Egal, ob Sie Webhosting, Webseitenbetreuung oder E-Mail-Marketing betreiben. Viele Agenturen, Webdesigner und Unternehmen wissen nicht, dass sie oft einen Auftragsverar-beitungsvertrag (AV-Vertrag) benötigen, wenn sie personenbezogene Daten der Kunden ver-arbeiten. Was Sie dabei beachten müssen und warum es sich lohnt, den AV-Vertrag als All-gemeine Geschäftsbedingungen (AGB) auszugestalten, erfahren Sie in dieser Übersicht.
Sie möchten sich direkt zum Thema AV-Vertrag beraten lassen?
Worum geht es bei der Auftragsverarbeitung?
Immer wenn ein Unternehmen (Auftraggeber) einen externen Dienstleister (Auftragnehmer) beauftragt, weisungsgebunden personenbezogene Daten zu verarbeiten, ist das eine Auftragsverarbeitung. „Verarbeitung“ ist jeder Vorgang, der das Erheben, das Erfassen, die Organisation sowie die Speicherung oder das Löschen beziehungsweise die Vernichtung von personenbezogenen Daten zum Gegenstand hat.
Personenbezogene Daten werden zum Beispiel in folgenden Fällen verarbeitet:
- Nutzung von Tracking Software (wie Google Analytics)
- Beauftragung von externen Dienstleistern (z. B. für Newsletter, Marketingaktionen oder Buchhaltung)
- Outsourcing (ganz oder teilweise) von Rechenzentren
- Einsatz von Fernwartungssystemen
Warum sollten Sie einen AV-Vertrag abschließen?
Da es bei der Auftragsverarbeitung um personenbezogene Daten geht, müssen Sie diese schützen. Personenbezogene Daten sind alle Daten, die Rückschlüsse auf die jeweilige Person zulassen. Darunter zählen
- Name und Anschrift,
- E-Mail-Adresse,
- Telefonnummer
- Kontodaten
- IP – Adresse
Aufgrund dieser sensiblen Daten sind Sie in der Pflicht, die Datensicherheit sicherzustellen. Sie müssen dafür sorgen, dass Sie gemeinsam mit Ihrem Kunden vor Beginn einer möglichen Auftragsverarbeitung einen Vertrag abschließen. Der Inhalt dieses AV.-Vertrages muss bestimmten rechtlichen Standards genügen. Der AV-Vertrag bestimmt so den rechtlichen Rahmen der Auftragsverarbeitung und die damit verbundene Haftungsverteilung. So schützt er Sie vor möglichen Abmahnungen und Bußgeldern, die bis zu 20 Millionen Euro betragen können.
Lassen Sie sich zum Thema AV-Vertrag informieren
Was muss ein AV-Vertrag beinhalten?
Gemäß des Bundesdatenschutzgesetzes (BDSG) und der DSGVO muss ein AV-Vertrag bestimmte Anforderungen erfüllen. Der AV-Vertrag muss enthalten:
- Gegenstand der Verarbeitung
- Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten, die verarbeitet werden
- Kreis der betroffenen Personen (also Nutzer, Kunden o.ä.)
- Rechte und Pflichten des Verantwortlichen
- Technische und Organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO
- Regelungen zu Unterauftragsverhältnissen
- Kontrollrechte des Auftraggebers und Duldungs- sowie Mitwirkungspflichten des externen Dienstleisters
- Umfang der Weisungsbefugnisse des Auftraggebers gegenüber des Auftragnehmers
- Rückgabe überlassener Datenträger sowie Löschung der Daten nach Auftragsbeendigung
Wie können Sie Ihre AV-Verträge als AGB einbeziehen?
Wie Sie bisher erfahren haben, ist es besonders wichtig, auf den Abschluss eines AV-Vertrages zu achten. In der Praxis wird dies leicht vergessen oder übersehen. Sie setzen sich damit dem Risiko eines Bußgeldverfahrens aus, das unnötig ist und leicht abgewandt werden kann.
Nach unserer Erfahrung ist der Prozess, wie ein AV-Vertrag in der Praxis abgeschlossen wird, einfach zu kompliziert. Oft schließen die Parteien den AV-Vertrag separat im Original per Papier oder mit digitaler Unterschrift. Ein effizienter Vertragsprozess sieht anders aus.
Unser „AV-Vertrag als AGB-Paket” bietet Ihnen eine effiziente und einfache Lösung, die rechtlich sicher ist und von den Datenschutzbehörden akzeptiert wird. Integrieren Sie ganz einfach Ihren AV-Vertrag als AGB in Ihren Angebotsprozess. So wird der AV-Vertrag in Zukunft mit jedem Angebot, wie normale AGB, zusammen mit dem eigentlichen Vertrag ab-geschlossen. In der Folge haben Sie automatisch mit jedem Kunden, der Sie beauftragt, einen AV-Vertrag.
So sind Sie stets vor einer Haftung geschützt und das Risiko möglicher Bußgelder, aufgrund fehlender oder fehlerhafter AV-Verträge, löst sich in Luft auf.
Da jedes Unternehmen individuelle Prozesse hat und deren Umsetzung entsprechend angepasst werden sollte, beraten wir Sie gerne bei der Umsetzung Ihres AV-Vertrages als AGB. Wenden Sie sich dazu einfach an uns.
FAQ – häufige Fragen zum Auftragsverarbeitungsvertrag
Ein Auftragsverarbeitungsvertrag (AV-Vertrag) muss die Anforderungen aus Art. 28 DSGVO erfüllen. Dazu gehören insbesondere:
- Zweck und Dauer der Datenverarbeitung,
- Art der personenbezogenen Daten,
- betroffene Personengruppen sowie
- Rechte und Pflichten von Auftraggeber und Auftragnehmer
Außerdem müssen technische und organisatorische Maßnahmen zum Datenschutz dokumentiert werden. Die Kanzlei Siebert Lexow unterstützt Unternehmen dabei, AV-Verträge rechtssicher und DSGVO-konform zu gestalten.
Eine Auftragsverarbeitung ist zulässig, wenn personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet werden und ein wirksamer Auftragsverarbeitungsvertrag abgeschlossen wurde. Der Auftragnehmer darf die Daten nur nach dokumentierter Weisung verarbeiten und muss geeignete Sicherheitsmaßnahmen nachweisen.
Ein Auftragsverarbeitungsvertrag ist keine eigenständige Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Er regelt lediglich die Zusammenarbeit zwischen Verantwortlichem und Auftragsverarbeiter nach Art. 28 DSGVO. Für die eigentliche Datenverarbeitung ist zusätzlich eine datenschutzrechtliche Rechtsgrundlage erforderlich, etwa eine Einwilligung oder ein berechtigtes Interesse.
Von einer Auftragsverarbeitung spricht man, wenn ein Unternehmen personenbezogene Daten durch einen externen Dienstleister im eigenen Auftrag verarbeiten lässt. Typische Beispiele sind Hosting-Anbieter, Cloud-Dienste, Marketing-Plattformen oder IT-Dienstleister. In diesen Fällen ist regelmäßig ein DSGVO-konformer Auftragsverarbeitungsvertrag erforderlich.
Die Kanzlei Siebert Lexow berät Unternehmen bei der Erstellung und Prüfung von AV-Verträgen sowie bei der datenschutzkonformen Zusammenarbeit mit Dienstleistern.
