Auftragsverarbeitung (AVV) — einfach erklärt

Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag (AVV) ist eine schriftliche Vereinbarung nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er wird immer dann benötigt, wenn ein Unternehmen (der „Verantwortliche”) personenbezogene Daten von einem externen Dienstleister (dem „Auftragsverarbeiter”) verarbeiten lässt — zum Beispiel bei der Wartung von IT-Systemen, beim Hosting von Software in der Cloud oder bei der Nutzung eines externen Rechenzentrums.

Der AVV stellt sicher, dass der Dienstleister die Daten ausschließlich im Rahmen der vereinbarten Zwecke verarbeitet und dabei angemessene Schutzmaßnahmen einhält. Ohne einen solchen Vertrag ist die Datenverarbeitung durch den Dienstleister formal nicht rechtmäßig — unabhängig davon, wie sorgfältig sonst gearbeitet wird.

Wann ist ein AVV nötig?

Ein AVV wird typischerweise gebraucht, sobald ein externer Dienstleister regelmäßigen oder potenziellen Zugriff auf personenbezogene Daten hat, ohne selbst über deren Zweck zu entscheiden. Praxisnahe Beispiele:

1. IT-Dienstleister mit Fernwartungszugriff — etwa auf Server, auf denen Kunden- oder Mitarbeiterdaten liegen.
2. Cloud- und Hosting-Anbieter — wenn Daten auf fremder Infrastruktur gespeichert werden.
3. Fachsoftware mit externem Zugriff — zum Beispiel Branchensoftware, die vom Hersteller gewartet oder als Cloud-Lösung betrieben wird.
4. E-Mail-Security- und Backup-Dienstleister — sobald diese Zugriff auf geschäftliche Kommunikation oder Datensicherungen haben.

Besonders wichtig ist dieser Punkt dort, wo besonders sensible Daten verarbeitet werden — etwa Gesundheitsdaten in der Pflege. Ausführlich beschreiben wir das im Beitrag Datenschutz in der Pflegeeinrichtung: Dort ist der AVV mit jedem Dienstleister mit Datenzugriff keine Formalie, sondern eine Grundvoraussetzung für rechtmäßige Datenverarbeitung.

Was gehört in einen AVV?

Ein vollständiger AVV regelt insbesondere:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der betroffenen Daten
• Die technischen und organisatorischen Maßnahmen (TOM), die der Auftragsverarbeiter umsetzt
• Regelungen zu Unterauftragsverhältnissen (z. B. wenn der Dienstleister selbst weitere Dienstleister einbindet)
• Mitwirkungs- und Meldepflichten bei Datenschutzverletzungen
• Kontroll- und Nachweisrechte des Verantwortlichen
• Regelungen zur Löschung oder Rückgabe der Daten nach Vertragsende

AVV in der Praxis

Für ein Unternehmen im Raum Hildesheim, das seine IT extern betreuen lässt, bedeutet das konkret: Jeder IT-Dienstleister mit Zugriff auf personenbezogene Daten braucht einen gültigen AVV — nicht nur einmal unterschrieben, sondern auch inhaltlich passend zum tatsächlichen Leistungsumfang. Im Rahmen unserer IT-Sicherheit sorgen wir dafür, dass diese vertragliche Grundlage sauber steht, bevor wir technisch tätig werden — und dass sie aktuell bleibt, wenn sich Systeme oder Zugriffe ändern.

Dieser Beitrag ersetzt keine individuelle Rechtsberatung. Ob und in welchem Umfang ein AVV im Einzelfall erforderlich ist, sollte bei Bedarf mit einer auf Datenschutz spezialisierten Rechtsberatung abgestimmt werden.