Fachwissen für digitale Entscheidungen

Wann brauchen wir einen Auftragsverarbeitungsvertrag?

Kurzantwort

Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – also auch beim Hoster, bei der Softwarewartung mit Zugriff auf Echtdaten und beim Support. Der Vertrag nach Art. 28 DSGVO muss vor Beginn der Verarbeitung geschlossen sein, nicht danach.

Wann er nötig ist

Sobald ein Dritter personenbezogene Daten für Sie verarbeitet und dabei weisungsgebunden handelt:

Hosting-Anbieter
Softwaredienstleister mit Zugriff auf Produktivdaten
Support, der in Kundendatensätze schaut
Newsletter-Werkzeuge
Cloud-Speicher, in dem Kundendaten liegen

Wann nicht

Wenn der Dienstleister eigenverantwortlich entscheidet – etwa Steuerberatung oder Rechtsberatung. Dort liegt keine Auftragsverarbeitung vor, sondern eine eigene Verantwortlichkeit.

Was im Vertrag stehen muss

Art. 28 Abs. 3 DSGVO nennt die Pflichtinhalte: Gegenstand und Dauer, Art und Zweck, Art der Daten, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Massnahmen, Umgang mit Unterauftragnehmern, Unterstützung bei Betroffenenrechten, Löschung nach Vertragsende, Nachweispflichten.

Was in der Praxis am häufigsten fehlt

Unterauftragnehmer. Der Dienstleister nutzt selbst einen Hoster. Diese Kette muss offengelegt und geregelt sein.

Zugriff auf Echtdaten beim Testen. Wird mit einer Kopie der Produktivdatenbank entwickelt, ist das Auftragsverarbeitung – auch wenn es „nur" eine Testumgebung ist. Besser: mit anonymisierten Daten arbeiten.

Der Zeitpunkt

Vor Beginn der Verarbeitung. Ein Vertrag, der nach dem ersten Zugriff unterschrieben wird, heilt den Zeitraum davor nicht.

Dieser Text ersetzt keine Rechtsberatung.

Kernfakten

Rechtsgrundlage: Art. 28 DSGVO
Zeitpunkt: Vor Beginn der Verarbeitung
Häufig übersehen: Entwicklung mit einer Kopie der Echtdaten

Quellen

Alle externen Angaben nachvollziehbar belegt.

01
Art. 28 DSGVO – Auftragsverarbeiter EUR-Lex