Ein Softwareanbieter übernimmt die Lohnbuchhaltung. Ein Cloud-Dienstleister speichert Kundendaten auf europäischen Servern. Ein externes Callcenter bearbeitet Supportanfragen im Auftrag. In all diesen Konstellationen verarbeitet ein Dritter personenbezogene Daten, die Ihr Unternehmen verantwortet – und in all diesen Fällen schreibt die Datenschutz-Grundverordnung einen schriftlichen Auftragsverarbeitungsvertrag vor. Fehlt er oder ist er unvollständig, drohen Bußgelder, die sich nach Art. 83 DSGVO auf bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes belaufen können.
Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO zwingend vorgeschrieben, wenn ein Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Fehlt dieser Vertrag, handelt es sich bereits ohne jede inhaltliche Datenschutzverletzung um einen bußgeldbewehrten Verstoß. Für Geschäftsführer im Mittelstand bedeutet das: Nicht das Ob, sondern das Wie der Vertragsgestaltung entscheidet über das Risikoprofil.
Dieser Beitrag analysiert die Normbasis nach Art. 28 DSGVO, zeigt die kritischen Klauseln, erläutert typische Fehlerquellen in der Praxis und gibt eine strukturierte Handlungsempfehlung für die Vertragsgestaltung und laufende Pflege des AVV.
Art. 28 DSGVO: Die Normbasis des Auftragsverarbeitungsvertrags
Art. 28 DSGVO verpflichtet den Verantwortlichen, Datenverarbeitung durch Dritte ausschließlich auf Grundlage eines rechtsverbindlichen Vertrags zu delegieren. Die Norm richtet sich an den Verantwortlichen – das ist im Zweifel das Unternehmen, das den Dienstleister beauftragt – und nicht an den Auftragsverarbeiter allein. Dieser Unterschied ist für die Haftung entscheidend.
Der Vertrag muss nach Art. 28 Abs. 3 DSGVO einen enumerativen Mindestinhalt aufweisen: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Fehlen einzelne dieser Elemente, ist der AVV nicht nur unvollständig – er erfüllt die gesetzliche Anforderung nicht, was aufsichtsbehördlich als Verstoß gegen Art. 28 gewertet werden kann. Die Dokumentationspflicht ist dabei eigenständig bußgeldbewehrt, unabhängig davon, ob tatsächlich ein Datenschaden eingetreten ist.
In der Mandatspraxis sehen wir häufig, dass Unternehmen den vom Dienstleister mitgesandten Standardvertrag kommentarlos unterzeichnen. Das ist rechtlich zulässig, solange dieser Standardvertrag Art. 28 Abs. 3 vollständig abbildet. In der Praxis ist genau das jedoch selten der Fall: Dienstleister-eigene Formulare sind oft auf deren eigene Interessen zugeschnitten, kürzen Kontrollrechte des Verantwortlichen oder enthalten unpräzise Weisungsbindungen.
Rhetorisch gefragt: Haben Sie zuletzt geprüft, ob der AVV, den Ihr Cloud-Anbieter Ihnen 2021 zugeschickt hat, noch die aktuelle Verarbeitungswirklichkeit abbildet – oder ist Ihr Dienstleister seitdem in neue Subunternehmer-Konstellationen eingebunden?
Welche Pflichtinhalte muss ein rechtskonformer AVV enthalten?
Art. 28 Abs. 3 DSGVO definiert einen abschließenden Katalog von Mindestanforderungen. Ein rechtskonformer AVV ist ohne diese Elemente schlicht nicht vorhanden – ein lückenhaftes Dokument ersetzt ihn nicht.
Erstens: Weisungsgebundenheit. Der Auftragsverarbeiter darf personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen hin verarbeiten. Diese Klausel muss klar formuliert sein und den Prozess der Weisungserteilung (schriftlich, per E-Mail, in definierten Systemen) regeln. Vage Formulierungen wie „nach Abstimmung" genügen nicht.
Zweitens: Vertraulichkeit. Alle Personen, die zur Verarbeitung befugten Mitarbeitern des Auftragsverarbeiters angehören, müssen der Vertraulichkeit verpflichtet sein – entweder vertraglich oder berufsrechtlich. Der AVV muss diese Verpflichtung regeln oder auf konkrete Maßnahmen verweisen.
