Auftragsverarbeitungsvertrag: welcher Cloud-Dienst einen AVV braucht

Die Faustregel: Sobald ein externer Dienst personenbezogene Daten in Ihrem Auftrag verarbeitet, braucht es dafür einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, und zwar bevor Daten fließen. Im KMU-Alltag betrifft das praktisch jeden Cloud-Dienst: E-Mail-Hosting, Newsletter-Tool, Cloud-Speicher, Ticketsystem, Online-Backup, Fernwartung. Verhandeln müssen Sie den Vertrag bei großen Anbietern nicht, Microsoft etwa stellt ihn standardisiert als Datenschutznachtrag (Data Protection Addendum, DPA) bereit. Ihre Aufgabe ist zu prüfen, dass ein AVV vorliegt, und den Nachweis geordnet abzulegen.

Wann Auftragsverarbeitung vorliegt

Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, also weisungsgebunden für Ihre Zwecke und nicht für eigene. Der Landesbeauftragte für den Datenschutz Baden-Württemberg (LfDI) grenzt entsprechend ab: Eine Auftragsverarbeitung liegt nicht vor, wenn der externe Dienstleister die Daten zu eigenen Zwecken verarbeitet. Wichtig für die Einordnung: Die Verantwortung wandert nicht mit dem Auftrag. Laut Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) wird die Verarbeitung durch den Auftragsverarbeiter dem Verantwortlichen zugerechnet, von der Gesamtverantwortung kann sich das Unternehmen durch die Beauftragung nicht befreien.

Diese Dienste brauchen typischerweise einen AVV

Die DSK nennt in ihrem Kurzpapier Nr. 13 als regelmäßige Beispiele unter anderem Cloud-Computing, die ausgelagerte E-Mail-Verwaltung, die Betreuung von Kontaktformularen und Nutzeranfragen, ausgelagerte Backups und Archivierung, Lohnabrechnung durch Rechenzentren sowie Wartung und Fernwartung, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Übertragen auf heutige Werkzeuge heißt das: die Bürosuite samt Postfächern, der Newsletter-Dienst mit Ihren Kontakten, der Cloud-Speicher mit Kundendokumenten, das Ticket- oder Helpdesk-System mit Anfragen und Absenderdaten, das Cloud Backup und der IT-Dienstleister mit Fernzugriff. Keine Auftragsverarbeitung sind laut DSK dagegen in der Regel Berufsgeheimnisträger wie Steuerberater oder Rechtsanwälte, der Postdienst für den Brieftransport und die Bank für den Geldtransfer, ebenso die rein technische Wartung der Infrastruktur ohne möglichen Datenzugriff.

Die Prüfliste vor dem Einsatz eines Dienstes

Vier Fragen bringen Ordnung in die Bewertung. Erstens: Verarbeitet der Dienst personenbezogene Daten? Schon Namen und geschäftliche E-Mail-Adressen zählen nach Art. 4 Nr. 1 DSGVO dazu. Zweitens: Geschieht das in Ihrem Auftrag oder zu eigenen Zwecken des Anbieters? Drittens: Liegt ein AVV vor und deckt er die Vorgaben des Art. 28 Abs. 3 DSGVO ab? Dazu gehören Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen sowie die Pflichten des Anbieters, darunter Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32 DSGVO, Regeln für Subunternehmer, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe der Daten nach Vertragsende und Kontrollrechte. Viertens: Wird außerhalb der EU beziehungsweise des EWR verarbeitet? Dann verlangt die DSGVO zusätzliche Garantien nach Art. 44 ff., etwa Standardvertragsklauseln. Ergänzend gilt: Art. 28 Abs. 1 DSGVO erlaubt nur Auftragsverarbeiter, die hinreichende Garantien für geeignete Schutzmaßnahmen bieten, und jeder Dienst gehört als Empfänger in Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 lit. d DSGVO).

Wo große Anbieter ihre AVV bereitstellen

Bei den großen Cloud-Anbietern ist der AVV Teil des Standardvertragswerks. Microsoft veröffentlicht sein Data Protection Addendum zentral auf der Lizenzdokumente-Seite, auch in deutscher Fassung. Es gilt als Nachtrag zu den Product Terms für abonnierte Dienste wie Microsoft 365 und wird damit Bestandteil des bestehenden Vertragswerks. Ähnlich arbeiten die meisten etablierten Anbieter: Der Vertrag findet sich über die Suche nach „Data Processing Agreement" oder „AVV" plus Anbietername, oft zur Annahme im Kundenkonto oder als fester Bestandteil der Nutzungsbedingungen. Legen Sie die jeweils gültige Fassung als Nachweis ab. Für kleinere Dienstleister ohne eigenes Vertragsmuster stellt der LfDI Baden-Württemberg in seinen Praxishilfen einen Muster-AVV bereit.

Häufige Fragen

Brauche ich einen AVV mit dem Steuerberater?

In der Regel nein. Die DSK ordnet Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte und Wirtschaftsprüfer als eigenständig Verantwortliche ein, die eine fremde Fachleistung erbringen, nicht als Auftragsverarbeiter. Für die Datenweitergabe braucht es dann eine Rechtsgrundlage nach Art. 6 DSGVO, aber keinen AVV.

Was droht, wenn der AVV fehlt?

Laut DSK-Kurzpapier Nr. 13 können Verstöße gegen Art. 28 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Betreffen kann das sowohl den Verantwortlichen als auch den Auftragsverarbeiter.

Muss der AVV unterschrieben werden?

Nicht zwingend auf Papier. Art. 28 Abs. 9 DSGVO lässt neben der Schriftform ein elektronisches Format zu. Bei großen Anbietern wird der AVV häufig im Bestellprozess einbezogen oder im Kundenkonto akzeptiert. Wichtig ist, dass Sie die geltende Fassung dokumentiert ablegen können.

So unterstützt Sie die High5Manufaktur GmbH

Der schwierigste Schritt ist meist die Inventur: Welche Dienste sind überhaupt im Einsatz, und welche Daten verarbeiten sie? Die High5Manufaktur GmbH verschafft kleinen und mittleren Unternehmen diesen Überblick, sammelt die AVV-Nachweise der eingesetzten Anbieter ein, dokumentiert die Ergebnisse revisionsfähig und sorgt im Rahmen der IT-Compliance-Betreuung dafür, dass neue Dienste nicht mehr ungeprüft in den Betrieb rutschen. Die rechtliche Bewertung im Einzelfall bleibt Aufgabe Ihrer Rechtsberatung, die technische Umsetzung und Dokumentation übernehmen wir. Mit direktem Ansprechpartner statt anonymer Hotline.

*Hinweis: Dieser Beitrag liefert allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.*

Quellen

• Datenschutzkonferenz: Kurzpapier Nr. 13, Auftragsverarbeitung, Art. 28 DS-GVO (PDF)
• LfDI Baden-Württemberg: Auftragsverarbeitung nach DS-GVO
• LfDI Baden-Württemberg: FAQ zur Abgrenzung der Verantwortlichkeiten und des Begriffs der Auftragsverarbeitung
• LfDI Baden-Württemberg: Praxishilfen mit Muster-Auftragsverarbeitungsvertrag
• Microsoft: Products and Services Data Protection Addendum (DPA)