Der Auftragsverarbeitungsvertrag (AVV) – international als Data Processing Agreement (DPA) bekannt – ist ein nach DSGVO Art. 28 zwingend vorgeschriebener schriftlicher Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter, der die Rahmenbedingungen für die Verarbeitung personenbezogener Daten im Auftrag regelt. Er stellt sicher, dass der externe Dienstleister die Daten nur nach Weisung des Auftraggebers, mit angemessenen Sicherheitsmaßnahmen und unter den Bedingungen der DSGVO verarbeitet.
Ohne AVV ist jede Weitergabe personenbezogener Daten an externe Dienstleister formal rechtswidrig – auch wenn der Dienstleister technisch zuverlässig ist. In Automatisierungsinfrastrukturen, die typischerweise Daten über viele externe SaaS-Tools, APIs und Cloud-Dienste leiten, ist das AVV-Management eine kritische Compliance-Aufgabe. Viele Unternehmen unterschätzen, wie viele Auftragsverarbeiter sie tatsächlich einsetzen.
Verantwortlicher vs. Auftragsverarbeiter
Verantwortlicher
- Bestimmt Zweck und Mittel der Verarbeitung
- Trägt datenschutzrechtliche Verantwortung
- Gibt Weisungen an Auftragsverarbeiter
- Schuldet DSGVO-Compliance gegenüber Betroffenen
- Beispiel: Ihr Unternehmen als Auftraggeber
Auftragsverarbeiter
- Verarbeitet Daten nur nach Weisung
- Keine eigene Entscheidungsfreiheit über Zweck
- Muss DSGVO-konforme Infrastruktur bereitstellen
- Haftet für eigene Compliance-Verstöße
- Beispiel: SaaS-Anbieter, Automationsdienstleister
Wann ist ein AVV erforderlich?
- Cloud-Dienste: AWS, Azure, Google Cloud – wenn personenbezogene Daten auf deren Infrastruktur gespeichert werden
- SaaS-Tools: CRM, ERP, Marketingtools, HR-Systeme – wenn Kundendaten oder Mitarbeiterdaten synchronisiert werden
- Automationsplattformen: Make, n8n, Zapier – wenn Workflows personenbezogene Daten verarbeiten oder weiterleiten
- IT-Dienstleister: Systemadministratoren, Support-Teams – wenn sie technischen Zugriff auf Systeme mit personenbezogenen Daten haben
- Nicht erforderlich: Wenn der Dienstleister die Daten für eigene Zwecke verarbeitet (dann liegt keine Auftragsverarbeitung, sondern eine eigenverantwortliche Verarbeitung vor)
Praxisbeispiel
Ein Automationsdienstleister baut einen Workflow, der eingehende Bewerbungen automatisch verarbeitet: E-Mail mit Anhang empfangen → Dokument in Google Drive speichern → Bewerber-Daten in HubSpot anlegen → Einladungsmail über Mailchimp versenden. AVV-Analyse: Google Drive (Verantwortlicher = Kunde, Auftragsverarbeiter = Google) → Googles Standard-AVV im Google Workspace Admin-Konto aktivieren. HubSpot (AV = Kunde) → HubSpot Data Processing Agreement abschließen. Mailchimp (AV = Kunde) → Mailchimp DPA abschließen. Der Automationsdienstleister selbst ist ebenfalls Auftragsverarbeiter → AVV zwischen Dienstleister und Kunde abschließen. 4 AVVs für einen einzigen Workflow. Ohne diese Verträge: DSGVO-Verstoß von Beginn an.