Drittens: Technisch-organisatorische Maßnahmen (TOM). Art. 28 Abs. 3 lit. c DSGVO verlangt, dass der Vertrag auf die nach Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen Bezug nimmt. In der Regel geschieht dies durch eine Anlage. Diese Anlage muss konkret und aktuell sein; pauschale Verweise auf „branchenübliche Standards" ohne inhaltliche Spezifizierung genügen den Anforderungen der Datenschutzaufsicht regelmäßig nicht.
Viertens: Unterstützungspflichten. Der Auftragsverarbeiter hat den Verantwortlichen bei der Erfüllung seiner DSGVO-Pflichten zu unterstützen – insbesondere bei Betroffenenanfragen nach Art. 15 ff. DSGVO, die grundsätzlich binnen eines Monats zu beantworten sind, sowie bei der Meldung von Datenpannen nach Art. 33/34 DSGVO, für die eine 72-Stunden-Frist gilt.
Fünftens: Subauftragsverarbeitung. Art. 28 Abs. 2 DSGVO verlangt, dass der Auftragsverarbeiter keine weiteren Auftragsverarbeiter (Subunternehmer) ohne vorherige schriftliche Genehmigung des Verantwortlichen hinzuzieht. Die Praxis kennt zwei Modelle: Einzelgenehmigung für jeden Subunternehmer oder allgemeine Vorabgenehmigung mit Informationspflicht und Widerspruchsrecht. Für mittelständische Verantwortliche empfiehlt sich das letztere Modell, sofern es ein echtes Widerspruchsrecht mit angemessener Frist enthält.
Sechstens: Rückgabe und Löschung. Nach Beendigung der Verarbeitung sind Daten zu löschen oder zurückzugeben. Der AVV muss regeln, welche Variante gilt, in welcher Frist und in welchem technischen Format.
Subauftragsverarbeitung: Das unterschätzte Risiko in Cloud-Umgebungen
Moderne Cloud-Architekturen sind keine Zweipersonenverhältnisse mehr. Ein SaaS-Anbieter, dem Sie CRM-Daten Ihrer Kunden anvertrauen, betreibt seine Infrastruktur möglicherweise auf Hyperscaler-Servern, nutzt Monitoring-Tools US-amerikanischer Anbieter und sendet Fehlerlogs an ein Analyse-Tool in der EU. Jeder dieser Drittanbieter ist ein potenzieller Subauftragsverarbeiter.
Die DSGVO verlangt, dass die Kette der Auftragsverarbeitungsverträge lückenlos ist. Art. 28 Abs. 4 DSGVO stellt klar: Dem Subauftragsverarbeiter müssen dieselben Datenschutzpflichten auferlegt werden wie dem primären Auftragsverarbeiter. Hält der Subauftragsverarbeiter seine Pflichten nicht ein, haftet der primäre Auftragsverarbeiter gegenüber dem Verantwortlichen – Ihre vertragliche Position wird damit zum kritischen Risikofaktor.
Nach unserer Erfahrung in der Mandatspraxis ist die Subauftragsverarbeiter-Liste der häufigste blinde Fleck im AVV-Management. Viele Unternehmen haben einmalig einen AVV abgeschlossen und seitdem nicht mehr geprüft, welche Subunternehmer der Dienstleister seitdem hinzugezogen hat. Bei US-Hyperscalern kommt die Frage nach dem Drittlandtransfer hinzu: Die Übermittlung in Drittstaaten ohne angemessenes Schutzniveau ist nur unter den Voraussetzungen des Art. 46 DSGVO zulässig – Standardvertragsklauseln (SCC) sind dabei das gebräuchlichste Instrument, aber kein Selbstläufer.
