Was ist Auftragsverarbeitung?

Auftragsverarbeitung einfach erklärt

Die DSGVO fragt bei jeder Datenverarbeitung, wer das Sagen hat. Verantwortlich ist, wer über Zweck und Mittel entscheidet (Art. 4 Nr. 7). Auftragsverarbeiter ist eine Stelle, die Daten im Namen eines solchen Verantwortlichen bearbeitet und dabei seinen Weisungen folgt (Art. 4 Nr. 8). Die Datenschutzkonferenz (DSK), in der sich die deutschen Aufsichtsbehörden abstimmen, stellt vor allem darauf ab, wer den Zweck bestimmt. Technische Einzelheiten darf der Dienstleister selbst festlegen, ohne dadurch zum Verantwortlichen zu werden.

Rechtlich wird die Arbeit des Dienstleisters dem Auftraggeber zugerechnet. Der Dienstleister gilt nicht als außenstehender Dritter, sondern als verlängerter Arm des Unternehmens. Deshalb braucht die Weitergabe an ihn in der Regel keine eigene Rechtsgrundlage neben der, auf die sich das Unternehmen ohnehin stützt. Aus der Pflicht entlassen ist der Auftraggeber damit nicht: Er muss belegen können, dass auch die ausgelagerte Verarbeitung den Regeln entspricht.

Schon bei der Auswahl beginnt diese Pflicht. Beauftragen darf ein Unternehmen nur Dienstleister, die hinreichende Garantien für geeignete Schutzmaßnahmen bieten (Art. 28 Abs. 1). AVV ist die Kurzform für den Auftragsverarbeitungsvertrag. Die Verordnung verlangt die Schriftform, lässt dafür aber ein elektronisches Dokument genügen (Art. 28 Abs. 9). Übernimmt ein Dienstleister laufende Aufgaben wie Betrieb und Pflege der IT, also Managed Services, gehört der Vertrag zu den Grundlagen der Zusammenarbeit.

Auftragsverarbeitung oder eigene Verantwortung?

Nicht jeder externe Partner, der Daten zu sehen bekommt, ist ein Auftragsverarbeiter. Das Kurzpapier Nr. 13 der Datenschutzkonferenz nennt Beispiele für beide Seiten (Fassung vom 17. Dezember 2018, Stand der Prüfung: Oktober 2026).

In der Regel Auftragsverarbeitung:

• Verarbeitung im Cloud Computing, auch wenn der Anbieter dafür nicht auf die Inhalte zugreifen muss
• ausgelagerte E-Mail-Dienste und eine Datensicherung bei einem Dienstleister
• Entsorgung von Datenträgern oder eine zertifizierte Datenlöschung durch einen Dienstleister
• Fernwartung und externer Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann

In der Regel keine Auftragsverarbeitung:

• Berufsgeheimnisträger wie Steuerberatung, Anwaltskanzlei, Wirtschaftsprüfung oder externe Betriebsärzte, die eigenverantwortlich arbeiten
• Banken beim Geldtransfer und Postdienste beim Brieftransport
• reine Technikwartung ohne Datenbezug, etwa an Stromversorgung, Kühlung oder Heizung

Wer eigenverantwortlich handelt, braucht keinen AVV. Für die Übermittlung an ihn muss das Unternehmen aber eine eigene Rechtsgrundlage nach Art. 6 DSGVO haben. Entscheiden mehrere Unternehmen gemeinsam über Zweck und Mittel, spricht die Verordnung von gemeinsamer Verantwortung (Art. 26), die eigene Regeln hat.

Was ein AVV regeln muss

Welche Punkte mindestens hineingehören, zählt Art. 28 Abs. 3 DSGVO auf. Der Vertrag beschreibt, was verarbeitet wird, wie lange, auf welche Weise und wozu, welche Arten von Daten betroffen sind und um welche Personengruppen es geht. Dazu kommen die Bindung an dokumentierte Weisungen, die Verschwiegenheit der eingesetzten Personen, die Schutzmaßnahmen nach Art. 32 und die Löschung oder Rückgabe der Daten am Ende. Die Datenschutzkonferenz rät, die mindestens erforderlichen technischen und organisatorischen Maßnahmen im Vertrag konkret darzustellen.

