Auftragsverarbeitung (AVV)

Kurz-Fakten

• Zwingend schriftlich oder in elektronischer Form, Art. 28 Abs. 3 DSGVO
• Unterauftragsverarbeiter dürfen nur mit Genehmigung des Verantwortlichen eingesetzt werden
• Der Auftragsverarbeiter darf nicht über Zweck und Mittel entscheiden – sonst ist er selbst Verantwortlicher
• Fehlt der Vertrag, ist bereits das Fehlen bußgeldbewehrt, nicht erst ein Datenabfluss

Bedeutung in der Praxis

Der häufigste Fehler ist nicht das Fehlen des Vertrags, sondern die unbemerkte Verlängerung der Kette. Eine Agentur verarbeitet Daten ihres Kunden im Auftrag und setzt dabei einen KI-Dienst ein. Damit ist dieser KI-Dienst Unterauftragsverarbeiter des Kunden – und der Kunde muss das wissen und zustimmen können.

Wer Anbieter vergleicht, sollte deshalb nicht fragen, ob ein Auftragsverarbeitungsvertrag angeboten wird, sondern ob die Unterauftragsverarbeiter namentlich benannt sind. Eine Formulierung wie „Anbieter innerhalb und außerhalb der EU“ ist keine Benennung, sondern das Gegenteil davon.

Verwandte Begriffe

• DSGVO Die Datenschutz-Grundverordnung ist eine EU-Verordnung, die seit dem 25. Mai 2018…
• Verantwortlicher Verantwortlicher ist nach Art. 4 Nr. 7 DSGVO die Stelle, die allein oder gemeinsam mit…
• Drittlandtransfer Ein Drittlandtransfer ist die Übermittlung personenbezogener Daten an einen Empfänger…
• TOM Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, mit denen ein…
• Verarbeitungsverzeichnis Das Verzeichnis von Verarbeitungstätigkeiten ist eine nach Art. 30 DSGVO vorgeschriebene…