DSGVO: Auftragsverarbeitungsverträge (AVV) richtig erstellen

Als Selbstständiger, Freelancer oder Solo-Unternehmer jonglieren Sie täglich mit zahlreichen Aufgaben, um Ihr Geschäft voranzutreiben. Doch inmitten des operativen Betriebs geraten wichtige rechtliche Pflichten leicht in den Hintergrund, insbesondere im Bereich des Datenschutzes. Eine der häufigsten Stolperfallen ist der korrekte Umgang mit Auftragsverarbeitungsverträgen (AVV). Diese Verträge sind gemäß Artikel 28 der Datenschutz-Grundverordnung (DSGVO) unerlässlich, sobald Sie personenbezogene Daten durch externe Dienstleister verarbeiten lassen. Ein fehlender oder mangelhafter AVV birgt erhebliche Risiken, von hohen Bußgeldern bis hin zu Reputationsschäden. Dieser Leitfaden des Wachstumsreports zeigt Ihnen praxisnah, wie Sie AVVs richtig erstellen, prüfen und somit Ihre Compliance sicherstellen.

Was ist ein AVV und wann ist er zwingend erforderlich?

Ein Auftragsverarbeitungsvertrag regelt die Details der Datenverarbeitung durch einen Dienstleister, der in Ihrem Auftrag und nach Ihren Weisungen personenbezogene Daten verarbeitet. Sie bleiben als Auftraggeber der datenschutzrechtlich Verantwortliche, während der Dienstleister als Auftragsverarbeiter agiert. Gemäß Art. 28 Abs. 1 DSGVO ist der Abschluss eines schriftlichen AVV zwingend vorgeschrieben, wenn eine solche Konstellation vorliegt. Dies betrifft eine Vielzahl gängiger Services, die Sie im Arbeitsalltag nutzen.

Typische Beispiele für Dienstleister, mit denen ein AVV abzuschließen ist, sind:

• Cloud-Speicher-Anbieter (z.B. für Dokumente mit Kundendaten)
• Webhoster (wenn Ihre Website Kontaktformulare oder Nutzerdaten speichert)
• Newsletter-Dienstleister (für den Versand an Ihre E-Mail-Kontakte)
• CRM-Systeme (zur Verwaltung von Kundenbeziehungen und deren Daten)
• Online-Buchhaltungssoftware (die Kundendaten oder Mitarbeiterdaten verarbeitet)
• Externe IT-Support-Dienstleister (die Zugriff auf Ihre Systeme mit personenbezogenen Daten haben)
• Dienstleister für Zeiterfassung (wenn Mitarbeiterdaten erfasst werden)

Die Abgrenzung zur reinen Funktionsübertragung, bei der ein Dienstleister eigenverantwortlich agiert (z.B. ein Steuerberater für die Lohnbuchhaltung, der nicht nur nach Weisung handelt), ist wichtig. Im Zweifel sollten Sie immer von einer Auftragsverarbeitung ausgehen und einen AVV fordern oder anbieten. Die Nichtbeachtung dieser Pflicht ist kein Kavaliersdelikt; Aufsichtsbehörden wie die BayLDA oder der Hamburgische Beauftragte für Datenschutz ahnden solche Verstöße regelmäßig.

Die Pflichtinhalte eines AVV nach Art. 28 Abs. 3 DSGVO

Der Gesetzgeber hat in Art. 28 Abs. 3 DSGVO klar definiert, welche Punkte ein AVV mindestens regeln muss. Ein seriöser AVV enthält detaillierte Bestimmungen zu folgenden Aspekten:

