Auftragsverarbeitung (AVV)

Kurz: Wenn ein Dienstleister im Auftrag und nach Weisung personenbezogene Daten verarbeitet (z. B. Hosting, E-Mail-Versand), braucht es einen Auftragsverarbeitungsvertrag (AVV).

Genauer: Der Verantwortliche bleibt für die Daten verantwortlich, der Auftragsverarbeiter handelt nur auf Weisung. Der Vertrag (Art. 28 DSGVO) regelt Gegenstand, Dauer, Art der Daten, Pflichten, Kontrollrechte, Unterauftragnehmer und technische Maßnahmen.

Im Detail

• Typische Auftragsverarbeiter: Hoster, Cloud-Anbieter, Newsletter-Dienst, Zahlungsabwickler (teils eigenständig verantwortlich), Support-Software, Analyse-Tools.
• Unterauftragnehmer: Müssen genannt und genehmigt werden.
• Drittländer: Bei Servern außerhalb der EU gelten zusätzliche Regeln (Datenübermittlung in Drittländer).
• Technische und organisatorische Maßnahmen (TOMs): Zugriffskontrolle, Verschlüsselung, Backup, Protokollierung.
• Praxis: Die meisten Anbieter stellen den AVV als Download oder Klick bereit.
• Auch Pflicht: Eintrag ins Verzeichnis der Verarbeitungstätigkeiten.

Siehe auch: DSGVO: Grundsätze und Rechtsgrundlagen, Verzeichnis von Verarbeitungstätigkeiten