Aus der Mandatspraxis: Die Kanzlei beriet ein mittelständisches Logistikunternehmen aus der Transport- und Speditionsbranche, das seine Sendungsverfolgungsdaten über einen europäischen SaaS-Anbieter abwickelte. Bei der Vertragsprüfung stellte sich heraus, dass der Anbieter eine US-amerikanische Analyseplattform als Subauftragsverarbeiter eingesetzt hatte – ohne dass das Logistikunternehmen davon in Kenntnis gesetzt worden war. Ein AVV mit diesem Subunternehmer existierte nicht, die Standardvertragsklauseln für den Drittlandtransfer fehlten vollständig. Ausgangslage: Bußgeldrisiko und fehlende Rechtmäßigkeitsbasis für die Drittlandübermittlung. Vorgehen: Verhandlung eines ergänzenden AVV mit dem Hauptdienstleister, Aufnahme der SCC-basierten Drittlandklauseln, Überarbeitung der allgemeinen Genehmigung mit explizitem Widerspruchsrecht. Ergebnis: Vertragswerk rechtssicher neu aufgestellt, dokumentierte Erfüllung der Art. 28-Anforderungen.
Technisch-organisatorische Maßnahmen (TOM): Klausel oder Anlage?
Die TOM-Regelung ist der inhaltlich anspruchsvollste Teil jedes AVV. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau, wobei die Norm selbst keine abschließende Liste vorgibt. Für den AVV bedeutet dies: Die TOM müssen konkret genug sein, um im Streit- oder Prüfungsfall belegen zu können, dass der Verantwortliche die Auftragserteilung sorgfältig vorgeprüft hat.
Zwei strukturelle Optionen stehen zur Wahl. Erstens die Integration der TOM in den Vertragskörper selbst, was bei standardisierten Diensten funktionieren kann, aber bei häufig aktualisierten TOM zu Vertragsänderungsaufwand führt. Zweitens – und dies empfehlen wir in der Regel – die Auslagerung in eine eigenständige, nummerierte Anlage, die über ein Änderungsverfahren mit Ankündigungsfrist aktualisiert werden kann. Entscheidend ist, dass die Anlage einen inhaltlichen Mindestkatalog enthält: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungsgebot.
In einem Bußgeldverfahren vor einer deutschen Datenschutzaufsichtsbehörde ist die TOM-Anlage regelmäßig das erste angeforderte Dokument. Unternehmen, die hier nur generische Textbausteine ohne Bezug zur tatsächlichen Infrastruktur vorweisen können, setzen sich dem Vorwurf der unzureichenden Vorabprüfung (Art. 28 Abs. 1 DSGVO) aus.
Welches Schutzniveau „angemessen" ist, bestimmt sich nach den Faktoren des Art. 32 Abs. 1 DSGVO: Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. Bei der Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – etwa Gesundheitsdaten, biometrische Daten, Gewerkschaftszugehörigkeit – gilt ein erhöhter Maßstab.
Wer ist Auftragsverarbeiter – und wann liegt eine gemeinsame Verantwortlichkeit vor?
Die Abgrenzung zwischen Auftragsverarbeitung (Art. 28 DSGVO) und gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) ist in der Praxis keineswegs trivial – und die Einordnung hat erhebliche Konsequenzen. Beim Auftragsverarbeiter fehlt jede eigene Entscheidungsbefugnis über Zweck und Mittel der Verarbeitung; er handelt ausschließlich nach Weisung. Der gemeinsam Verantwortliche hingegen legt Zwecke und Mittel zumindest teilweise eigenständig fest.
Typische Grenzfälle: Ein Steuerberater, der Lohnbuchhaltungsdaten nicht nur verarbeitet, sondern selbst über die Systematik der Datenerfassung entscheidet, könnte als gemeinsam Verantwortlicher anzusehen sein – nicht als Auftragsverarbeiter. Ähnlich verhält es sich bei IT-Dienstleistern, die nicht nur technische Infrastruktur bereitstellen, sondern Sicherheitsrichtlinien eigenständig festlegen. Die Konsequenz einer Fehleinordnung: Ein unterzeichneter AVV für eine Konstellation, die eigentlich Art. 26 DSGVO erfordert, erfüllt weder die eine noch die andere Anforderung.
Nach unserer Erfahrung unterschätzen viele Geschäftsführer im Mittelstand die Relevanz dieser Abgrenzung. Die zuständigen Aufsichtsbehörden hingegen prüfen sie im Beschwerdefall sehr genau – insbesondere bei digitalen Plattformen und Marketingdienstleistern, bei denen Dateninteressen auf beiden Seiten bestehen.
