AVV: Wann brauchst du einen Auftragsverarbeitungsvertrag?

Kurze Antwort: Immer dann, wenn ein Dienstleister personenbezogene Daten nach deinen Weisungen verarbeitet, ohne eigene Zwecke damit zu verfolgen. Bei Solo-Selbstständigen trifft das auf mehr Werkzeuge zu als vermutet — und der Abschluss dauert meist zwei Minuten.

Die Abgrenzung, auf die es ankommt

Grundlage ist Art. 28 DSGVO. Entscheidend ist die Frage: Verarbeitet der Dienstleister weisungsgebunden für dich, oder handelt er fachlich eigenverantwortlich?

AVV nötig — der Dienstleister ist im Kern ein technisches Werkzeug: Hoster, Cloud-Speicher, Newsletter-Versand, externe IT, Lohnabrechnung. Er entscheidet nicht über die Daten, er verarbeitet sie für dich.
Kein AVV — bei Steuerberatern und Rechtsanwälten. Sie handeln fachlich eigenverantwortlich, deshalb liegt keine Auftragsverarbeitung vor, sondern eine eigene beziehungsweise gemeinsame Verantwortlichkeit. Ein AVV wäre hier sogar der falsche Vertragstyp.

Wo Solo-Selbstständige den AVV am häufigsten übersehen

Nicht bei den großen Systemen — die fragen meist selbst danach. Übersehen wird er typischerweise bei:

dem Webhoster — auf dessen Servern liegen die Server-Logdateien mit IP-Adressen deiner Besucher
dem Newsletter-Dienst — die Empfängerliste ist personenbezogene Daten in Reinform
Cloud-Speicher, in dem Kundenunterlagen liegen
Terminbuchungs-Werkzeugen — Name, E-Mail, teils Telefonnummer der Kunden

Wie es praktisch abläuft

Seriöse europäische Anbieter halten den AVV im Kundenkonto bereit. Der Ablauf ist fast überall gleich: Firmenname, Anschrift und Unterzeichner eintragen, bestätigen, PDF herunterladen und aufbewahren. Zwei Minuten.

Ein Beispiel von dieser Seite selbst: Der Hoster Uberspace stellt den AVV im Dashboard bereit und legt zusätzlich offen, welche Unterauftragnehmer eingesetzt werden — beim Hosting keine, die Rechenzentren liefern nur Gebäude, Strom und Netz. Genau diese Transparenz ist das, was einen AVV überhaupt sinnvoll macht.

Worauf du beim Prüfen achten solltest:

Sind die Unterauftragnehmer benannt? Ein Anbieter, der seine Subdienstleister nicht offenlegt, kann dir auch nicht sagen, wo deine Daten wirklich liegen.
Gibt es eine Aufstellung der technischen und organisatorischen Maßnahmen?
Wird ein Drittland berührt? Dann brauchst du zusätzlich eine Grundlage für die Übermittlung — siehe US-Cloud und DSGVO.

Warum sich der Aufwand lohnt

Der Bußgeldrahmen bei Verstößen gegen Art. 28 liegt nach Art. 83 Abs. 4 DSGVO bei bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes — und zwar für beide Seiten, auch für den Auftraggeber. Für einen Einzelunternehmer ist die realistische Größenordnung natürlich weit darunter. Der praktische Punkt ist ein anderer: Fragt eine Aufsichtsbehörde oder ein Geschäftskunde nach, willst du die PDFs im Ordner haben und nicht anfangen zu suchen.

→ Zum Verzeichnis: europäische Anbieter mit Serverstandort

Keine Rechtsberatung. Dieser Text gibt allgemeine Informationen wieder und ersetzt keine Prüfung deines Einzelfalls. Ob in deiner konkreten Konstellation Auftragsverarbeitung vorliegt, hängt von den Umständen ab. Bei Unsicherheit wende dich an einen Rechtsanwalt oder Datenschutzbeauftragten.