• Gegenstand und Dauer der Verarbeitung: Eine präzise Beschreibung der Dienstleistung und des Zeitraums, für den Daten verarbeitet werden.
• Art und Zweck der Verarbeitung: Klare Definition der Tätigkeiten, die mit den Daten vorgenommen werden.
• Art der personenbezogenen Daten: Welche Datenkategorien genau betroffen sind (z.B. Name, Adresse, E-Mail, Finanzdaten).
• Kategorien betroffener Personen: Wer von der Datenverarbeitung betroffen ist (z.B. Kunden, Mitarbeiter, Website-Besucher).
• Pflichten und Rechte des Verantwortlichen: Festlegung, dass der Verantwortliche weisungsberechtigt ist und der Auftragsverarbeiter strikt den Weisungen folgt.
• Technische und organisatorische Maßnahmen (TOMs): Detaillierte Beschreibung der Sicherheitsmaßnahmen des Auftragsverarbeiters zum Schutz der Daten (z.B. Verschlüsselung, Zugangskontrollen). Oft als Anlage zum Vertrag.
• Unterstützungspflichten: Der Auftragsverarbeiter muss Sie bei der Einhaltung Ihrer Pflichten (z.B. bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen) unterstützen.
• Umgang mit Unterauftragsverarbeitern: Klare Regelungen zur Beauftragung weiterer Dienstleister (Sub-Unternehmer), einschließlich Genehmigungspflichten.
• Rechte auf Kontrolle und Audit: Ihr Recht, die Einhaltung der Pflichten durch den Auftragsverarbeiter zu überprüfen, gegebenenfalls durch Audits.
• Beendigung des Vertrags: Was mit den Daten nach Vertragsende geschieht (Löschung oder Rückgabe), und wie dies nachzuweisen ist.

Ein bloßer Verweis auf die DSGVO reicht nicht aus. Jeder dieser Punkte muss konkret und verständlich im Vertrag oder seinen Anlagen ausgearbeitet sein. Andernfalls riskieren Sie, dass der AVV als unwirksam eingestuft wird.

Praktische Anleitung: AVV erstellen und kritisch prüfen

Die meisten Dienstleister bieten eigene AVV-Muster an. Ihre Aufgabe ist es, diese nicht blind zu unterzeichnen, sondern kritisch zu prüfen und gegebenenfalls Nachbesserungen zu fordern. Insbesondere für kleine Unternehmen, die oft mit Standardverträgen konfrontiert sind, ist dies eine Herausforderung, aber unerlässlich.

Checkliste für die Prüfung eingehender AVVs

Sollte ein Dienstleister nicht bereit sein, die notwendigen Anpassungen an seinem AVV vorzunehmen, ist Vorsicht geboten. Dies kann ein Indiz für mangelndes Datenschutzverständnis oder die Unfähigkeit zur Einhaltung der DSGVO sein. In solchen Fällen sollten Sie über einen Wechsel des Anbieters nachdenken.

Konsequenzen bei mangelhafter Umsetzung

Ein fehlender oder unzureichender AVV kann für Sie als Verantwortlichen schwerwiegende Folgen haben. Gemäß Art. 83 Abs. 4 DSGVO können Verstöße gegen die Pflichten aus Art. 28, wie das Fehlen eines AVV oder die Nichteinhaltung seiner Formvorschriften, mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres belegt werden, je nachdem, welcher Betrag höher ist. Diese Bußgelder sind nicht nur theoretisch; Aufsichtsbehörden in Deutschland verhängen sie regelmäßig. So wurden im Jahr 2022 und 2023 mehrere Bußgelder im fünf- bis sechsstelligen Bereich wegen mangelhafter AVV-Praktiken verhängt. Neben den finanziellen Strafen drohen auch Reputationsschäden und Schadenersatzforderungen von Betroffenen, wenn durch den Dienstleister ein Datenleck entsteht und Sie Ihre Pflichten nicht nachweisen können.

Fazit: Vorausschauend handeln und Risiken minimieren

Die korrekte Erstellung und Prüfung von Auftragsverarbeitungsverträgen ist ein Grundpfeiler der DSGVO-Compliance und für Selbstständige und Solo-Unternehmer unerlässlich. Nehmen Sie sich die Zeit, die AVVs Ihrer Dienstleister genau unter die Lupe zu nehmen und fordern Sie bei Bedarf Nachbesserungen. Ein gut ausgearbeiteter AVV schützt Sie und Ihre Kunden und deren Daten vor Bußgeldern. Betrachten Sie den AVV nicht als lästige Pflicht, sondern als wichtiges Instrument zur Absicherung Ihres Geschäfts in einer zunehmend digitalisierten Welt. Bei Unsicherheiten kann die Konsultation eines Datenschutzexperten oder eines auf Datenschutzrecht spezialisierten Anwalts sinnvoll sein.