Datenschutz in der Lieferkette - Auftragsverarbeitungsvertrag (AVV) richtig nutzen

Ein AV-Vertrag ist eine Vereinbarung zwischen:

• Ihnen als Verantwortlicher
• und einem Auftragsverarbeiter (Dienstleister)

Er regelt, wie personenbezogene Daten verarbeitet werden.

Wichtig:
Der Dienstleister darf die Daten nur nach Ihren Anweisungen verarbeiten.

Ein AV-Vertrag ist immer dann erforderlich, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet.

Sie benötigen einen AV-Vertrag bei:

• Cloud-Anbietern (z. B. CRM-Systeme)
• Hosting-Dienstleistern
• Newsletter-Tools
• IT-Support
• Lohnabrechnung durch externe Anbieter
• Bewerbermanagement-Systemen

Kurz gesagt:
Immer wenn ein externer Anbieter Zugriff auf personenbezogene Daten hat.

Nicht jede Zusammenarbeit erfordert einen AV-Vertrag.

• Steuerberater (oft eigenständig Verantwortliche)
• Rechtsanwälte
• klassische Lieferanten ohne Datenzugriff

Hier handelt es sich meist um eigenständige Verantwortliche, nicht um Auftragsverarbeiter.

Der AV-Vertrag ist gesetzlich vorgeschrieben (Art. 28 DSGVO).

Er sorgt dafür, dass:

• Verantwortlichkeiten klar geregelt sind
• Datenschutzstandards eingehalten werden
• Risiken reduziert werden

Ohne AV-Vertrag liegt ein DSGVO-Verstoß vor.

Die DSGVO gibt klare Anforderungen vor.

Ein AV-Vertrag muss mindestens folgende Punkte enthalten:

• Was wird verarbeitet?
• Wie lange erfolgt die Verarbeitung?

• Warum werden die Daten verarbeitet?
• Welche Prozesse sind betroffen?

• z. B. Kundendaten, Mitarbeiterdaten

• Kunden
• Mitarbeiter
• Bewerber

Sie behalten die Kontrolle.

Der Dienstleister muss darlegen, wie er Daten schützt:

• Verschlüsselung
• Zugriffskontrollen
• Sicherheitskonzepte

Darf der Dienstleister weitere Subunternehmer einsetzen?

Sie müssen prüfen können, ob der Dienstleister die Vorgaben einhält.

Der Dienstleister muss Sie unterstützen, z. B. bei:

• Auskunftsanfragen
• Datenschutzverletzungen

Nach Vertragsende müssen Daten gelöscht oder zurückgegeben werden.

Viele Unternehmen machen bei AV-Verträgen ähnliche Fehler:

Ein sehr häufiger und kritischer Fehler.

Viele Anbieter stellen Vorlagen bereit – diese werden oft ungeprüft akzeptiert.

Problem: Inhalte sind nicht immer vollständig oder passend.

Ein Dienstleister wird als Auftragsverarbeiter behandelt, obwohl er eigenständig verantwortlich ist (oder umgekehrt).

Unternehmen verlassen sich auf Angaben des Dienstleisters, ohne diese zu hinterfragen.

Verträge werden einmal abgeschlossen – und dann nie wieder überprüft.

Ein strukturierter Ansatz hilft Ihnen, Fehler zu vermeiden.

Listen Sie alle Anbieter auf, die Zugriff auf Daten haben.

Ist der Dienstleister:

• Auftragsverarbeiter oder
• eigenständig Verantwortlicher?

Nutzen Sie:

• geprüfte Vorlagen
• oder Verträge der Anbieter (nach Prüfung)

Achten Sie besonders auf:

• Sicherheitsmaßnahmen
• Unterauftragnehmer
• Löschkonzepte

Speichern Sie alle Verträge zentral und nachvollziehbar.

Überprüfen Sie:

• Änderungen beim Dienstleister
• neue Risiken
• Aktualität der Verträge

Ein Unternehmen nutzt:

• ein Newsletter-Tool
• einen Cloud-Speicher
• ein CRM-System

Alle drei Anbieter sind Auftragsverarbeiter.

Notwendig:

• jeweils ein AV-Vertrag
• Prüfung der Sicherheitsmaßnahmen
• Dokumentation

Fehlt einer dieser Punkte → Risiko eines Verstoßes.

Ein fehlender AV-Vertrag kann zu:

• Bußgeldern
• Beanstandungen durch Behörden
• Vertrauensverlust
• rechtlichen Risiken

führen.

Aufsichtsbehörden prüfen diesen Punkt besonders häufig.

Der Auftragsverarbeitungsvertrag ist ein zentrales Element des Datenschutzes in der Lieferkette.

Die wichtigsten Punkte:

• AV-Vertrag ist Pflicht bei Auftragsverarbeitung
• Inhalte müssen vollständig und korrekt sein
• Dienstleister müssen geprüft werden
• regelmäßige Aktualisierung ist notwendig

Wenn Sie hier sauber arbeiten, vermeiden Sie einen der häufigsten DSGVO-Fehler.

Sie möchten Ihre AV-Verträge prüfen oder neu erstellen?
Wir unterstützen Sie bei der rechtssicheren Umsetzung und prüfen Ihre Dienstleister.

Jetzt Beratung anfragen auf www.datenschutz-prinz.de

Sie haben Fragen zu diesem Artikel? Rufen Sie uns gern unter 09122 6937302 an und vereinbaren Sie einen Gesprächstermin. Oder senden Sie uns einfach eine Nachricht. Wir freuen uns, Sie kennenzulernen!

Ihr Team von Datenschutz Prinz

Abonnieren Sie auch gerne unseren Blog für mehr Informationen rund um die Themen Datenschutz, KI, IT-Sicherheit und digitale Awareness.