Auftragsverarbeitung · AVV · Art. 28 DSGVO · Österreich
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Ein Auftragsverarbeitungsvertrag – kurz AVV – ist erforderlich,
wenn ein Unternehmen personenbezogene Daten durch einen Auftragsverarbeiter
im eigenen Auftrag verarbeiten lässt.
Entscheidend ist dabei nicht die Bezeichnung des Dienstleisters,
sondern die tatsächliche Rollenverteilung.
Rechtsanwältin Dr. Nina Ollinger, LL.M. prüft und erstellt
Auftragsverarbeitungsverträge und ordnet komplexe Dienstleisterbeziehungen rechtlich ein.
Dr. Thomas Ollinger ergänzt als zertifizierter Datenschutzbeauftragter
und Unternehmensberater die praktische Prüfung von Datenflüssen,
Systemen und organisatorischer Umsetzung.
- Art. 28 DSGVO · AVV · Unterauftragsverarbeiter
- rechtliche Prüfung durch Dr. Nina Ollinger
- Datenfluss, Vertrag und Unternehmenspraxis gemeinsam betrachten
Kurzantwort
Wann braucht man einen Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag ist grundsätzlich erforderlich,
wenn ein Verantwortlicher einen externen Dienstleister einsetzt,
der personenbezogene Daten in seinem Auftrag
und nach seinen dokumentierten Weisungen verarbeitet.
Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag
oder einen anderen bindenden Rechtsakt.
Nicht jeder externe Anbieter ist automatisch Auftragsverarbeiter.
Entscheidet ein Dienstleister selbst über Zwecke und wesentliche Mittel
der Verarbeitung, kann er eigenständig Verantwortlicher sein.
Deshalb sollte die Rollenprüfung immer vor dem Abschluss eines AVV stehen.
Das Wichtigste in sechs Punkten
Auftragsverarbeitungsvertrag auf einen Blick
- Ein AVV ist nur dann passend, wenn tatsächlich Auftragsverarbeitung vorliegt.
- Der Vertrag muss die Mindestinhalte des Art. 28 Abs. 3 DSGVO abbilden.
- Der Auftragsverarbeiter darf grundsätzlich nur auf dokumentierte Weisung verarbeiten.
- Weitere Auftragsverarbeiter benötigen eine spezifische oder allgemeine schriftliche Genehmigung.
- Sicherheitsmaßnahmen, Unterstützungspflichten, Auditrechte und Vertragsende müssen geregelt sein.
- Ein AVV allein löst mögliche Drittlandtransfers nicht – diese müssen gesondert eingeordnet werden.
Art. 28 DSGVO
Wann liegt Auftragsverarbeitung vor?
Auftragsverarbeitung liegt typischerweise dann vor,
wenn ein externer Anbieter personenbezogene Daten
für einen Verantwortlichen verarbeitet
und hinsichtlich der Verarbeitung dessen Weisungen unterliegt.
Der Dienstleister unterstützt damit eine Verarbeitung,
deren Zweck im Wesentlichen vom Auftraggeber festgelegt wird.
Er darf die personenbezogenen Daten
nicht für eigene, davon unabhängige Zwecke verwenden.
Häufige Beispiele können Hosting,
externe IT-Betreuung, Cloud-Speicher,
Lohnverrechnung, Newsletter-Versand
oder bestimmte SaaS-Dienste sein.
Ob tatsächlich Auftragsverarbeitung vorliegt,
muss aber anhand der konkreten Leistung beurteilt werden.
Ein AVV ist kein Universalvertrag für externe Dienstleister.
Zuerst muss geklärt werden,
ob der Anbieter tatsächlich im Auftrag verarbeitet.
Rollenprüfung
Auftragsverarbeiter oder eigenständig Verantwortlicher?
Die Abgrenzung ist einer der wichtigsten Schritte
vor Abschluss eines Auftragsverarbeitungsvertrags.
Wer bestimmt den Zweck?
Entscheidet der Auftraggeber,
warum personenbezogene Daten verarbeitet werden,
spricht das für dessen Verantwortlichkeit.
Wer bestimmt wesentliche Mittel?
Entscheidet ein Anbieter eigenständig
über zentrale Elemente der Verarbeitung,
kann dies gegen eine reine Auftragsverarbeitung sprechen.
Gibt es dokumentierte Weisungen?
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten
grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen.
Bestehen eigene Zwecke?
