Wann brauchst du einen Auftragsverarbeitungsvertrag?
Immer dann, wenn ein Dienstleister personenbezogene Daten nach deinen Weisungen verarbeitet, ohne eigene Zwecke damit zu verfolgen. Bei Solo-Selbstständigen trifft das auf mehr Werkzeuge zu als vermutet. Der Abschluss dauert meist zwei Minuten.
Die Abgrenzung, auf die es ankommt
Grundlage ist Art. 28 DSGVO. Entscheidend ist eine einzige Frage. Verarbeitet der Dienstleister weisungsgebunden für dich, oder handelt er fachlich eigenverantwortlich?
Einen AVV brauchst du, wenn der Dienstleister im Kern ein technisches Werkzeug ist. Der Hoster, der Cloud-Speicher, der Newsletter-Versand, die externe IT, die Lohnabrechnung. Sie entscheiden nicht über die Daten, sie verarbeiten sie für dich.
Keinen AVV brauchst du bei Steuerberatern und Rechtsanwälten. Die handeln fachlich eigenverantwortlich, weshalb hier keine Auftragsverarbeitung vorliegt, sondern eine eigene beziehungsweise gemeinsame Verantwortlichkeit. Ein AVV wäre in diesem Fall sogar der falsche Vertragstyp.
Wo Solo-Selbstständige ihn am häufigsten übersehen
Nicht bei den großen Systemen, die fragen meist selbst danach. Übersehen wird er bei den kleinen Dingen, die man gar nicht als Datenverarbeitung wahrnimmt.
- Der Webhoster. Auf dessen Servern liegen die Logdateien mit den IP-Adressen deiner Besucher.
- Der Newsletter-Dienst. Die Empfängerliste ist personenbezogene Daten in Reinform.
- Cloud-Speicher, in dem Kundenunterlagen liegen.
- Terminbuchungs-Werkzeuge. Name, E-Mail, teils Telefonnummer der Kunden.
- Der Übersetzungsdienst, in den du einen Kundentext hineinkopierst. Das fällt fast niemandem ein.
Wie es praktisch abläuft
Seriöse europäische Anbieter halten den AVV im Kundenkonto bereit. Der Ablauf ist fast überall gleich. Firmenname, Anschrift und Unterzeichner eintragen, bestätigen, PDF herunterladen und aufbewahren.
Ein Beispiel von dieser Seite selbst. Der Hoster Uberspace stellt den AVV im Dashboard bereit und legt zusätzlich offen, welche Unterauftragnehmer im Einsatz sind — beim Hosting keine, die Rechenzentren liefern nur Gebäude, Strom und Netz und haben keine Zugangsdaten zu den Servern. Diese Transparenz ist das, was einen AVV überhaupt sinnvoll macht.
Beim Prüfen lohnt der Blick auf drei Dinge. Sind die Unterauftragnehmer benannt? Ein Anbieter, der seine Subdienstleister nicht offenlegt, kann dir auch nicht sagen, wo deine Daten wirklich liegen. Gibt es eine Aufstellung der technischen und organisatorischen Maßnahmen? Und wird ein Drittland berührt, dann brauchst du zusätzlich eine Grundlage für die Übermittlung. Mehr dazu im Artikel über US-Cloud-Dienste.
Warum sich der Aufwand lohnt
Der Bußgeldrahmen bei Verstößen gegen Art. 28 liegt nach Art. 83 Abs. 4 DSGVO bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes, und zwar für beide Seiten, auch für den Auftraggeber. Für einen Einzelunternehmer ist die realistische Größenordnung natürlich weit darunter.
Der praktische Punkt ist ein anderer. Fragt eine Aufsichtsbehörde oder ein Geschäftskunde nach, willst du die PDFs im Ordner haben und nicht anfangen zu suchen.
Zum Verzeichnis mit europäischen Anbietern
Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Ob in deiner konkreten Konstellation Auftragsverarbeitung vorliegt, hängt von den Umständen ab. Bei Unsicherheit wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.