Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: Die Pflichtinhalte in der Praxis
Fast jedes Unternehmen setzt Dienstleister ein, die personenbezogene Daten verarbeiten – vom Hosting über das CRM bis zur Lohnabrechnung. Handelt der Dienstleister dabei weisungsgebunden im Auftrag, ist er Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen Vertrag mit bestimmten Mindestinhalten.
Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
- Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
- Vertraulichkeitsverpflichtung der eingesetzten Personen
- Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Regeln für Unterauftragsverarbeiter (Genehmigung, Information, gleiche Pflichten)
- Unterstützung bei Betroffenenrechten, Meldepflichten und Datenschutz-Folgenabschätzung
- Löschung oder Rückgabe der Daten nach Ende des Auftrags
- Nachweis- und Kontrollrechte, einschließlich Inspektionen
Abgrenzung: Nicht jeder Dienstleister ist Auftragsverarbeiter
Steuerberater, Rechtsanwälte oder Wirtschaftsprüfer handeln in der Regel eigenverantwortlich und sind keine Auftragsverarbeiter. Entscheiden zwei Unternehmen gemeinsam über Zwecke und Mittel, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor – dafür braucht es eine andere Vereinbarung.
Ein Onlinehändler lagert den Kundenservice an ein Callcenter aus, das Bestellungen und Reklamationen bearbeitet. Ein AV-Vertrag fehlt, das Callcenter setzt zudem einen Subunternehmer außerhalb der EU ein. Bei einer Prüfung droht ein Bußgeld. Richtig wäre: AV-Vertrag mit Liste der Unterauftragsverarbeiter, Zustimmungsvorbehalt für Änderungen und geeigneten Garantien für den Drittlandtransfer (z. B. Standardvertragsklauseln).
- Alle Dienstleister mit Datenzugriff erfassen (Verzeichnis der Verarbeitungstätigkeiten).
- Rolle klären: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsame Verantwortlichkeit?
- AV-Vertrag mit allen Pflichtinhalten und aktueller TOM-Anlage schließen.
- Unterauftragsverarbeiter und Drittlandtransfers prüfen.
- Verträge bei Änderungen der Leistung aktualisieren.
Passende Muster: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Vereinbarung über gemeinsame Verantwortlichkeit · Lebenslage: Datenschutz und Compliance
