Quelltext der Seite Auftragsverarbeitungsvertrag (AVV)

== Auftragsverarbeitungsvertrag (AVV) ==

Ein '''Auftragsverarbeitungsvertrag (AVV)''' ist ein schriftlicher Vertrag gemäß Art. 28 DSGVO zwischen einem '''Verantwortlichen''' (Auftraggeber) und einem '''Auftragsverarbeiter''' (Dienstleister), der die Verarbeitung personenbezogener Daten im Auftrag regelt. Er stellt sicher, dass der Verarbeiter die Daten ausschließlich nach Weisungen des Verantwortlichen bearbeitet und datenschutzrechtliche Vorgaben einhält.[1][2][3]

=== Definition und Zweck ===
Der AVV ist zwingend erforderlich, wenn personenbezogene Daten '''weisungsgebunden''' verarbeitet werden, z. B. durch Cloud-Dienste, Hosting-Anbieter oder externe Buchhaltung. Trotz Auslagerung bleibt der Verantwortliche für die DSGVO-Konformität haftbar und muss den Verarbeiter prüfen sowie kontrollieren. Der Vertrag schafft Rechtssicherheit und minimiert Bußgeldrisiken.[2][3][1]

=== Wann ist ein AVV erforderlich? ===
Ein AVV liegt vor, wenn der Dienstleister Daten nach Vorgaben des Auftraggebers erhebt, speichert oder löscht – typische Beispiele: SaaS-Tools, Callcenter, Serverwartung oder Marketingagenturen mit Kundendaten-Zugriff. Kein AVV bei eigenständigen Verantwortlichen wie Anwälten, Banken oder Postdiensten, da hier keine Weisungsbindung besteht.[4][1]

=== Pflichtinhalte nach Art. 28 DSGVO ===
Der AVV muss folgende '''Mindestinhalte''' enthalten:

{| class="wikitable"
! Inhalt !! Beschreibung
|-
| '''Gegenstand, Dauer, Art und Zweck''' || Beschreibung der Verarbeitung, Datenarten und betroffene Personen.[1][3]
|-
| '''Weisungsbindung''' || Verarbeitung nur nach dokumentierten Anweisungen des Verantwortlichen.[3]
|-
| '''Vertraulichkeit''' || Befugte Personen unterliegen Verschwiegenheitspflicht.[1]
|-
| '''Technische/organisatorische Maßnahmen (TOM)''' || Konkrete Sicherheitsmaßnahmen (z. B. Verschlüsselung, Audits).[3]
|-
| '''Unterauftragsverarbeiter''' || Genehmigung und Weitergabe von Regelungen an Subunternehmer.[2]
|-
| '''Unterstützungspflichten''' || Hilfe bei Betroffenenrechten, Datenvorfällen und Audits.[1]
|-
| '''Rückgabe/Löschung''' || Daten nach Vertragsende zurückgeben oder löschen.[1]
|-
| '''Nachweispflichten''' || Zugang zu Informationen für Prüfungen durch Verantwortlichen.[3]
|}

=== Praktische Hinweise ===
'''Prüfen Sie AVVs''' systematisch auf Vollständigkeit, z. B. via Anhänge zu TOMs und Subunternehmern, und aktualisieren Sie sie bei Änderungen. Muster sind online verfügbar, aber individuell anzupassen; bei Unsicherheiten Datenschutzbeauftragten konsultieren. Bei Drittlandübermittlungen zusätzliche Garantien wie Standardvertragsklauseln einplanen.[3][5][1]

Quellen
[1] Auftragsverarbeitungsvertrag: Definition, Inhalte & Muster https://keyed.de/blog/auftragsverarbeitungsvertrag/
[2] Der Auftragsverarbeitungs-vertrag (AVV) nach DSGVO https://www.dataguard.de/blog/der-auftragsverarbeitungsvertrag-avv/
[3] Auftragsverarbeitungsvertrag (AV-Vertrag) https://www.e-recht24.de/artikel/datenschutz/10580-auftragsdatenverarbeitung-adv-datenschutz.html
[4] Auftragsverarbeitungsvertrag nach DSGVO (AV-Vertrag) https://www.proliance.ai/blog/vertrage-zur-auftragsverarbeitung-av-vertrage
[5] Auftragsverarbeitungsvertrag (AV-Vertrag): Muster & Vorlage https://www.proliance.ai/ressourcen/datenschutz-muster/av-vertrag