Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag, kurz AVV, ist der nach Art. 28 DSGVO vorgeschriebene Vertrag zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag und nach dessen Weisung verarbeitet. Er ist kein Formular zur Beruhigung, sondern die Bedingung dafür, dass die Verarbeitung überhaupt zulässig auf einen Dritten ausgelagert werden darf.

Die praktisch schwierigere Frage kommt vor dem Vertrag: ob überhaupt eine Auftragsverarbeitung vorliegt.

Die Abgrenzung entscheidet über alles Weitere#

Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO, wer Daten für einen anderen verarbeitet. Das entscheidende Merkmal ist die Weisungsgebundenheit: Der Auftragsverarbeiter bestimmt weder Zweck noch Mittel der Verarbeitung selbst. Typische Fälle sind Webhosting, Cloud-Speicher, Newsletter-Versand, Analysewerkzeuge und Fernwartung durch einen IT-Dienstleister.

Davon zu unterscheiden ist der eigenständig Verantwortliche. Wer die Zwecke der Verarbeitung selbst festlegt und dabei eigenen Berufs- oder Rechtspflichten unterliegt, handelt nicht auf Weisung. Steuerberater und Rechtsanwälte werden überwiegend so eingeordnet, weil sie ihre Tätigkeit nach eigenem fachlichen Ermessen und nach eigenen gesetzlichen Vorgaben ausüben. Ein AVV wäre hier nicht nur überflüssig, sondern sachlich falsch.

Der dritte Fall ist die gemeinsame Verantwortlichkeit nach Art. 26 DSGVO. Sie liegt vor, wenn zwei Stellen Zwecke und Mittel gemeinsam festlegen. Dann ist kein AVV zu schließen, sondern eine Vereinbarung über die jeweiligen Pflichten, insbesondere darüber, wer die Betroffenenrechte erfüllt und wer die betroffenen Personen informiert.

Diese Einordnung folgt der tatsächlichen Rolle, nicht der Bezeichnung im Vertrag. Art. 28 Abs. 10 DSGVO stellt ausdrücklich klar: Wer über Zweck und Mittel selbst entscheidet, gilt insoweit als Verantwortlicher — auch wenn auf dem Papier „Auftragsverarbeitung" steht. Ob eine konkrete Konstellation in die eine oder andere Kategorie fällt, ist im Zweifel juristisch zu klären.

Was Art. 28 Abs. 3 zwingend verlangt#

Der Vertrag muss zunächst den Rahmen der Verarbeitung festhalten: Gegenstand, Dauer, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Diese Angaben sind kein Beiwerk — sie begrenzen, was der Dienstleister tun darf.

Dazu kommen acht Verpflichtungen des Auftragsverarbeiters, aufgezählt in lit. a bis h:

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Vertraulichkeitsverpflichtung aller befugten Personen
• Umsetzung der Sicherheitsmaßnahmen nach Art. 32 DSGVO
• Einhaltung der Bedingungen für Unterauftragsverarbeiter nach Abs. 2 und 4
• Unterstützung bei der Erfüllung von Betroffenenrechten
• Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzung
• Löschung oder Rückgabe aller Daten nach Ende der Leistung, nach Wahl des Verantwortlichen
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen

Zwei Punkte werden regelmäßig überlesen. Erstens muss der Auftragsverarbeiter den Verantwortlichen informieren, wenn eine Weisung seiner Ansicht nach gegen Datenschutzrecht verstößt. Zweitens dürfen Unterauftragsverarbeiter nur mit vorheriger Genehmigung eingesetzt werden; bei einer allgemeinen Genehmigung ist über beabsichtigte Änderungen zu informieren, und dem Verantwortlichen steht ein Einspruch offen. Genau hier liegt der praktische Wert der Subunternehmerliste, die jeder ernsthafte Anbieter veröffentlicht.

Wie der Vertrag in der Praxis zustande kommt#

Bei Standarddiensten wird der AVV fast nie verhandelt. Der Anbieter stellt ein vorformuliertes Dokument bereit, das im Kundenkonto per Klick angenommen oder als elektronisch signiertes Dokument bereitgestellt wird. Das ist zulässig: Art. 28 Abs. 9 DSGVO lässt die elektronische Form ausdrücklich zu.

Der Fehler liegt selten in der Form, sondern im Unterlassen. Ein AVV gilt nicht automatisch mit dem Vertragsschluss, sondern muss aktiv abgeschlossen werden — bei vielen Anbietern liegt er in den Kontoeinstellungen und wartet dort auf eine Bestätigung, die niemand vornimmt. Wer die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO erfüllen will, braucht den Nachweis, dass und wann der Abschluss erfolgt ist.

Sinnvoll ist eine schlichte Übersicht: für jeden Dienst mit Datenzugriff eine Zeile mit Anbieter, Zweck, Status des AVV und Verarbeitungsort. Diese Liste deckt sich weitgehend mit dem Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und lässt sich in einem Zug pflegen. Welche externen Dienste eine Seite überhaupt anspricht, lässt sich vorab technisch ermitteln, etwa mit dem Datenschutz-Check — häufig stehen dort Anbieter, an die im Vertragsordner niemand gedacht hat.

Drittlandübermittlung ist eine zweite Prüfung#

Ein wirksamer AVV macht eine Übermittlung in ein Land außerhalb des EWR nicht zulässig. Kapitel V der DSGVO stellt dafür eine eigene Anforderung auf, die zusätzlich erfüllt sein muss.

Drei Grundlagen kommen in Betracht: ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45, geeignete Garantien nach Art. 46 — in der Praxis meist die Standardvertragsklauseln — oder die engen Ausnahmen des Art. 49. Für die USA besteht ein Angemessenheitsbeschluss, der allerdings nur für Organisationen gilt, die unter dem EU-US Data Privacy Framework zertifiziert sind; die Zertifizierung ist im öffentlichen Register nachprüfbar und kann enden. Dass Angemessenheitsbeschlüsse für die USA in der Vergangenheit vom EuGH aufgehoben wurden, gehört zur Risikobetrachtung dazu.

Bei Standardvertragsklauseln kommt eine Prüfung der Rechtslage im Empfängerland hinzu, ergänzt um zusätzliche Maßnahmen, wenn diese Lage das Schutzniveau untergräbt. Wie sich das auf einen konkreten Dienst auswirkt, zeigt sich am Beispiel der Reichweitenmessung im Beitrag zu Google Analytics und Datenschutz. Verstöße gegen Art. 28 sind nach Art. 83 Abs. 4 lit. a DSGVO bußgeldbewehrt; die Bewertung eines Einzelfalls bleibt eine juristische Frage.