt es viele im Internet. Dabei sollten Sie darauf achten, dass diese auch vollständig sind. Zunächst sind natürlich Gegenstand, Dauer des Vertrags und Ort der Leistungserbringung wichtig. Es sollte eine Wiedergabe der zuständigen Ansprechpartner und der aktuellen Subdienstleister vorhanden sein. Auch eine detaillierte Liste der TOMs, also der technischen und organisatorischen Maßnahmen, ist von großer Bedeutung.
Ebenfalls sollten die Datenkategorie und der Zweck der Datenverarbeitung erwähnt werden. Hierbei empfehlen wir Ihnen so konkret wie möglich zu sein, um zu verhindern, dass der Arbeitnehmer zu viele Daten bezieht und diese anders verarbeitet, als Sie es beabsichtigt haben.
Dazu gibt es auf beiden Seiten des Arbeitgebers und Arbeitnehmers bestimmte Aspekte zu beachten. Als Arbeitgeber empfehlen wir Ihnen nach Kontrollrecht den Arbeitsplatz des Arbeitnehmers zu besichtigen. So können Sie sich versichern, dass die technischen und organisatorischen Maßnahmen professionell umgesetzt werden. Als Arbeitnehmer hingegen ist es ebenfalls wichtig den Vertrag zu kontrollieren.