AV-Vertrag Generator zur Auftragsdatenverarbeitung nach Datenschutzgrundverordnung DSGVO und DSG Schweiz 2023

Der Auftragsvertrag kommt zwischen dem Auftragsverarbeiter und dem Verantwortlichen zu Stande, beide unterzeichnen den Vertrag. Die Bedeutung des Auftragsverarbeitungsvertrags liegt darin, die Einhaltung der Datenschutz Grundverordnung DSGVO sicherzustellen und die Verantwortlichkeiten zwischen den Parteien klar zu regeln. Der Vertrag bildet die Grundlage für die Übermittlung von Daten, die personenbezogen sind, von einem Verantwortlichen an einen Beauftragten. Im Anschluss ist der Beauftragte für die Verarbeitung dieser verantwortlich.

Einen AV-Vertrag ist abzuschließen, wenn die Datenverarbeitung in einem Unternehmen nicht intern erfolgt, d.h. sobald ein fremder Dienstleister oder verschiedene Dienste für die Datenverarbeitung eines Unternehmens zuständig sind, muss zwischen ihm und dem Verantwortlichen ein AVV abgeschlossen werden. Die Grundlage für den Abschluss eines AVV-Vertrages ist in Art. 28 Abs. 3 DSGVO normiert. Es muss geprüft werden, ob eine Auftragsverarbeitung im Sinne der Datenschutz Grundverordnung DSGVO vorliegt.

Benötigt wird der AV- Vertrag für den Verantwortlichen und dem Auftragsverarbeiter, der mittels Vertrag persönliche Daten übermittelt bekommt, um diese anschließend zu verarbeiten. Maßgeblich ist der AV- Vertrag eigentlich für den Verantwortlichen selbst, der den fremden Dienstleister dafür beauftragt, denn er ist letztlich der Verantwortliche für die Daten und der vorschriftsgemäßen Bearbeitung dieser. Zudem trifft gerade nur ihn die Einhaltung der DSGVO Vorgaben.                        

Der Abschluss eines AV-Vertrages ist im DSGVO normiert und soll insbesondere abgeschlossen werden, damit versichert werden kann, dass der externe Dienstleister, der vom Auftraggeber beauftragt worden ist, für die Bearbeitung der Daten, die er übermittelt bekommen hat, nicht für persönliche Zwecke nutzt. Eine Besonderheit des AV-Vertrages ist auch, dass dieser den Auftragsverarbeiter zu weisungsgebundener Verarbeitung der Daten verpflichtet, sodass er nur mit Weisung des Verantwortlichen Handlungen vornehmen kann.

Die Organisation und die Funktionen des Generators erleichtern die Erstellung und Verwaltung der Vertragsseiten.

Den AV-Vertrag muss das jeweilige Unternehmen erstellen, welches die Datenverarbeitung einem externen Dienstleister zur Datenverarbeitung überträgt. Experten und unabhängige Dritte können bei der Prüfung und Erstellung von Auftragsverarbeitungsverträgen unterstützen, um die rechtliche Korrektheit und Einhaltung der Datenschutz Grundverordnung DSGVO sicherzustellen.

Beispiele für eine Auftragsverarbeitung sind: Kunden- und Hosting-Services, Marketing oder Vertriebsagentur, Callcenter, datenerhebende Sicherheitsdienste, IT-Outsourcing, Rechenzentren outgesourct, Cloud Services, Buchhalter extern, Lohn- und Gehaltsabrechnung extern, Serverwartung. Anbieter wie Google, Dropbox, GMX, Microsoft, Linkedin, Jimdo, Hetzner, SendinBlue gehören auch dazu. Bei der Nutzung von Premium-Funktionen dieser Dienste können zusätzliche Kosten entstehen.

Der Inhalt des AV-Vertrages richtet sich nach Art. 28 Abs.3 DSGVO, danach muss ein AV-Vertrag folgende Gesichtspunkte beinhalten:

– Vertragsgegenstand

– Vertragsdauer

– Grund und Art der Datenverarbeitung

– Gruppierung der betroffenen Personen

– Tragweite der Befugnis der Weisungsgebundenheit

– Rechte & Pflichten vom Verantwortlichen

– Rechte & Pflichten vom Auftragsverarbeiter

– Verschwiegenheitsverpflichtung des Auftragsverarbeiters

– Meldepflichten des Auftragsverarbeiters

– Kontrollbefugnisse des Verantwortlichen

– Unterstützungspflicht des Auftragsverarbeiters

– Maßnahmen, welche zu ergreifen sind, um den Schutz von personenbezogenen Daten zu gewährleisten

– Beendigungsbestimmungen/Schlussbestimmungen: Wie kommt die Beendigung zu Stande? Mit Löschung oder Rückgabe von Daten?

Die Inhalte des Auftragsverarbeitungsvertrags müssen bestimmte Fragen zu den eingesetzten Diensten, den betroffenen Nutzern und dem Zweck der Verarbeitung beantworten. Die Einhaltung der Datenschutzanforderungen ist für alle beteiligten Seiten verpflichtend.

Befreit vom Abschluss eines AV-Vertrages sind Dienstleister, welche nicht unter einer Weisung des Verantwortlichen stehen. Denn diese zählen durch ihre branchenspezifische Tätigkeit zu den verantwortlichen Personen, die den Schutz der personenbezogenen Daten zur Pflicht haben. Zu nennen sind jeweils:

– Steuerberater (nur in Hessen, NRW, Baden-Württemberg ein AV-Vertrag notwendig)

– Banken

– Kreditinstitute

– Wirtschaftsprüfung

– Rechtsanwalt

– Notar

– Brieftransporte

– Inkassodienstleister

– Betriebsarzt

Den AV-Vertrag müssen beide Vertragsparteien unterzeichnen, sowohl der Verantwortliche als Auftraggeber als auch der Dienstleister als Auftragsverarbeiter.

