Auftragsverarbeitungsvertrag (AVV)
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch einen externen Dienstleister im Auftrag eines Unternehmens. Der Vertrag legt unter anderem Zweck, Dauer, Datenarten, Weisungsrechte, Sicherheitsmaßnahmen und Löschpflichten fest. Ein solcher AVV ist insbesondere erforderlich, wenn der Dienstleister keinen eigenen Verarbeitungszweck bestimmt.
Ein Auftragsverarbeitungsvertrag schafft die rechtliche und organisatorische Grundlage dafür, dass ein Dienstleister personenbezogene Daten nach den dokumentierten Weisungen seines Auftraggebers verarbeitet. Die Anforderungen ergeben sich vor allem aus Artikel 28 der Datenschutz-Grundverordnung.
Wann ist ein AVV erforderlich?
Ein AVV ist erforderlich, wenn ein Unternehmen personenbezogene Daten an einen Dienstleister übermittelt oder diesem einen Zugriff ermöglicht und der Dienstleister die Daten ausschließlich für die Zwecke des Unternehmens verarbeitet. Entscheidend ist die tatsächliche Aufgabenverteilung, nicht die Bezeichnung des Vertrags oder der Dienstleistung.
Typische Fälle der Auftragsverarbeitung sind Hosting, Cloud-Speicher, Newsletter-Versand, externe Lohnabrechnung, Kundensupport und die technische Wartung von Systemen. Auch eine Agentur kann Auftragsverarbeiter sein, wenn sie Zugriff auf personenbezogene Analyse-, Kunden-, Lead- oder Kampagnendaten erhält.
Kein AVV ist allein deshalb notwendig, weil zwei Unternehmen miteinander arbeiten. Erforderlich ist ein Bezug zu personenbezogenen Daten. Eine reine Strategieberatung anhand anonymisierter Daten oder öffentlich zugänglicher Informationen stellt regelmäßig keine Auftragsverarbeitung dar.
Welche Inhalte gehören in den Vertrag?
Ein Auftragsverarbeitungsvertrag muss die Verarbeitung so konkret beschreiben, dass Aufgaben, Grenzen und Verantwortlichkeiten nachvollziehbar sind. Allgemeine Formulierungen ohne Bezug zur tatsächlichen Leistung reichen für eine belastbare Dokumentation meist nicht aus.
Wer trägt welche Verantwortung?
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er entscheidet über Zweck und wesentliche Mittel, erteilt dokumentierte Weisungen und muss den Dienstleister sorgfältig auswählen sowie angemessen kontrollieren. Der Abschluss eines Vertrags überträgt diese Verantwortung nicht vollständig auf den Auftragsverarbeiter.
Der Auftragsverarbeiter darf personenbezogene Daten grundsätzlich nur nach dokumentierter Weisung verarbeiten. Er muss unter anderem Vertraulichkeit sicherstellen, geeignete Schutzmaßnahmen umsetzen und den Auftraggeber bei Betroffenenanfragen, Sicherheitsvorfällen sowie weiteren Datenschutzpflichten unterstützen.
| Rolle | Typische Aufgabe | Beispiel im Marketing |
|---|---|---|
| Verantwortlicher | Bestimmt Zweck und wesentliche Mittel der Verarbeitung | Ein Unternehmen legt fest, welche Lead-Daten für Kampagnen genutzt werden |
| Auftragsverarbeiter | Verarbeitet Daten nach dokumentierter Weisung | Eine Agentur wertet die vorgegebenen Lead-Daten für das Kampagnenreporting aus |
| Unterauftragsverarbeiter | Erbringt einen Teil der Verarbeitung für den beauftragten Dienstleister | Ein Hosting- oder Cloud-Anbieter speichert Kampagnen- und Analysedaten |
AVV bei SEO, SEA und GEO
Bei SEO können personenbezogene Daten in Analyseplattformen, Serverprotokollen, Kontaktformularen, Nutzerkonten oder Projektmanagementsystemen vorkommen. Eine SEO-Zusammenarbeit mit klar definiertem Leistungsumfang sollte deshalb vor Projektbeginn klären, auf welche Systeme die Agentur zugreift und in welcher Rolle sie dabei handelt.
Bei SEA betrifft die Prüfung häufig Werbekonten, Conversion-Tracking, Zielgruppenlisten, CRM-Importe und Formulardaten. Auch wenn der Kunde Inhaber des Werbekontos bleibt, kann ein AVV notwendig sein, sobald die betreuende Agentur personenbezogene Daten nach seinen Vorgaben verarbeitet. Der Zugriff sollte deshalb in den vertraglichen Rahmen der Google-Ads-Betreuung einbezogen werden.
