Der Auftragsverarbeitungsvertrag ist die nach Art. 28 DSGVO vorgeschriebene Vereinbarung zwischen einem Verantwortlichen und seinem Auftragsverarbeiter.
Pflichtinhalte
Der Vertrag muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen festlegen. Hinzu kommen die Pflichten und Rechte des Verantwortlichen, insbesondere:
- Verarbeitung nur auf dokumentierte Weisung
- Verpflichtung der eingesetzten Personen zur Vertraulichkeit
- technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Regeln für Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten und Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweis- und Kontrollrechte
Form und Muster
Der AVV ist schriftlich abzuschließen, was auch in einem elektronischen Format möglich ist. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht, die verwendet werden können, aber nicht müssen.
Fehlt ein erforderlicher AVV, verstoßen beide Seiten gegen die DSGVO. Das kann ein Bußgeld nach sich ziehen.
Rechtsgrundlagen
- Art. 28 Abs. 3 DSGVO
- Legt die Mindestinhalte des Vertrags fest.
- Art. 28 Abs. 9 DSGVO
- Schriftform, die auch elektronisch erfüllt werden kann.
- Art. 28 Abs. 7 DSGVO
- Grundlage für Standardvertragsklauseln der EU-Kommission.
Verwandte Begriffe.
Technische und organisatorische Maßnahmen (TOM) Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt. Art. 32 DSGVO Standardvertragsklauseln (SCC) Standardvertragsklauseln sind von der EU-Kommission vorgegebene Vertragsmuster, mit denen geeignete Garantien für die Übermittlung personenbezogener Daten in Drittländer geschaffen werden. Art. 46 Abs. 2 lit. c DSGVO 