Nutzt der Anbieter Daten für eigene,
unabhängig bestimmte Zwecke,
kann er für diese Verarbeitung selbst Verantwortlicher sein.
Bestimmt ein Auftragsverarbeiter entgegen der DSGVO selbst
Zwecke und Mittel einer Verarbeitung,
gilt er insoweit als Verantwortlicher.
Typische Dienstleister
Bei welchen Anbietern kommt ein AVV häufig vor?
Auftragsverarbeitung tritt besonders häufig
bei ausgelagerten technischen und administrativen Leistungen auf,
bei denen der Dienstleister personenbezogene Daten
für den Auftraggeber verarbeitet.
Die Branche oder Produktbezeichnung allein entscheidet jedoch nicht.
Ein Cloud-Anbieter kann bei einer Leistung Auftragsverarbeiter sein,
während er bei einer anderen Verarbeitung selbst verantwortlich handelt.
Deshalb sollten Leistung,
Datenfluss und tatsächliche Entscheidungsbefugnisse
immer gemeinsam betrachtet werden.
Mindestinhalte
Was muss ein Auftragsverarbeitungsvertrag enthalten?
Art. 28 Abs. 3 DSGVO enthält konkrete Mindestanforderungen.
Der Vertrag muss zunächst den Rahmen der Verarbeitung beschreiben
und anschließend die Pflichten des Auftragsverarbeiters festlegen.
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten
- Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen
- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeitsverpflichtung autorisierter Personen
- geeignete technische und organisatorische Maßnahmen
- Regelungen zu weiteren Auftragsverarbeitern
- Unterstützung bei Betroffenenrechten
- Unterstützung bei Sicherheit, Vorfällen und Datenschutz-Folgenabschätzung
- Löschung oder Rückgabe nach Vertragsende
- Nachweise, Überprüfungen und Audits
Weisungsbindung
Welche Bedeutung haben Weisungen im AVV?
Die Weisungsbindung ist ein zentrales Merkmal der Auftragsverarbeitung.
Der Verantwortliche bestimmt den Rahmen,
innerhalb dessen personenbezogene Daten verarbeitet werden.
Dokumentierte Weisung
Die Verarbeitung erfolgt grundsätzlich
nur aufgrund dokumentierter Weisungen des Verantwortlichen.
Rechtswidrige Weisung
Hält der Auftragsverarbeiter eine Weisung
für datenschutzrechtswidrig,
muss er den Verantwortlichen darauf hinweisen.
Drittlandtransfer
Auch Übermittlungen in Drittländer
dürfen grundsätzlich nur im Rahmen dokumentierter Weisungen erfolgen,
sofern keine gesetzliche Verpflichtung entgegensteht.
Eigenmächtige Nutzung
Nutzt ein Anbieter Daten außerhalb des Auftrags
für eigene Zwecke,
muss diese Verarbeitung gesondert rechtlich eingeordnet werden.
Weitere Auftragsverarbeiter
Was gilt für Subunternehmer und Subprozessoren?
Viele IT- und Cloud-Anbieter greifen selbst
auf weitere Dienstleister zurück.
Art. 28 DSGVO enthält dafür eigene Anforderungen.
Ein Auftragsverarbeiter darf einen weiteren Auftragsverarbeiter
nicht ohne vorherige spezifische oder allgemeine schriftliche Genehmigung
des Verantwortlichen einsetzen.
Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter
über beabsichtigte Änderungen bei Hinzunahme oder Austausch
weiterer Auftragsverarbeiter informieren,
damit der Verantwortliche widersprechen kann.
Außerdem müssen dem weiteren Auftragsverarbeiter
grundsätzlich dieselben Datenschutzpflichten auferlegt werden,
die für den ersten Auftragsverarbeiter gelten.
Bei Cloud- und SaaS-Anbietern sollte die aktuelle Liste
der Unterauftragnehmer nachvollziehbar verfügbar sein
und mit den tatsächlichen Datenstandorten abgeglichen werden.
Datensicherheit
Welche Rolle spielen technische und organisatorische Maßnahmen?
Der Verantwortliche darf nur Auftragsverarbeiter einsetzen,
die ausreichende Garantien für geeignete technische
und organisatorische Maßnahmen bieten.
Zugriffsschutz
Rollen, Berechtigungen,
Authentifizierung und Schutz privilegierter Zugänge.
Verschlüsselung
Schutz bei Speicherung
und Übertragung personenbezogener Daten,
soweit risikoadäquat.
