Auftragsverarbeitungsvereinbarung

Eine Auftragsverarbeitungsvereinbarung (AVV) ist gemäß der Datenschutz-Grundverordnung (DSGVO) ein Vertrag zwischen dem Verantwortlichen (Dateninhaber) und dem Auftragsverarbeiter, der die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen regelt. Ziel ist die Festlegung der Zwecke, der Art der Verarbeitung, der Dauer sowie der Sicherheitsmaßnahmen und Verantwortlichkeiten, um den Datenschutz sicherzustellen.

Typische Inhalte einer AVV umfassen: Gegenstand, Zweck und Dauer der Verarbeitung; Kategorien personenbezogener Daten; Kategorien betroffener Personen; Art der Verarbeitung; sowie Verpflichtungen des Auftragsverarbeiters, insbesondere Verarbeitung ausschließlich auf dokumentierte Anweisungen, Vertraulichkeit, technische und organisatorische Maßnahmen (TOM), Unterstützung des Verantwortlichen bei Betroffenenrechten, Meldung von Sicherheitsvorfällen, Datenschutz-Folgenabschätzung und Audits; Rückgabe oder Löschung der Daten nach Beendigung der Vereinbarung; Zusammenarbeit bei Sicherheitsfragen; Subunternehmer (Sub-Processors) mit Genehmigungspflichten und vertraglichen Garantien; Haftung und Rechtsfolgen bei Verstößen.

Rechtlich setzt die AVV voraus, dass der Auftragsverarbeiter die Daten ausschließlich auf Instruktion des Verantwortlichen verarbeitet und angemessene TOM implementiert. Bei grenzüberschreitenden Übermittlungen sind geeignete Garantien erforderlich (z. B. Standardvertragsklauseln oder Angemessenheitsentscheidungen). Die AVV dient der Rechtskonformität, ermöglicht Transparenz über Verantwortlichkeiten und erleichtert die Kontrolle und Durchsetzung von Datenschutzrechten im Zusammenhang mit Auftragsverarbeitungen.