Auftragsverarbeitungsverträge

Auftragsverarbeitungsverträge (ADV) sind Verträge zwischen dem Verantwortlichen (Controller) und dem Auftragsverarbeiter (Processor) im Datenschutz. Sie regeln die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen und basieren auf Art. 28 der Datenschutz-Grundverordnung (DSGVO). Ziel ist es sicherzustellen, dass die Verarbeitung gemäß den Weisungen des Verantwortlichen erfolgt und angemessene Sicherheits- sowie Rechenschaftspflichten erfüllt werden.

Der Vertrag legt Gegenstand, Zweck, Art der personenbezogenen Daten, Kategorien der betroffenen Personen, Dauer der Verarbeitung, Art der Verarbeitung sowie die technischen und organisatorischen Maßnahmen fest. Er regelt auch die Subunternehmer, den Rückgabe- oder Löschungszeitraum nach Beendigung der Verarbeitung und die Unterstützung des Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und der Meldung von Datenschutzverletzungen.

Der Auftragsverarbeiter darf die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeiten. Er muss Vertraulichkeit wahren, geeignete technische und organisatorische Maßnahmen treffen und den Schutz der Daten sicherstellen. Er unterstützt den Verantwortlichen bei Betroffenenrechten, führt bei Bedarf Datenschutz-Folgenabschätzungen durch, meldet Sicherheitsvorfälle unverzüglich und ermöglicht gegebenenfalls Audits oder Inspektionen.

Der Verantwortliche trägt die Design- und Weisungsbefugnis über die Verarbeitung, bestimmt Zweck und Mittel der Verarbeitung und sorgt für die rechtliche Grundlage. Er genehmigt den Einsatz von Unterauftragsverarbeitern; der Auftragsverarbeiter darf Subunternehmer nur mit ausdrücklicher schriftlicher Zustimmung einsetzen. Internationale Datenübermittlungen erfordern geeignete Garantien.

Nach Beendigung der Verarbeitung muss der Auftragsverarbeiter alle personenbezogenen Daten zurückgeben oder sicher löschen und den Nachweis hierfür erbringen. Die Verträge regeln Haftung, Verpflichtungen und ggf. Schadensersatzansprüche.

ADV sind ein zentrales Instrument der DSGVO-Compliance in Organisationen, die personenbezogene Daten verarbeiten.