AVV-Prüfung

Ein Auftragsverarbeitungsvertrag (AVV) ist eine rechtlich verbindliche Vereinbarung nach Art. 28 DSGVO zwischen einem Verantwortlichen (Ihrem Unternehmen) und einem Auftragsverarbeiter (z.B. einem Cloud-Anbieter, IT-Dienstleister, Marketinganbieter). Er regelt, wie der Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten darf, welche technischen und organisatorischen Maßnahmen er ergreift und welche Rechte Sie als Auftraggeber haben.

Immer dann, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet — also nicht für eigene Zwecke. Typische Beispiele: Cloud-Services (Microsoft 365, Google Workspace, AWS, Azure), E-Mail-Marketing-Tools, CRM-Systeme, Lohnabrechnung extern, IT-Support mit Systemzugang, Buchhaltungssoftware als SaaS, Videokonferenz-Dienste, Hosting-Anbieter, HR-Software. Die Liste ist länger als die meisten Unternehmen vermuten.

Art. 28 DSGVO schreibt einen Mindestinhalt vor: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien der Betroffenen sowie Pflichten und Rechte des Verantwortlichen. Außerdem: Vertraulichkeitsverpflichtung, Sicherheitsmaßnahmen (TOM), Sub-Auftragsverarbeitung, Unterstützungspflichten bei Betroffenenanfragen, Löschung/Rückgabe nach Vertragsende und Nachweispflichten. Ein AVV-Template des Dienstleisters reicht oft nicht aus — es muss Ihren konkreten Fall abdecken.

Meist nicht vollständig. Viele Dienstleister bieten Muster-AVVs an, die die gesetzlichen Mindestanforderungen erfüllen — aber Ihre spezifische Verarbeitung nicht immer korrekt abbilden. Wir prüfen, ob der vorgelegte AVV zu Ihren tatsächlichen Verarbeitungstätigkeiten passt, ob die vereinbarten TOM ausreichend sind und ob Regelungen zu Sub-Auftragsverarbeitern vollständig und akzeptabel sind.

Das Fehlen eines AVV bei einer Auftragsverarbeitung ist ein direkter DSGVO-Verstoß. Die Aufsichtsbehörden prüfen dies aktiv, besonders nach Datenpannen oder Beschwerden. Bußgelder können bis zu 10 Millionen EUR oder 2% des weltweiten Jahresumsatzes betragen. Neben Bußgeldern drohen Schadensersatzansprüche von Betroffenen und Reputationsschäden.

Zunächst inventarisieren wir gemeinsam alle Ihre externen Dienstleister mit Datenzugang. Für jeden prüfen wir: Liegt ein AVV vor? Ist er DSGVO-konform? Deckt er die tatsächliche Verarbeitung ab? Sind die TOM ausreichend? Für fehlende AVVs erarbeiten wir Muster, für lückenhafte helfen wir bei Nachverhandlungen. Am Ende erhalten Sie eine vollständige AVV-Übersicht als Teil Ihrer Datenschutzdokumentation.

Ja, und das ist besonders kritisch. Wenn Dienstleister Daten in Länder außerhalb der EU/EEA übertragen (z.B. USA), brauchen Sie zusätzlich einen Transfermechanismus — z.B. EU-Standardvertragsklauseln (SCCs). Wir prüfen, ob Ihre Dienstleister Daten in Drittstaaten übertragen und ob die erforderlichen Garantien vorliegen. Besonders relevant: viele US-SaaS-Dienste (auch mit EU-Rechenzentrum) können unter US-Recht fallen.