Besondere Aufmerksamkeit verdienen weitere Dienstleister in der Kette. Ein Auftragsverarbeiter darf andere nur mit vorheriger Genehmigung einschalten (Art. 28 Abs. 2). Bei einer allgemeinen Genehmigung muss er geplante Änderungen ankündigen, und Sie können widersprechen. Den Unterauftragnehmern sind dieselben Pflichten aufzuerlegen; erfüllen sie diese nicht, haftet Ihnen gegenüber der erste Auftragsverarbeiter (Art. 28 Abs. 4).

Zwei weitere Regeln sind im Alltag wichtig. Bemerkt der Dienstleister eine Datenpanne, muss er Sie unverzüglich informieren (Art. 33 Abs. 2). Nutzt er die Daten für eigene Zwecke, gilt er insoweit selbst als Verantwortlicher (Art. 28 Abs. 10). Für den Vertragstext gibt es zwei Wege: einen individuell ausgehandelten Vertrag oder die Standardvertragsklauseln, die die EU-Kommission im Juni 2021 auf Grundlage von Art. 28 Abs. 7 beschlossen hat.

Welche Vertragspunkte Sie bei der Wahl eines IT-Partners außerdem prüfen sollten, zeigt unsere Checkliste, mit der Sie einen IT-Dienstleister finden. Dieser Text ist keine Rechtsberatung; Einzelfragen gehören in die Hände Ihres betrieblichen Datenschutzes oder Ihrer Rechtsberatung.

Wer braucht einen AVV? Eine Hausverwaltung sortiert ihre Partner

Angenommen, eine Hausverwaltung mit acht Beschäftigten stellt alle externen Partner zusammen, die mit Mieter- und Eigentümerdaten in Berührung kommen. Die Liste ergibt ein gemischtes Bild:

• Die IT-Betreuung greift per Fernwartung auf den Server mit den Mieterakten zu. Das ist Auftragsverarbeitung.
• Der Anbieter der Cloud-Telefonanlage speichert Anruflisten und Mailbox-Nachrichten. In der Regel braucht es auch hier einen AVV.
• Ein Fachbetrieb vernichtet ausgemusterte Festplatten. Das ist ebenfalls Auftragsverarbeitung.
• Das Steuerbüro erstellt die Lohnabrechnung eigenverantwortlich. Ein AVV ist dafür in der Regel nicht nötig, wohl aber eine Rechtsgrundlage für die Weitergabe.
• Die Firma, die die Klimaanlage im Serverraum wartet, berührt keine Daten. Sie fällt nicht unter Art. 28.

Zwei Verträge fehlen, und der AVV des Telefonieanbieters nennt ein Rechenzentrum als Unterauftragnehmer, das bisher niemand kannte. Die Hausverwaltung fordert die fehlenden Verträge an und legt die Liste der Unterauftragnehmer zu ihren Unterlagen. Künftig gehört die Frage nach dem AVV zu jeder neuen Beauftragung.

Wie ProNet unterstützt

Bei unserem IT-Service für Unternehmen arbeiten wir mit Zugang zu Ihren Systemen – vor Ort und per Fernwartung nach Ihrer Freigabe. Wo wir dabei mit personenbezogenen Daten in Berührung kommen können, schließen wir mit Ihnen einen Vertrag zur Auftragsverarbeitung, sofern er erforderlich ist. Welche externen Partner heute Zugriff auf Ihre IT haben, kann ein IT-Sicherheitscheck sichtbar machen, in dem wir unter anderem die Fernzugänge durchgehen. Die rechtliche Prüfung einzelner Verträge übernimmt Ihre Rechtsberatung.