Bei GEO, der Generative Engine Optimization, ist die Datenart maßgeblich. Die Analyse öffentlich zugänglicher KI-Antworten oder Markenerwähnungen enthält meist keine Kundendaten. Werden dagegen Nutzeranfragen, CRM-Informationen oder personenbezogene Supportdaten in ein KI-System übertragen, müssen Rechtsgrundlage, Dienstleisterrolle, Vertragskette und Datenübermittlung gesondert geprüft werden.
Abgrenzung zu ähnlichen Vereinbarungen
Der Unterschied zwischen einem AVV und einer Vertraulichkeitsvereinbarung liegt im Regelungszweck. Eine Vertraulichkeitsvereinbarung schützt vertrauliche Informationen allgemein. Ein AVV regelt gezielt die weisungsgebundene Verarbeitung personenbezogener Daten und enthält dafür gesetzlich vorgegebene Mindestinhalte.
Der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit liegt in der Entscheidungsbefugnis. Bestimmen mehrere Parteien Zweck und wesentliche Mittel einer Verarbeitung gemeinsam, liegt regelmäßig keine reine Auftragsverarbeitung vor. In diesem Fall kann eine Vereinbarung über die gemeinsame Verantwortlichkeit erforderlich sein.
Ein Dienstleister kann außerdem für einzelne Vorgänge selbst verantwortlich und für andere Vorgänge Auftragsverarbeiter sein. Eine Agentur verarbeitet beispielsweise Ansprechpartnerdaten für ihre eigene Vertragsabrechnung in eigener Verantwortung, während sie Lead-Daten des Kunden ausschließlich nach dessen Weisung auswertet.
Prüfung vor der Zusammenarbeit
Vor Beginn der Verarbeitung sollte der Auftraggeber prüfen, welche Daten der Dienstleister erhält, wo sie verarbeitet werden und welche Unterauftragnehmer beteiligt sind. Bei Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums sind zusätzlich die Voraussetzungen für den jeweiligen Drittlandtransfer zu bewerten.
Häufige Fragen zum AVV
Wer muss den AVV bereitstellen?
Beide Vertragsparteien müssen sicherstellen, dass vor Beginn der Auftragsverarbeitung eine wirksame Vereinbarung besteht. In der Praxis stellt häufig der Dienstleister einen Vertragsentwurf bereit, weil er seine Systeme, Schutzmaßnahmen und Unterauftragnehmer am genauesten beschreiben kann.
Muss ein AVV handschriftlich unterschrieben werden?
Ein Auftragsverarbeitungsvertrag muss schriftlich geschlossen werden, wobei auch ein elektronisches Format zulässig ist. Ob eine gesonderte Unterschrift erforderlich ist, hängt vom gewählten Abschlussverfahren und der eindeutigen Zustimmung beider Parteien ab.
Braucht man mit einem Freelancer einen AVV?
Ein Freelancer benötigt einen AVV, wenn er personenbezogene Daten weisungsgebunden für den Auftraggeber verarbeitet. Die Unternehmensgröße oder Rechtsform des Dienstleisters ändert nichts an der Einordnung.
Ist für jeden externen Dienstleister ein AVV nötig?
Nein. Ein AVV ist nur erforderlich, wenn der Dienstleister personenbezogene Daten im Auftrag verarbeitet. Handelt er für eigene Zwecke oder erhält er keinen Zugriff auf solche Daten, kann eine andere rechtliche Einordnung gelten.
Wann muss der AVV abgeschlossen werden?
Der Vertrag sollte vor dem ersten Zugriff auf personenbezogene Daten wirksam abgeschlossen sein. Ein nachträglicher Abschluss dokumentiert die bereits erfolgte Verarbeitung nicht rückwirkend vollständig.
Wie oft muss ein AVV aktualisiert werden?
Ein AVV hat kein festes Ablaufdatum, sofern der Vertrag nichts anderes vorsieht. Er muss jedoch überprüft werden, wenn sich Leistungen, Datenarten, Schutzmaßnahmen, Verarbeitungsorte oder Unterauftragnehmer wesentlich ändern.
Was passiert, wenn kein AVV vorhanden ist?
Fehlt ein erforderlicher AVV, ist die Auftragsverarbeitung nicht ordnungsgemäß dokumentiert und es können aufsichtsrechtliche sowie vertragliche Risiken entstehen. Zusätzlich erschwert die fehlende Vereinbarung den Nachweis von Weisungen, Sicherheitsmaßnahmen und Verantwortlichkeiten.
Wenn du bei einer Agenturzusammenarbeit Datenzugriffe, Verantwortlichkeiten und Vertragsunterlagen vorab klären möchtest, kannst du die Ausgangslage unverbindlich besprechen.
Sie haben noch Fragen?