Laufendes AVV-Management: Aktualisierung, Auditrechte und Beendigungsklauseln
Ein unterzeichneter AVV ist kein Abschluss, sondern ein Ausgangspunkt. Die tatsächliche Verarbeitungswirklichkeit verändert sich – neue Dienstleistungen kommen hinzu, Subauftragsverarbeiter wechseln, technische Architekturen werden aktualisiert. Ein AVV, der die heutige Realität nicht mehr abbildet, ist de facto wertlos – und ein Verstoßrisiko.
Auditrechte (Art. 28 Abs. 3 lit. h DSGVO) sind ein regelmäßig vernachlässigtes Instrument. Der Verantwortliche muss das Recht haben, Inspektionen und Audits beim Auftragsverarbeiter durchzuführen oder durchführen zu lassen. In der Praxis ersetzen Zertifizierungen (ISO 27001, SOC 2) und Prüfberichte oft Vor-Ort-Audits. Das ist zulässig, wenn der AVV explizit die Anerkennung von Zertifikaten als gleichwertiges Prüfmittel regelt – sonst besteht das Recht auf Vor-Ort-Inspektion ohne Einschränkung.
Beendigungsklauseln regeln, was mit personenbezogenen Daten nach Vertragsende passiert. Ohne klare Regelung entsteht eine rechtliche Grauzone: Hält der Dienstleister Ihre Kundendaten noch vor? In welchem Format? Für wie lange? Art. 28 Abs. 3 lit. g DSGVO verlangt, dass nach Wahl des Verantwortlichen gelöscht oder zurückgegeben wird. Diese Wahl muss vertraglich geregelt sein. Zudem empfiehlt sich eine Regelung zur Nachweispflicht: Der Auftragsverarbeiter soll die Löschung dokumentiert bestätigen.
Für ein strukturiertes AVV-Management empfehlen wir ein internes Register, das Dienstleister, AVV-Datum, letzte Überprüfung, aktuelle Subauftragsverarbeiter-Liste und Zertifizierungsstatus erfasst. Dieses Register unterstützt zugleich das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO – eine Pflicht, die für Unternehmen mit mehr als 250 Mitarbeitern generell gilt und für kleinere Unternehmen bei risikobehafteten Verarbeitungen.
Typische Gestaltungsfehler und ihre Konsequenzen im Mittelstand
In der Praxis begegnen uns wiederkehrende Fehlertypen, die das Risikoprofil eines Unternehmens erheblich erhöhen. Keiner davon ist unvermeidlich – aber alle erfordern aktives Handeln.
Fehler 1: Fehlender oder veralteter AVV bei etablierten Dienstleistern. Gerade bei langjährigen IT-Dienstleistern oder Rechenzentren wurde der AVV oft nie formalisiert oder basiert auf einer Vorlage aus der DSGVO-Einführungsphase 2018, die seitdem nicht aktualisiert wurde. Aufsichtsbehörden werten veraltete Verträge zunehmend kritisch, wenn sie aktuellen Verarbeitungsrealitäten erkennbar nicht entsprechen.
Fehler 2: Unzureichende Weisungsklauseln. Der AVV enthält zwar eine Weisungsgebundenheit, regelt aber nicht, wie Weisungen erteilt werden, wer dafür auf beiden Seiten zuständig ist und wie mit widersprüchlichen Instruktionen umgegangen wird. Im Fall einer Datenpanne kann dies die Frage aufwerfen, ob der Verantwortliche seiner Kontrollpflicht nach Art. 28 Abs. 1 DSGVO nachgekommen ist.
Fehler 3: TOM-Anlage als Textbaustein ohne Substanz. Pauschalformulierungen wie „angemessene technische Sicherheitsmaßnahmen werden gewährleistet" sind keine TOM-Beschreibung. Sie lassen keine inhaltliche Prüfung zu und schützen weder den Verantwortlichen noch den Auftragsverarbeiter im Streitfall.
