Auftragsverarbeitung AVV
Ein Auftragsverarbeitungsvertrag (AV-Vertrag), auch bekannt als Vertrag zur Auftragsdatenverarbeitung, ist ein wichtiges Instrument im Bereich des Datenschutzes. Dieser Vertrag regelt die Beziehung zwischen einem Verantwortlichen (also dem Unternehmen, das die Zwecke und Mittel der Datenverarbeitung bestimmt) und dem Auftragsverarbeiter. Die Auftragsverarbeitung ist ein Prozess, bei dem ein Unternehmen (der Verantwortliche) einen externen Dienstleister (den Auftragsverarbeiter) beauftragt, personenbezogene Daten im Namen und nach den genauen Vorgaben des Verantwortlichen zu verarbeiten. Die DSGVO definiert strenge Regeln für diese Beziehung, um die Sicherheit und den Schutz personenbezogener Daten zu gewährleisten.
Warum ist ein AV-Vertrag erforderlich?
Ein AV-Vertrag ist aus mehreren Gründen erforderlich:
- Rechtskonformität: Er ist eine gesetzliche Anforderung der DSGVO, die sowohl den Verantwortlichen als auch den Auftragsverarbeiter zur Einhaltung der Datenschutzbestimmungen verpflichtet.
- Risikomanagement: Der Vertrag minimiert die Risiken für beide Parteien, indem er klare Anweisungen zur Datenverarbeitung und Sicherheitsmaßnahmen vorgibt.
- Vertrauen und Transparenz: Durch klare Vertragsbedingungen schafft er Vertrauen bei den Nutzern und betroffenen Personen, dass ihre Daten sicher und gemäß den Datenschutzgesetzen behandelt werden.
Beispiele für Auftragsverarbeitung:
Cloud-Dienste: Ein Unternehmen nutzt einen Cloud-Anbieter zur Speicherung und Verarbeitung von Kundendaten. Der Cloud-Anbieter agiert als Auftragsverarbeiter, da er die Daten im Auftrag des Unternehmens verarbeitet.
Lohnbuchhaltung: Ein Unternehmen beauftragt einen externen Dienstleister mit der Durchführung der Gehaltsabrechnungen für seine Mitarbeiter. Der Dienstleister verarbeitet personenbezogene Daten wie Sozialversicherungsnummern und Bankverbindungen.
Marketing und E-Mail-Kampagnen: Ein Unternehmen verwendet eine Marketing-Agentur, um personalisierte E-Mail-Kampagnen zu erstellen und zu versenden. Die Agentur verarbeitet personenbezogene Daten wie E-Mail-Adressen und Kaufhistorie im Namen des Unternehmens.
IT-Support und Wartung: Ein Unternehmen beauftragt einen IT-Dienstleister mit der Wartung seiner IT-Infrastruktur, einschließlich Servern, auf denen personenbezogene Daten gespeichert sind.
Kerninhalte eines AV-Vertrags: Ein umfassender AV-Vertrag sollte folgende Elemente enthalten:
Detaillierte Beschreibung der Verarbeitungstätigkeiten: Welche Daten werden verarbeitet, wie und zu welchem Zweck?
Verpflichtungen zur Einhaltung der Datenschutzgesetze: Beide Parteien müssen sich zur Einhaltung der geltenden Datenschutzgesetze verpflichten.
Technische und organisatorische Maßnahmen: Detaillierte Beschreibung der Maßnahmen zum Schutz der Daten, einschließlich Verschlüsselung, Zugangskontrollen und Sicherheitsaudits.
Rechte der betroffenen Personen: Verfahren zur Sicherstellung der Rechte der Betroffenen, wie das Recht auf Auskunft, Berichtigung und Löschung.
Regelungen bei Datenpannen: Verfahren für die Benachrichtigung bei Datenpannen, sowohl gegenüber den Aufsichtsbehörden als auch den betroffenen Personen.
Subunternehmer: Bedingungen, unter denen der Auftragsverarbeiter Subunternehmer einsetzen darf, einschließlich der Anforderung, dass solche Subunternehmer denselben Datenverarbeitungs- und Sicherheitsstandards genügen.
Der AV-Vertrag ist ein kritisches Werkzeug für Unternehmen, um Compliance mit der DSGVO zu gewährleisten, wenn sie externe Dienstleister für die Verarbeitung personenbezogener Daten einsetzen. Er sorgt für Klarheit, Sicherheit und Vertrauen in der Handhabung sensibler Daten und schützt sowohl Unternehmen als auch Individuen vor Datenschutzverletzungen.
