AV-Vertrag nach Art. 28 DSGVO: Pflichtinhalte und Prüfung
Diese Seite behandelt den AV-Vertrag nach Art. 28 DSGVO: Pflichtinhalte, Weisungsbindung, Unterauftragsverarbeiter, technische und organisatorische Maßnahmen, Löschung sowie Kontroll- und Nachweismöglichkeiten. Im Mittelpunkt steht die rechtliche und vertragliche Prüfung eines konkreten Auftragsverarbeitungsvertrags. Die praktische Auswahl und laufende Steuerung von Dienstleistern wird im gesonderten Beitrag zur Auftragsverarbeitung mit Dienstleistern behandelt.
Auftragsverarbeitung DSGVO: Viele Verträge liegen vor, aber die Prüfung fehlt.
In der Praxis werden AV-Verträge häufig nur gesammelt. Datenschutzrechtlich reicht das nicht aus. Verantwortliche müssen wissen, welche Dienstleister personenbezogene Daten im Auftrag verarbeiten, ob die Vereinbarung inhaltlich passt und ob die Dienstleister hinreichende Garantien bieten.
Bei Software, Hosting, Wartung, Support und Portalen ist oft unklar, ob ein AVV besteht und ob dieser zum tatsächlichen Einsatz passt.
Newsletter, Terminbuchung, Cloudspeicher, Buchhaltung, Website-Dienste und CRM-Systeme werden genutzt, ohne die Auftragsverarbeitung sauber zu prüfen.
Ohne Dienstleisterliste fehlt der Überblick, welche Anbieter Daten verarbeiten, welche Verträge fehlen und welche Risiken offen sind.
AV-Verträge müssen zu Art. 28 DSGVO und zur tatsächlichen Nutzung passen.
Entscheidend sind nicht nur Vertragstexte. Maßgeblich ist, ob der konkrete Dienstleister, der konkrete Dienst und die tatsächliche Datenverarbeitung sauber geprüft und dokumentiert sind.
Orientierungshilfe zur Auftragsverarbeitung, insbesondere für die Einordnung und vertragliche Ausgestaltung.
BayLfD-Orientierungshilfe öffnenHinweise des Bayerischen Landesamts für Datenschutzaufsicht zur Auftragsverarbeitung nach Art. 28 DSGVO.
BayLDA-Hinweise öffnenRechtsgrundlage für den Einsatz von Auftragsverarbeitern und die Pflichtinhalte von Vereinbarungen zur Auftragsverarbeitung.
DSGVO und BDSG – BfDIAVV-Prüfung für Kommunen, öffentliche Stellen und kleine Unternehmen.
Ich prüfe vorhandene AV-Verträge, Dienstleisterlisten und typische Software- oder IT-Dienstleistungen. Ziel ist eine klare Übersicht: Was passt, was fehlt und was sollte nachverhandelt oder dokumentiert werden?
Die Prüfung der Auftragsverarbeitung eignet sich sehr gut als Einstieg in ein Datenschutzmandat. Fast jede Organisation hat externe Dienstleister, aber nur wenige haben eine wirklich saubere und aktuelle Übersicht.
Die Unterstützung kann punktuell für einzelne Verträge oder umfassend für alle eingesetzten Dienstleister erfolgen.
Prüfung, ob ein Dienstleister personenbezogene Daten im Auftrag verarbeitet oder ob eine andere datenschutzrechtliche Konstellation vorliegt.
- Auftragsverarbeitung
- eigene Verantwortlichkeit
- gemeinsame Verantwortlichkeit
- reine Nebenleistung
Prüfung, ob der Vertrag die wesentlichen Anforderungen abbildet und zur tatsächlichen Leistung passt.
- Gegenstand und Dauer
- Art und Zweck
- Daten und Betroffene
- Weisungen, Löschung und Kontrolle
Bewertung, ob Sicherheitsmaßnahmen, Unterauftragnehmer und Nachweise ausreichend transparent dokumentiert sind.