Verfügbarkeit
Backups, Wiederherstellung,
Ausfallsicherheit und Notfallvorsorge.
Kontrollprozesse
Regelmäßige Überprüfung,
Bewertung und Verbesserung der Sicherheitsmaßnahmen.
Die TOMs sollten nicht nur als Anlage vorhanden sein,
sondern zur konkreten Verarbeitung,
zum Risiko und zum eingesetzten System passen.
Betroffenenrechte
Wie muss der Auftragsverarbeiter bei Auskunft und Löschung unterstützen?
Der Verantwortliche bleibt primärer Ansprechpartner
für die Rechte betroffener Personen.
Der Auftragsverarbeiter muss ihn jedoch
angesichts der Art der Verarbeitung
mit geeigneten technischen und organisatorischen Maßnahmen unterstützen.
Das ist besonders relevant,
wenn Daten ausschließlich im System des Dienstleisters gespeichert sind
oder bestimmte Such-, Export- oder Löschfunktionen
nur durch den Anbieter ausgeführt werden können.
Der AVV sollte daher klar regeln,
wie solche Anfragen weitergeleitet
und innerhalb welcher organisatorischen Abläufe bearbeitet werden.
Datenschutzverletzungen
Was muss der AVV bei Data Breaches regeln?
Erkennt ein Auftragsverarbeiter eine Verletzung
des Schutzes personenbezogener Daten,
muss er den Verantwortlichen gemäß Art. 33 Abs. 2 DSGVO
unverzüglich nach Bekanntwerden informieren.
Die Entscheidung,
ob eine Meldung an die Datenschutzbehörde
oder eine Benachrichtigung betroffener Personen erforderlich ist,
liegt grundsätzlich beim Verantwortlichen.
Dafür braucht er aber rasch ausreichende Informationen vom Auftragsverarbeiter.
- schneller Meldeweg zum Verantwortlichen
- Beschreibung des Vorfalls
- betroffene Daten und Personengruppen
- mögliche Folgen
- bereits gesetzte Gegenmaßnahmen
- laufende Ergänzung fehlender Informationen
Kontrolle und Nachweise
Welche Auditrechte muss ein AVV enthalten?
Der Auftragsverarbeiter muss dem Verantwortlichen
die erforderlichen Informationen zur Verfügung stellen,
damit die Einhaltung der Pflichten aus Art. 28 nachgewiesen werden kann.
Außerdem muss er Überprüfungen einschließlich Inspektionen,
die durch den Verantwortlichen oder einen beauftragten Prüfer durchgeführt werden,
ermöglichen und dazu beitragen.
In der Praxis können Umfang und Form solcher Kontrollen
je nach Anbieter und Risiko unterschiedlich ausgestaltet werden.
Zertifizierungen, Auditberichte oder standardisierte Nachweise
können eine Rolle spielen,
ersetzen aber nicht automatisch jede weitere Prüfung.
Gerade bei großen Cloud-Anbietern sollte geprüft werden,
welche konkreten Nachweise verfügbar sind
und ob diese für die eigene Risikobewertung ausreichen.
Internationale Datenübermittlung
Reicht ein AVV bei Datenübermittlungen in Drittländer?
Nein. Ein Auftragsverarbeitungsvertrag regelt die Beziehung
zwischen Verantwortlichem und Auftragsverarbeiter,
ersetzt aber nicht die zusätzlichen Anforderungen
für Übermittlungen personenbezogener Daten
in Staaten außerhalb des Europäischen Wirtschaftsraums.
Je nach Zielland und Konstellation
können insbesondere ein Angemessenheitsbeschluss,
Standardvertragsklauseln für internationale Datenübermittlungen
oder andere geeignete Garantien relevant sein.
Wichtig ist die begriffliche Trennung:
Standardvertragsklauseln für Drittlandtransfers
sind nicht dasselbe wie Standardvertragsklauseln,
die speziell für die Anforderungen des Art. 28 DSGVO verwendet werden können.
Datenstandort prüfen
Wo werden Daten gespeichert
und von welchen Staaten aus bestehen Zugriffsmöglichkeiten?
Übermittlungsinstrument prüfen
Welcher Mechanismus
trägt die internationale Datenübermittlung?
Subprozessoren einbeziehen
Auch weitere Auftragsverarbeiter
können internationale Datenübermittlungen auslösen.
Schutzmaßnahmen bewerten
Technische und organisatorische Zusatzmaßnahmen
können Teil der Risikobewertung sein.