Fehler 4: Keine Regelung für Datenpannen-Meldewege. Der AVV sollte einen klaren Prozess enthalten, wie der Auftragsverarbeiter Datenpannen an den Verantwortlichen meldet – mit Fristangabe, Inhalt der Meldung und Eskalationsweg. Denn die gesetzliche 72-Stunden-Meldepflicht nach Art. 33 DSGVO trifft den Verantwortlichen, der auf die Information des Auftragsverarbeiters angewiesen ist.
Fehler 5: Fehlende Drittlandregelung trotz US-Cloud-Einsatz. Wer Microsoft 365, Google Workspace oder Salesforce einsetzt, betreibt in aller Regel Drittlandübermittlungen. Ein AVV ohne Standardvertragsklauseln oder ohne Verweis auf ein Angemessenheitsbeschluss-Regime (soweit anwendbar) ist für diese Konstellation unvollständig.
Darf man aus diesen Fehlern schließen, dass ein einfacher AVV-Abschluss ausreicht? Keineswegs – die DSGVO kennt keine Gutgläubigkeitsvermutung bei strukturellen Compliance-Lücken.
Entscheidungsmatrix: Welche AVV-Variante für welche Konstellation?
Die Praxis kennt drei Grundkonstellationen für die AVV-Gestaltung:
Konstellation A – Standardisierter Dienst, geringes Verarbeitungsvolumen: Ein kleiner SaaS-Anbieter (z. B. Newsletter-Tool) bietet einen vorformulierten AVV an. Der Verantwortliche prüft, ob der Pflichtinhalt nach Art. 28 Abs. 3 DSGVO vollständig abgedeckt ist. Fehlen Elemente, fordert er Ergänzungen an oder ergänzt ein eigenes Addendum. Frist für das Ergänzungsbegehren: vor Beginn der Datenverarbeitung. Folge bei Unterlassen: eigenständiger Verstoß.
Konstellation B – Komplexe IT-Dienstleistung, hohes Verarbeitungsvolumen: Ein Rechenzentrum oder ein Managed-Service-Provider verarbeitet umfangreiche Kunden- und Mitarbeiterdaten. Hier empfiehlt sich ein individuell verhandelter AVV mit substanzieller TOM-Anlage, klaren Subauftragsverarbeiter-Genehmigungsverfahren und Auditrechten. Vertragsverhandlungen können mehrere Wochen in Anspruch nehmen; die Verarbeitungstätigkeit darf erst nach vollständiger Vertragsunterzeichnung aufgenommen werden.
Konstellation C – Drittlandübermittlung (insb. USA): Ein US-Cloud-Dienst verarbeitet personenbezogene Daten europäischer Kunden oder Mitarbeiter. Zusätzlich zum AVV sind Standardvertragsklauseln (SCC, Beschluss 2021/914) oder ein anderes Instrument nach Art. 46 DSGVO erforderlich. Für US-Anbieter, die dem EU-U.S. Data Privacy Framework (DPF, anerkannt seit Juli 2023) unterliegen, kann der Angemessenheitsbeschluss greifen – aber nur für zertifizierte Verarbeitungen innerhalb des DPF-Rahmens. Folge einer fehlenden Rechtsgrundlage: Drittlandübermittlung ist rechtswidrig, unabhängig vom AVV.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung Ihrer vorhandenen Vertragswerke, Ihrer Dienstleisterkette und der einschlägigen Verarbeitungskategorien. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Bußgeldrisiko und Haftungskonsequenzen für Geschäftsführer
Das Bußgeldregime der DSGVO ist für fehlende oder mangelhafte AVV unmittelbar einschlägig. Art. 83 Abs. 4 lit. a DSGVO erfasst Verstöße gegen Art. 28 DSGVO mit einem Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Verstöße gegen die allgemeinen Grundsätze nach Art. 5 DSGVO, die durch eine fehlerhafte Auftragsverarbeitung mittelbar ausgelöst werden, können den höheren Rahmen von 20 Millionen Euro oder 4 Prozent nach Art. 83 Abs. 5 DSGVO auslösen.
