Pflichtinhalte eines Auftragsverarbeitungs-Vertrags
Welche Elemente muss ein AVV nach Artikel 28 DSGVO enthalten?
Ein rechtssicherer AVV muss gemäß Artikel 28 DSGVO zahlreiche Pflichtinhalte umfassen. Dazu gehören die genaue Beschreibung von Gegenstand und Dauer der Verarbeitung, Art und Zweck der Datenverarbeitung sowie die Kategorien der verarbeiteten Daten und der betroffenen Personen. Zudem müssen die Weisungsgebundenheit des Auftragsverarbeiters, die Vertraulichkeitsverpflichtung aller beteiligten Personen sowie die technischen und organisatorischen Maßnahmen zum Datenschutz klar definiert sein.
Wie werden Subunternehmer im AVV geregelt?
Die Regelung zum Einsatz von Subunternehmern ist ein zentraler Bestandteil eines AVV. Typischerweise wird festgelegt, dass die Beauftragung von Subunternehmern nur mit vorheriger schriftlicher Zustimmung des Verantwortlichen zulässig ist. Der Auftragsverarbeiter muss den Verantwortlichen über jede beabsichtigte Änderung informieren und sicherstellen, dass auch die Subunternehmer die gleichen Datenschutzverpflichtungen einhalten wie er selbst.
Welche Unterstützungspflichten hat der Auftragsverarbeiter?
Der Auftragsverarbeiter ist verpflichtet, den Verantwortlichen bei der Erfüllung der Betroffenenrechte zu unterstützen. Dies umfasst Hilfe bei Auskunftsersuchen, Berichtigungs- und Löschungsanfragen sowie bei Anfragen zur Datenübertragbarkeit. Zudem muss er Unterstützung bei der Einhaltung weiterer Datenschutzpflichten leisten, insbesondere bei der Gewährleistung der Datensicherheit, der Meldung von Datenpannen, der Durchführung von Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen mit Aufsichtsbehörden.
Was gilt für die Beendigung der Auftragsverarbeitung?
Im AVV muss klar geregelt sein, was mit den personenbezogenen Daten nach Abschluss der Verarbeitung geschieht. Standardmäßig sollte festgelegt sein, dass der Auftragsverarbeiter alle personenbezogenen Daten entweder löscht oder an den Verantwortlichen zurückgibt, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Die Löschung oder Rückgabe muss nachweisbar und nach Möglichkeit dokumentiert sein.
Welche besonderen Anforderungen gelten bei Drittlandtransfers?
Bei Datenübermittlungen in Länder außerhalb der EU/des EWR müssen im AVV zusätzliche Vorkehrungen getroffen werden. Dies umfasst die explizite Regelung der Drittlandübermittlung mit Angabe der Empfängerländer, die Implementierung geeigneter Garantien wie EU-Standardvertragsklauseln sowie die Dokumentation einer Risikobewertung. Seit dem "Schrems II"-Urteil des EuGH sind die Anforderungen an internationale Datentransfers erheblich gestiegen und erfordern eine gründliche Prüfung und Dokumentation.
Welche Fehler treten bei AVVs in der Praxis häufig auf?
In der Praxis weisen AVVs häufig Mängel auf, die zu ihrer Unwirksamkeit führen können. Zu den häufigsten Fehlern zählen zu unspezifische Beschreibungen der Verarbeitung, fehlende oder unklare Regelungen zu Subunternehmern, unzureichende Beschreibungen der technischen und organisatorischen Maßnahmen, fehlende Definition von Weisungs- und Kontrollrechten sowie lückenhafte Löschkonzepte. Die Verwendung veralteter Vertragsmuster, die nicht den aktuellen Anforderungen der DSGVO entsprechen, stellt ebenfalls ein erhebliches Risiko dar.