Vertragsende
Was passiert mit Daten nach Ende der Auftragsverarbeitung?
Nach Abschluss der Verarbeitungsleistungen
muss der Auftragsverarbeiter personenbezogene Daten
nach Wahl des Verantwortlichen grundsätzlich löschen oder zurückgeben
und vorhandene Kopien löschen,
soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Gerade bei Cloud-Systemen sollte geklärt sein,
was „Löschung“ technisch bedeutet,
welche Fristen gelten
und wie mit Backups oder Archivkopien umgegangen wird.
- Datenexport vor Vertragsende
- Rückgabe oder Löschung
- Löschfristen
- Backups und Restkopien
- Beendigung von Zugriffsrechten
- Nachweis der vertragsgemäßen Löschung
Typische Fehler
Was läuft bei Auftragsverarbeitungsverträgen häufig schief?
Die häufigsten Probleme entstehen nicht durch fehlende Überschriften,
sondern durch eine falsche Rollenannahme
oder einen Vertrag, der nicht zur tatsächlichen Leistung passt.
AVV ohne Auftragsverarbeitung
Ein Vertrag wird abgeschlossen,
obwohl der Anbieter tatsächlich eigenständig verantwortlich handelt.
Unklare Leistungsbeschreibung
Datenarten, Zwecke und Verarbeitung
sind nur pauschal beschrieben.
Subprozessoren nicht geprüft
Weitere Anbieter werden eingesetzt,
ohne dass Genehmigung und Information sauber geregelt sind.
TOMs zu allgemein
Sicherheitsmaßnahmen sind vorhanden,
aber nicht nachvollziehbar auf die konkrete Verarbeitung bezogen.
Drittlandtransfer übersehen
Ein AVV ist vorhanden,
internationale Datenübermittlungen wurden aber nicht separat geprüft.
Vertrag nicht aktualisiert
Leistung, Anbieterstruktur oder Systeme ändern sich,
der AVV bleibt unverändert.
Prüfung und Erstellung
Wie prüfen wir einen Auftragsverarbeitungsvertrag?
Die Prüfung beginnt nicht bei der ersten Vertragsklausel,
sondern bei der tatsächlichen Leistung.
Rolle klären
Prüfen, ob tatsächlich
Verantwortlicher und Auftragsverarbeiter vorliegen.
Datenfluss verstehen
Datenarten, Zwecke,
Systeme, Subprozessoren und Speicherorte erfassen.
AVV anpassen
Pflichtinhalte, Risiken
und konkrete Leistung rechtlich sauber abbilden.
Rechtsberatung und Datenschutzpraxis
AVV-Prüfung mit Dr. Nina und Dr. Thomas Ollinger
Rechtsanwältin Dr. Nina Ollinger, LL.M.
prüft und gestaltet Auftragsverarbeitungsverträge,
beurteilt die Rollenverteilung
und ordnet komplexe Vertrags- und Haftungsfragen rechtlich ein.
Dr. Thomas Ollinger ist zertifizierter Datenschutzbeauftragter
und Unternehmensberater.
Er ergänzt die juristische Vertragsprüfung
um die tatsächlichen Systeme, Datenflüsse und Unternehmensprozesse.
So entsteht ein Vertrag,
der nicht nur Art. 28 DSGVO formal abbildet,
sondern zur realen Auftragsverarbeitung passt.
Art. 28 DSGVO und Vertragsgestaltung
Verantwortlicher oder Auftragsverarbeiter?
Datenflüsse, Systeme und Subprozessoren
Persönlich, telefonisch oder per Videokonferenz
Passende Vertiefung
Weitere Themen rund um Auftragsverarbeitung
Weitere DSGVO-Vertragsformen
Auftragsverarbeitung,
gemeinsame Verantwortlichkeit und weitere Vereinbarungen richtig einordnen.
Bestehende AVV-Struktur prüfen
Dienstleister,
Verträge und tatsächliche Datenflüsse systematisch abgleichen.
Auftragsverarbeiter dokumentieren
Dienstleister,
Verarbeitungstätigkeiten und Verträge nachvollziehbar zusammenführen.
Komplexe Rollen einordnen
Datenflüsse,
Verantwortlichkeiten und rechtliche Pflichten gemeinsam betrachten.
Dienstleister transparent abbilden
Empfänger,
Verarbeitungen und relevante Online-Dienste korrekt beschreiben.