Für Geschäftsführer im Mittelstand kommt eine weitere Dimension hinzu: Die persönliche Haftung. Nach deutschem Gesellschaftsrecht kann eine Verletzung der datenschutzrechtlichen Sorgfaltspflichten – einschließlich des unterlassenen AVV-Abschlusses – als Pflichtverletzung nach § 43 GmbHG oder § 93 AktG gewertet werden, mit der Folge einer Innenhaftung gegenüber der Gesellschaft. Datenschutz-Compliance ist damit keine IT-Angelegenheit, sondern Leitungsverantwortung.
Europäische Aufsichtsbehörden haben in verschiedenen Fällen Bußgelder für fehlende oder mangelhafte AVV verhängt. Die deutschen Datenschutzaufsichtsbehörden, insbesondere die Landesdatenschutzbehörden in Bayern, Hamburg und Berlin, haben dabei auch mittelständische Unternehmen nicht verschont. Entscheidend für die Bußgeldbemessung ist neben der Schwere des Verstoßes auch, ob das Unternehmen proaktive Compliance-Maßnahmen nachweisen kann.
Nach unserer Erfahrung ist die Bereitschaft der Aufsichtsbehörden zur kooperativen Lösung erheblich höher, wenn ein Unternehmen den Verstoß selbst identifiziert, dokumentiert und korrigierende Maßnahmen eingeleitet hat – bevor eine Beschwerde eingereicht wird. Präventive AVV-Audits sind daher keine Formalität, sondern ein aktives Risikominimierungsinstrument.
Die vorstehende Darstellung betrifft die allgemeine Rechtslage. Zur Klärung, wie Art. 28 DSGVO auf Ihre spezifische Dienstleisterkette und Ihr Bußgeldrisiko wirkt, wenden Sie sich an info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zum Auftragsverarbeitungsvertrag (AVV)
Wann muss ein Auftragsverarbeitungsvertrag abgeschlossen werden?
Ein AVV ist nach Art. 28 DSGVO immer dann erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet und dabei selbst keine eigenverantwortlichen Entscheidungen über Zweck und Mittel der Verarbeitung trifft. Der Vertragsabschluss muss vor Beginn der Datenverarbeitung erfolgen – nicht erst, wenn ein Datenschutzvorfall eintritt. Typische Anwendungsfälle sind Cloud-Dienste, externe IT-Dienstleister, Lohnbuchhaltungssoftware, Callcenter und Marketingdienstleister. Ein fehlender AVV ist bereits ohne jede inhaltliche Datenpanne ein eigenständiger, bußgeldbewehrter Verstoß gegen die DSGVO.
Was sind die Pflichtinhalte eines AVV nach Art. 28 DSGVO?
Art. 28 Abs. 3 DSGVO definiert einen Mindestinhalt: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien betroffener Personen, Weisungsgebundenheit, Vertraulichkeitspflichten, technisch-organisatorische Maßnahmen (TOM), Regelungen zur Subauftragsverarbeitung, Unterstützungspflichten bei Betroffenenanfragen und Datenpannen sowie Regelungen zu Rückgabe und Löschung nach Vertragsende. Fehlt auch nur eines dieser Elemente, erfüllt der Vertrag die gesetzliche Anforderung nicht. In der Praxis empfiehlt sich eine TOM-Anlage, die die konkreten Sicherheitsmaßnahmen des Auftragsverarbeiters ausführlich beschreibt.
Darf ich den AVV-Entwurf meines Dienstleisters einfach unterzeichnen?
Rechtlich ist das zulässig, wenn der Entwurf Art. 28 Abs. 3 DSGVO vollständig abbildet. In der Praxis sind Dienstleister-eigene Formulare jedoch häufig zugunsten des Dienstleisters gestaltet: Auditrechte sind eingeschränkt, Weisungsklauseln sind unscharf, TOM-Anlagen sind pauschal. Als Verantwortlicher tragen Sie die Darlegungs- und Beweislast dafür, dass Sie den Auftragsverarbeiter sorgfältig ausgewählt und kontrolliert haben (Art. 28 Abs. 1 DSGVO). Eine inhaltliche Prüfung – und gegebenenfalls Verhandlung – des Dienstleister-Entwurfs ist daher nicht nur empfehlenswert, sondern Teil Ihrer gesetzlichen Sorgfaltspflicht.