- technische Maßnahmen
- organisatorische Maßnahmen
- Subunternehmer
- Drittlandbezug
Diese Dienstleister sollten fast immer geprüft werden.
Ob ein AVV erforderlich ist, hängt vom konkreten Dienst ab. Bei diesen Bereichen sollte aber regelmäßig genau hingesehen werden.
Wenn Zugriff auf Systeme, Fachverfahren, E-Mail-Postfächer oder Dateien möglich ist, muss die datenschutzrechtliche Rolle sauber geklärt werden.
Webhosting, Cloudspeicher, Fachverfahren, Buchhaltung, Personalsoftware und CRM-Systeme verarbeiten regelmäßig personenbezogene Daten.
Kontaktformulare, Newsletterdienste, Terminbuchung, Analyse, Karten, Captcha und Sicherheitsdienste sind häufig AVV-relevant.
Auch analoge oder hybride Dienstleistungen können Auftragsverarbeitung sein, wenn personenbezogene Daten nach Weisung verarbeitet werden.
Auftragsverarbeitung DSGVO prüfen lassen für öffentliche Stellen und kleinere Betriebe.
Die Beratung richtet sich an Organisationen, die mit Dienstleistern arbeiten und ihre Verträge, Nachweise und Dokumentation sauber aufstellen möchten.
Für Rathäuser, Verwaltungsgemeinschaften, kommunale Einrichtungen und Fachbereiche mit vielen Software- und IT-Dienstleistern.
Für öffentliche Organisationen, die Fachverfahren, Hosting, Wartung, Portale oder externe Dienstleister datenschutzrechtlich einordnen müssen.
Für kleinere Organisationen, die Dienstleister nutzen, aber keine zentrale AVV- und Dienstleisterübersicht haben.
So läuft die Prüfung der Auftragsverarbeitung ab.
Der Ablauf ist bewusst schlank gehalten und kann für einzelne Verträge oder für die gesamte Dienstleisterlandschaft genutzt werden.
Welche Anbieter, Softwarelösungen und externen Dienstleister verarbeiten personenbezogene Daten?
Es wird geprüft, ob Auftragsverarbeitung, eigene Verantwortlichkeit oder eine andere Konstellation vorliegt.
Verträge, TOM, Unterauftragnehmer, Löschung, Weisungen und Kontrollrechte werden abgeglichen.
Sie bekommen eine priorisierte Liste mit fehlenden Verträgen, offenen Punkten und konkreten nächsten Schritten.
Häufige Fragen zur Auftragsverarbeitung DSGVO.
Wann brauche ich einen AVV?
Ein AVV ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Entscheidend ist die konkrete Leistung, nicht nur die Bezeichnung des Vertrags.
Reicht es, wenn der Dienstleister einen Vertrag schickt?
Nein. Der Vertrag muss inhaltlich geprüft werden. Außerdem müssen Leistung, Datenarten, TOM, Unterauftragnehmer, Löschung, Weisungen und Kontrollmöglichkeiten zur tatsächlichen Nutzung passen.
Was ist mit Software und Cloud-Diensten?
Viele Software- und Cloud-Dienste sind AVV-relevant, wenn dort personenbezogene Daten verarbeitet werden. Dazu gehören häufig Hosting, Fachverfahren, E-Mail, Cloudspeicher, Newsletter und Support.
Müssen Kommunen alle Dienstleister dokumentieren?
Kommunen sollten ihre datenschutzrelevanten Dienstleister nachvollziehbar erfassen. Nur so lässt sich prüfen, ob AV-Verträge, Datenschutzdokumentation und technische Maßnahmen vollständig sind.
Kann auch nur ein einzelner Vertrag geprüft werden?
Ja. Möglich ist eine Einzelprüfung eines konkreten AVV oder eine umfassende Prüfung der gesamten Dienstleister- und Softwarelandschaft.
Ich unterstütze bei Einordnung, AVV-Prüfung, TOM-Bewertung, Dienstleisterübersicht und Maßnahmenliste für Kommunen, öffentliche Stellen und kleine Unternehmen.