Auftragsverarbeitung laufend begleiten
Neue Dienstleister
und Vertragsänderungen datenschutzfachlich prüfen.
Häufige Fragen
FAQ zum Auftragsverarbeitungsvertrag
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung
personenbezogener Daten durch einen Auftragsverarbeiter
im Auftrag eines Verantwortlichen nach Art. 28 DSGVO.
Wann ist ein AVV erforderlich?
Wenn personenbezogene Daten durch einen Auftragsverarbeiter
im Auftrag eines Verantwortlichen verarbeitet werden,
ist grundsätzlich ein Vertrag oder anderer bindender Rechtsakt
gemäß Art. 28 Abs. 3 DSGVO erforderlich.
Ist jeder Dienstleister ein Auftragsverarbeiter?
Nein. Entscheidend ist,
ob der Dienstleister tatsächlich im Auftrag verarbeitet
oder für bestimmte Verarbeitungen selbst Zwecke und Mittel bestimmt.
Muss ein AVV schriftlich abgeschlossen werden?
Ja. Art. 28 Abs. 9 DSGVO verlangt,
dass der Vertrag oder andere Rechtsakt schriftlich vorliegt;
dies umfasst auch elektronische Form.
Was muss in einem AVV stehen?
Unter anderem Gegenstand und Dauer,
Art und Zweck der Verarbeitung,
Datenarten und Betroffenengruppen,
Weisungen, Vertraulichkeit, Sicherheit,
Subprozessoren, Unterstützungs- und Auditpflichten
sowie Löschung oder Rückgabe nach Vertragsende.
Darf ein Auftragsverarbeiter Subunternehmer einsetzen?
Ja, aber grundsätzlich nur mit vorheriger spezifischer
oder allgemeiner schriftlicher Genehmigung des Verantwortlichen.
Bei allgemeiner Genehmigung müssen Änderungen angekündigt werden,
damit der Verantwortliche widersprechen kann.
Wer meldet einen Data Breach an die Datenschutzbehörde?
Die Meldepflicht gegenüber der Aufsichtsbehörde
trifft grundsätzlich den Verantwortlichen.
Der Auftragsverarbeiter muss den Verantwortlichen
gemäß Art. 33 Abs. 2 DSGVO unverzüglich informieren,
nachdem ihm eine Datenschutzverletzung bekannt wurde.
Reicht ein AVV für einen US-Dienstleister?
Nein, nicht automatisch.
Zusätzlich können die Regeln für internationale Datenübermittlungen
nach Art. 44 ff. DSGVO relevant sein.
Kann man einen Muster-AVV verwenden?
Ja. Muster oder Standardvertragsklauseln können eine Grundlage sein.
Sie sollten aber zur tatsächlichen Verarbeitung,
den Systemen, Unterauftragnehmern und Risiken passen.
Muss der Verantwortliche den Auftragsverarbeiter kontrollieren?
Der Verantwortliche darf nur Auftragsverarbeiter einsetzen,
die ausreichende Garantien für geeignete technische
und organisatorische Maßnahmen bieten.
Der AVV muss außerdem Nachweise und Überprüfungsmöglichkeiten vorsehen.
Wer prüft bei den Datenschutzprofis einen AVV?
Rechtsanwältin Dr. Nina Ollinger, LL.M. übernimmt die rechtliche Prüfung
und Vertragsgestaltung. Dr. Thomas Ollinger ergänzt als zertifizierter
Datenschutzbeauftragter die fachliche und organisatorische Einordnung.
Offizielle Rechtsgrundlagen
Art. 28 DSGVO und Auftragsverarbeitung
Die gesetzlichen Anforderungen an Auftragsverarbeitung
finden sich insbesondere in
Art. 28 DSGVO
.
Die
Österreichische Datenschutzbehörde
erläutert die Pflichten von Auftragsverarbeitern
und verweist auch auf Standardvertragsklauseln für Art. 28 DSGVO.
Zur Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter
hat außerdem der
Europäische Datenschutzausschuss
ausführliche Leitlinien veröffentlicht.
Auftragsverarbeitung rechtlich sauber regeln
Auftragsverarbeitungsvertrag prüfen oder erstellen lassen
Sie möchten klären, ob ein AVV erforderlich ist,
einen bestehenden Vertrag prüfen
oder eine Auftragsverarbeitung rechtlich sauber gestalten?
Wir verbinden anwaltliche Vertragsprüfung mit Datenschutz- und Unternehmenspraxis.