Welche Bußgelder drohen bei fehlendem oder mangelhaftem AVV?
Verstöße gegen Art. 28 DSGVO fallen in den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Werden durch die fehlerhafte Auftragsverarbeitung zugleich Grundprinzipien der DSGVO verletzt, kann der höhere Rahmen nach Art. 83 Abs. 5 DSGVO (bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes) greifen. Für Geschäftsführer besteht zudem das Risiko einer persönlichen Innenhaftung gegenüber der Gesellschaft nach den allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten.
Wie oft sollte ein bestehender AVV überprüft werden?
Eine starre Überprüfungsperiodik schreibt die DSGVO nicht vor; der Maßstab ist die laufende Eignung des Vertrags zur Abbildung der tatsächlichen Verarbeitungswirklichkeit. Praktisch empfiehlt sich eine anlassbezogene Prüfung bei: Hinzunahme neuer Dienstleistungsmodule, Wechsel oder Erweiterung der Subauftragsverarbeiter-Liste, Änderung der Datenarten oder Verarbeitungszwecke, technischen Architekturänderungen beim Dienstleister sowie nach relevanten aufsichtsbehördlichen Entscheidungen oder Gesetzesänderungen. Als Grundregel gilt: mindestens alle zwei Jahre eine strukturierte Durchsicht, ergänzt durch eine jährliche Subauftragsverarbeiter-Kontrolle.
Was gilt bei Drittlandübermittlungen über den Auftragsverarbeiter?
Verarbeitet Ihr Auftragsverarbeiter – oder dessen Subunternehmer – personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums (EWR), bedarf es neben dem AVV einer zusätzlichen Rechtsgrundlage nach Art. 46 DSGVO. Das gebräuchlichste Instrument sind die Standardvertragsklauseln (SCC, Beschluss 2021/914 der EU-Kommission). Für zertifizierte US-Anbieter unter dem EU-U.S. Data Privacy Framework kann ein Angemessenheitsbeschluss greifen – die Zertifizierung des Anbieters ist jedoch vorab im DPF-Register zu verifizieren. Ein AVV allein reicht für Drittlandübermittlungen nicht aus; fehlende Transfermechanismen begründen eigenständige Bußgeldrisiken.
Wann liegt gemeinsame Verantwortlichkeit statt Auftragsverarbeitung vor?
Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO liegt vor, wenn zwei oder mehr Stellen gemeinsam über Zweck und Mittel der Verarbeitung entscheiden – also wenn der Dienstleister nicht nur nach Weisung handelt, sondern eigene datenschutzrelevante Entscheidungen trifft. Ein AVV ist in diesem Fall das falsche Instrument; erforderlich ist eine Vereinbarung nach Art. 26 DSGVO. Die Fehleinordnung ist ein eigenständiger Verstoß. Grenzfälle bestehen insbesondere bei Steuerberatern mit eigenen Systementscheidungen, Marketingplattformen mit eigenständiger Profilbildung und IT-Dienstleistern mit eigenverantwortlicher Sicherheitsarchitektur.
Muss der AVV schriftlich abgeschlossen werden?
Art. 28 Abs. 9 DSGVO verlangt, dass der AVV in einem elektronischen Format vorliegen kann – die klassische Papierform ist nicht zwingend, wohl aber eine dauerhafte, reproduzierbare Dokumentation. In der Praxis sind elektronisch unterzeichnete PDF-Verträge oder vertraglich eingebundene Online-DPA-Formulare (wie sie viele SaaS-Anbieter bereitstellen) ausreichend, sofern der Inhalt den Anforderungen des Art. 28 Abs. 3 DSGVO entspricht. Ein mündlich vereinbarter AVV ist hingegen nicht ausreichend; für Nachweiszwecke gegenüber der Aufsichtsbehörde empfiehlt sich stets eine archivierbare schriftliche oder elektronische Form.
Die vorstehende Darstellung betrifft die Regelfälle des AVV-Rechts nach Art. 28 DSGVO. Ihr konkreter Fall erfordert die Prüfung Ihrer bestehenden Vertragswerke, Ihrer Subauftragsverarbeiter-Kette und der einschlägigen Verarbeitungskategorien. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.