Den AV-Vertrag müssen beide Vertragsparteien unterzeichnen, sowohl der Verantwortliche als Auftraggeber als auch der Dienstleister als Auftragsverarbeiter.   

Ein Berater selbst hat die Aufgabe zu beraten. Egal, ob es sich um einen Unternehmensberater oder Steuerberater usw. handelt. Durch seine Tätigkeitsbranche hat er lediglich die Datensicherung als Gegenstand, weshalb er eigenverantwortlich tätig ist. Er ist von „Natur“ aus zur Verschwiegenheit und Datensicherheit verpflichtet, ohne gegenüber einem anderen weisungsgebunden zu sein. Daher ist ein Berater regelmäßig kein Auftragsverarbeiter.

Sobald der Verantwortliche einen Dienstleister für die Datenverarbeitung beauftragt, der eigenständig ist und nicht der Weisung des Verantwortlichen unterliegt, ist keine Auftragsverarbeitung anzunehmen, stattdessen ist dies eine einfache Veräußerung bzw. Weiterveräußerung und Verarbeitung von personenbezogenen Daten. Der Verarbeiter der Daten ist dann nicht als ein Auftragsverarbeiter einzustufen, er gilt dann als ein Verantwortlicher, der selbstständig tätig ist. Diesbezüglich ist dann auch kein AV-Vertrag abzuschließen.

Dem Gesetzgeber ist die Einhaltung der Datensicherheit der Verbraucher bzw. Personen sehr wichtig, so auch durch die EU-Vorgaben erkennbar. EU-Vorgaben haben strenge Ansätze bzgl. der Datensicherheit. Der AV-Vertrag beinhaltet lediglich die Rechte und Pflichten von beiden Parteien, dem Auftragsverarbeiter und vom Verantwortlichen selbst. Es soll gewährleisten, dass beide Parteien ihre Rechte und Pflichten einhalten und unionsrechtskonform handeln. Dem Verantwortlichen trifft die Pflicht, eine rechtmäßige Datensicherheit zu gewährleisten und den EU-Vorgaben gemäß zu handeln. Die Unternehmen, die unter der DSGVO fallen, sind auch verpflichtet, die Vorgaben einzuhalten und die vom Gesetzgeber in den Vordergrund gelegte Datensicherheit auch zu gewährleisten. Ein AV-Vertrag entspricht genau dem Willen des Gesetzgebers und gewährleistet das Einhalten der in DSGVO normierten Datensicherheit. Daher ist der AV-Vertrag ein wichtiger, als auch vom Gesetzgeber in der DSGVO normierter Grundbaustein.

In vielen Bundesländern gilt der Steuerberater als kein Auftragsverarbeiter, da er lediglich ein selbstverantwortlicher Tätig ist und branchenspezifisch die Datensicherheit in seinem Tätigkeitsbereich liegt. In Hessen, NRW sind jedoch Steuerberater als Auftragsverarbeiter einzustufen und müssen ein AV-Vertrag mit dem jeweiligen Auftraggeber unterzeichnen.

In vielen Bundesländern gilt der Steuerberater als kein Auftragsverarbeiter, da er lediglich ein selbstverantwortlicher Tätig ist und branchenspezifisch die Datensicherheit in seinem Tätigkeitsbereich liegt. Im Hessen, NRW sind jedoch Steuerberater als Auftragsverarbeiter einzustufen und müssen ein AV- Vertrag mit dem jeweiligen Auftraggeber unterzeichnen.

Der Verantwortliche in der Auftragsverarbeitung ist der Auftraggeber selbst, d.h. das Unternehmen, welches die Datenverarbeitung an einen Dritten überträgt

Ausschlaggebend ist bei einem Auftragsverarbeiter, wenn er weisungsgebunden gegenüber dem Verantwortlichen bzw. seinem Auftraggeber ist. D.h. sobald er unter Weisung die Datenverarbeitung von dem jeweiligen Unternehmen vornimmt. Dies auch gem. Art. 28 DSGVO i.V.m. § 62 BDSG.  

Dem Gesetzgeber ist die Einhaltung der Datensicherheit der Verbraucher bzw. Personen sehr wichtig, so auch durch die EU-Vorgaben erkennbar. EU-Vorgaben haben strenge Ansätze bzgl. der Datensicherheit. Der AV-Vertrag beinhaltet lediglich die Rechte und Pflichten von beiden Parteien, dem Auftragsverarbeiter und vom Verantwortlichen selbst. Es soll gewährleisten, dass beide Parteien ihre Rechte und Pflichten einhalten und unionsrechtskonform handeln. Dem Verantwortlichen trifft die Pflicht, eine rechtmäßige Datensicherheit zu gewährleisten und den EU-Vorgaben gemäß zu handeln. Die Unternehmen, die unter der DSGVO fallen, sind auch verpflichtet, die Vorgaben einzuhalten und die vom Gesetzgeber in den Vordergrund gelegte Datensicherheit auch zu gewährleisten. Ein AV-Vertrag entspricht genau dem Willen des Gesetzgebers und gewährleistet das Einhalten der in DSGVO normierten Datensicherheit. Daher ist der AV-Vertrag ein wichtiger, als auch vom Gesetzgeber in der DSGVO normierter Grundbaustein.

Die Datenschutzerklärung spielt eine zentrale Rolle, um Nutzer und Nutzerinnen über die Verarbeitung ihrer Daten durch externe Dienstleister und Dienste zu informieren und die gesetzlichen Informationspflichten zu erfüllen.