Was ist ein AVV?

Der AVV einfach erklärt

Wenn Sie Ihre Wohnung im Urlaub einer Nachbarin anvertrauen, sprechen Sie vorher ab: Blumen gießen ja, Post öffnen nein, Schlüssel nicht weitergeben. Ein AVV macht genau das – nur schriftlich und für Daten. Er legt fest, was ein Dienstleister mit den personenbezogenen Daten eines Unternehmens tun darf und was nicht.

Personenbezogen sind alle Daten, die sich einer Person zuordnen lassen, etwa Namen, E-Mail-Adressen, Kundennummern oder Gehaltsdaten. Die Datenschutz-Grundverordnung (DSGVO) unterscheidet zwei Rollen: Der Verantwortliche entscheidet, warum und wie Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet sie in dessen Auftrag und nach dessen Weisung.

Typische Auftragsverarbeiter sind Hosting- und Cloud-Anbieter, Dienstleister für den Newsletterversand oder externe IT-Dienstleister mit Zugriff auf Kundendatenbanken. Wichtig: Die Verantwortung bleibt beim Auftraggeber. Er darf nur Dienstleister einsetzen, die ausreichend belegen können, dass sie die Daten mit geeigneten technischen und organisatorischen Maßnahmen schützen.

Das regelt ein AVV

Art. 28 Abs. 3 DSGVO legt fest, was ein AVV mindestens enthalten muss:

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung – also was mit den Daten geschieht und wie lange.
2. Art der Daten und Kreis der Betroffenen, etwa Kontaktdaten von Kundinnen und Kunden oder Personaldaten von Beschäftigten.
3. Weisungsbindung: Der Dienstleister verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers.
4. Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
5. Sicherheitsmaßnahmen: Der Dienstleister trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM).
6. Unterauftragnehmer: Weitere Dienstleister darf er nur mit vorheriger Genehmigung des Auftraggebers einschalten.
7. Unterstützung, Löschung, Kontrolle: Der Dienstleister hilft bei Anfragen von Betroffenen und bei Datenpannen, löscht oder übergibt die Daten nach Auftragsende und ermöglicht Überprüfungen einschließlich Inspektionen.

Der Vertrag ist schriftlich abzufassen; ein elektronisches Format ist ausdrücklich zulässig. Als Vorlage dienen oft Muster von Aufsichtsbehörden oder Verbänden. Die EU-Kommission hat zudem Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht.

Ein Beispiel aus der Praxis

Ein mittelständischer Onlinehändler möchte seinen Webshop auf Schwachstellen prüfen lassen. Im Vorgespräch wird klar: Das Prüfteam könnte im Test auch Bereiche mit echten Kundendaten erreichen, etwa Bestellungen und Adressen.

Die Datenschutzbeauftragte des Händlers prüft den Fall und empfiehlt einen AVV. Händler und Dienstleister schließen ihn vor Testbeginn ab. Darin steht unter anderem, dass Kundendaten nur so weit eingesehen werden, wie es für den Nachweis einer Schwachstelle nötig ist, und dass Kopien nach Projektende gelöscht werden. Für Netzpläne, Zugangsdaten und den Ergebnisbericht vereinbaren beide zusätzlich eine Vertraulichkeitsvereinbarung (NDA). So sind die Kundendaten ebenso geschützt wie die Geschäftsgeheimnisse des Händlers.

Warum ist das für Unternehmen wichtig?

Fehlt ein erforderlicher AVV, liegt ein Verstoß gegen die DSGVO vor – in der Regel auf beiden Seiten. Die Datenschutzaufsicht kann dafür Bußgelder verhängen. Art. 83 Abs. 4 DSGVO sieht einen Rahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Die tatsächliche Höhe hängt vom Einzelfall ab.

Mindestens so wichtig ist der praktische Nutzen: Ein guter AVV schafft Klarheit, wer was mit welchen Daten tun darf. Bei einer Datenpanne ist schnell klar, wer wen informieren muss. Und gegenüber Kunden, Auditoren und Behörden belegen Sie, dass Sie Ihre Dienstleister sorgfältig ausgewählt und vertraglich gebunden haben.

Auch bei IT-Sicherheitsleistungen spielt der AVV eine Rolle. Ob ein Penetrationstest oder eine Phishing-Simulation als Auftragsverarbeitung gilt, hängt vom Einzelfall ab – vor allem davon, ob das Prüfteam Zugriff auf personenbezogene Daten erhält. Eine NDA ersetzt den AVV nicht, sondern ergänzt ihn: Die NDA schützt vertrauliche Geschäftsinformationen, der AVV regelt den Umgang mit personenbezogenen Daten.

Was Unternehmen jetzt tun sollten

• Dienstleister erfassen: Listen Sie alle externen Partner auf, die mit personenbezogenen Daten Ihres Unternehmens arbeiten – vom Hosting bis zur Fernwartung.
• Verträge prüfen: Gibt es für jeden dieser Dienstleister einen aktuellen AVV, der die Mindestinhalte nach Art. 28 DSGVO abdeckt?
• TOM einfordern: Lassen Sie sich die Sicherheitsmaßnahmen des Dienstleisters beschreiben und prüfen Sie, ob sie zum Risiko passen.
• Unterauftragnehmer im Blick behalten: Lassen Sie sich mitteilen, welche weiteren Dienstleister eingebunden sind und wie Sie über Änderungen informiert werden.
• Datenschutzbeauftragte einbinden: Klären Sie Zweifelsfälle, etwa bei Sicherheitstests, frühzeitig mit der oder dem Datenschutzbeauftragten Ihres Unternehmens.
• Vertraulichkeit zusätzlich regeln: Für Netzpläne, Zugangsdaten oder Testergebnisse empfiehlt sich ergänzend eine NDA.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.

Wie Rootsektor unterstützt

Ob bei einem Penetrationstest oder einer Sicherheitsanalyse personenbezogene Daten berührt werden, klären wir mit Ihnen bereits im Scoping – so können Sie rechtzeitig entscheiden, ob ein AVV nötig ist. Auf Wunsch unterzeichnen wir vorab eine Vertraulichkeitsvereinbarung. Sie haben Fragen zu einem geplanten Projekt? Nehmen Sie Kontakt mit uns auf oder fordern Sie direkt über die Seite Pentest-Angebot ein Angebot an.