Auftragsverarbeitungsvertrag: Pflicht bei externen Dienstleistern

##Wann ein AVV nötig ist

Geben Sie personenbezogene Daten an einen Dienstleister weiter, der sie in Ihrem Auftrag verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag. Ohne schriftlichen AVV riskieren Sie ein Bußgeld und haften zudem für fremdes Fehlverhalten des Dienstleisters.

##Mindestinhalte nach Art. 28 DSGVO

• ›Gegenstand und Dauer der Verarbeitung.
• ›Art der Daten und betroffenen Personen.
• ›Pflichten und Rechte des Verantwortlichen.
• ›Technische und organisatorische Maßnahmen.

Der Dienstleister bleibt an Ihre Weisungen gebunden und darf Daten nicht für eigene Zwecke nutzen. Sub-Auftragsverhältnisse müssen vertraglich abgesichert sein, damit die Kontrolle über die Verarbeitung jederzeit bei Ihnen bleibt.

##Typische Fälle

Newsletter-Tools, Cloud-Speicher, externe Lohnbuchhaltung und Hosting-Anbieter fallen in der Regel unter die Auftragsverarbeitung. Bei Zweifeln entscheidet die Kontrollmöglichkeit über die Daten, wer als Auftragsverarbeiter gilt.

##Wie Sie vorgehen

Erstellen Sie ein Verzeichnis aller Auftragsverarbeiter und gleichen Sie bestehende Verträge mit dem aktuellen Rechtsstand ab. Veraltete Muster reichen oft nicht mehr aus und sollten zeitnah ersetzt werden, um Lücken zu vermeiden.

Achten Sie zudem auf die Haftungsklauseln und die Pflicht zur Meldung von Datenschutzvorfällen. Ein klarer Prozess für Incident Response schützt beide Vertragspartner im Ernstfall spürbar.

Lassen Sie bestehende Verträge regelmäßig prüfen und bei Anbieterwechsel aktualisieren.