Auftragsverarbeitung bezeichnet die Situation, in der ein Unternehmen (Verantwortlicher) personenbezogene Daten durch einen externen Dienstleister (Auftragsverarbeiter) verarbeiten lässt – nach dessen Weisung und für dessen Zwecke. Der Auftragsverarbeiter handelt nicht eigenständig, sondern ausschließlich im Auftrag und nach den Vorgaben des Verantwortlichen. Diese Konstellation ist in modernen Automatisierungsinfrastrukturen die Regel: Jedes SaaS-Tool, jede Cloud-Plattform, jeder Automatisierungsdienstleister ist potenziell ein Auftragsverarbeiter.
Nach DSGVO Art. 28 ist für jede Auftragsverarbeitung ein schriftlicher Auftragsverarbeitungsvertrag (AVV, englisch: Data Processing Agreement, DPA) zwingend erforderlich. Ohne AVV ist die Nutzung externer Dienstleister für die Verarbeitung personenbezogener Daten rechtswidrig – auch wenn das System technisch einwandfrei funktioniert. Die Verantwortung für DSGVO-Compliance liegt beim Verantwortlichen, nicht beim Auftragsverarbeiter.
Pflichtinhalte eines AVV nach DSGVO Art. 28
1 Gegenstand und Dauer der Verarbeitung – welche Daten werden wie lange verarbeitet?
2 Art und Zweck der Verarbeitung – welche Operationen werden mit welchem Ziel durchgeführt?
3 Art der personenbezogenen Daten und Kategorien betroffener Personen
4 Weisungsgebundenheit: Auftragsverarbeiter verarbeitet nur auf dokumentierte Weisung des Verantwortlichen
5 Technisch-organisatorische Maßnahmen (TOM): Konkrete Sicherheitsmaßnahmen des Auftragsverarbeiters beschrieben
6 Sub-Auftragsverarbeiter: Einwilligung für weitere Dienstleister und Liste aller Sub-Auftragsverarbeiter
7 Datenlöschung/-rückgabe: Was passiert mit den Daten nach Vertragsende?
8 Unterstützung bei Betroffenenrechten und bei Datenschutzverletzungen (Meldepflicht 72h)
Praxisbeispiel
Ein Automationsdienstleister führt eine AVV-Inventur aller genutzten externen Dienstleister durch. Ergebnis: 23 externe Tools und Dienste werden in Automatisierungsworkflows genutzt. Davon verarbeiten 17 personenbezogene Daten. AVV-Status: 9 von 17 haben keinen AVV – entweder vergessen oder nie angefragt. Maßnahmen: Für alle 9 fehlenden AVVs werden die Anbieter kontaktiert. Große SaaS-Anbieter (Salesforce, HubSpot, Google) bieten Standard-AVVs online an – in 20 Minuten abgeschlossen. 2 kleinere Anbieter haben keinen AVV-Prozess → Suche nach datenschutzkonformen Alternativen oder Risikoabwägung. 1 Anbieter in den USA ohne EU-Standardvertragsklauseln → Datenübermittlung für personenbezogene Daten gestoppt bis Lösung gefunden. Erkenntnis: AVV-Management ist keine Einmalaufgabe, sondern laufende Betriebspflicht.
