Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nach deinen Weisungen verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Dafür schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor – den Auftragsverarbeitungsvertrag, kurz AVV.
Wann brauchst du einen AVV?
Immer dann, wenn Daten deiner Kunden oder Mitarbeiter bei einem Dritten liegen oder von ihm verarbeitet werden: Cloud-Software, Buchhaltungsdienst, Newsletter-Werkzeug, Cloud-Speicher, Wartungszugriff eines IT-Dienstleisters. Ohne AVV ist deine Nutzung nicht rechtskonform – und zwar nicht die des Anbieters, sondern deine, denn du bleibst Verantwortlicher.
Was im AVV geregelt sein muss
- Weisungsbindung: der Anbieter verarbeitet nur nach deiner Anweisung, nicht für eigene Zwecke.
- Sicherheit: die technischen und organisatorischen Maßnahmen gehören als Anlage dazu.
- Unterauftragsverarbeiter: wer noch mitwirkt, muss benannt sein – und ein Wechsel dir vorab mitgeteilt werden.
- Ende des Vertrags: Löschung oder Rückgabe deiner Daten, nach deiner Wahl.
- Unterstützung: bei Auskunftsersuchen, Löschungen und Datenpannen.
Mit WOODPLAN
Wir stellen den Auftragsverarbeitungsvertrag selbst – samt Beschreibung der Sicherheitsmaßnahmen und vollständiger Liste der eingesetzten Dienstleister. Du schließt ihn elektronisch ab; Zeitpunkt und Textfassung werden als Nachweis festgehalten. Kommt ein Dienstleister hinzu, informieren wir dich vorab mit Widerspruchsfrist.
