Auftragsverarbeitung nach Art. 28 DSGVO praxistauglich

Abgrenzung: Auftragsverarbeitung oder gemeinsame Verantwortung?

Bevor ein AVV abgeschlossen wird, muss die Rolle geklärt sein. Drei Konfigurationen sind möglich:

• Auftragsverarbeitung (Art. 28): Verarbeiter handelt ausschließlich auf Weisung des Verantwortlichen. Klassisch: Cloud-Hoster, Newsletter-Versand-Dienst, externer Buchhalter.
• Gemeinsame Verantwortung (Art. 26): Zwei oder mehr Akteure entscheiden gemeinsam über Zwecke und Mittel. Klassisch: Werbe-Kooperation zwischen Marken, gemeinsam betriebene Plattform.

Detail

• Eigenverantwortliche Verarbeitung: Empfänger verarbeitet die Daten für eigene Zwecke. Klassisch: Steuerberater, Anwalt — sie sind eigenverantwortlich, nicht Auftragsverarbeiter.

Die Unterscheidung folgt dem funktionalen Ansatz des EDSA in den Guidelines 07/2020: Wer trifft die Entscheidung über Zwecke und Mittel? Wer bestimmt das "Warum" und das "Wie"?

Bei Auftragsverarbeitung entscheidet der Verantwortliche, der Verarbeiter folgt Weisungen. Bei gemeinsamer Verantwortung entscheiden beide. Bei eigenverantwortlicher Verarbeitung entscheidet der Empfänger.

Pflichtinhalte des AVV (Art. 28 Abs. 3)

Art. 28 Abs. 3 DSGVO listet die Pflichtinhalte des AVV. Ohne einen dieser Punkte ist der AVV nicht vollständig:

• Gegenstand und Dauer der Verarbeitung.
• Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten (z.B. Stammdaten, Bewegungsdaten, Gesundheitsdaten).
• Kategorien betroffener Personen (Kunden, Beschäftigte, Bewerber).
• Pflichten und Rechte des Verantwortlichen.

Außerdem muss der AVV vorsehen, dass der Auftragsverarbeiter:

• Daten nur auf dokumentierte Weisung verarbeitet — einschließlich bei Drittlandübermittlungen.
• Vertraulichkeitsverpflichtung der mit der Verarbeitung befassten Personen sicherstellt.
• Alle erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 ergreift.
• Voraussetzungen für die Einschaltung von Sub-Verarbeitern nach Art. 28 Abs. 2 und 4 einhält.
• Den Verantwortlichen bei der Erfüllung der Pflichten (Art. 32-36 DSGVO) und bei Anfragen betroffener Personen unterstützt.
• Nach Abschluss der Verarbeitung alle Daten löscht oder zurückgibt (Wahlrecht des Verantwortlichen).
• Alle erforderlichen Informationen zur Verfügung stellt und Überprüfungen ermöglicht.

Die SCC für AVV — wann sind sie sinnvoll?

Die EU-Kommission hat im Juni 2021 Standard Contractual Clauses für AVV-Verträge veröffentlicht — ein vorgefertigtes Vertragsmuster, das alle Pflichtinhalte des Art. 28 Abs. 3 abdeckt. Vorteile:

Detail

• Rechtssicherheit: Wenn die SCC unverändert übernommen werden, ist die AVV-Vollständigkeit gewährleistet.
• Effizienz: kein Aushandeln mehr von Standardklauseln.
• Internationale Übertragbarkeit: SCC können auch für Drittland-Auftragsverarbeitungen genutzt werden (kombiniert mit den separaten Drittland-SCC).

Die SCC für AVV sind frei verfügbar. Anbieter dürfen sie ergänzen — aber nicht inhaltlich verändern oder einzelne Pflichten herausstreichen.

In der Praxis nutzen viele große Anbieter (Microsoft, Google, AWS, Salesforce) ihre eigenen AVVs, die sich an den SCC orientieren, aber zusätzliche Klauseln enthalten — Service-spezifische Pflichten, Sub-Verarbeiter-Listen, technische Spezifikationen. Solche Anbieter-AVVs sind zulässig, wenn alle Pflichtinhalte erfüllt sind.

Sub-Verarbeiter (Art. 28 Abs. 2 und 4)

Auftragsverarbeiter dürfen weitere Auftragsverarbeiter (Sub-Verarbeiter) nur mit vorheriger Genehmigung des Verantwortlichen einschalten. Zwei Modelle:

• Spezifische Genehmigung: Verantwortlicher genehmigt jeden einzelnen Sub-Verarbeiter individuell.
• Generelle Genehmigung: Verantwortlicher genehmigt vorab eine Liste, mit Informations- und Widerspruchsrecht bei Änderungen.

Die generelle Genehmigung ist die Standard-Praxis bei großen SaaS-Anbietern. Der Anbieter pflegt eine Sub-Verarbeiter-Liste auf seiner Website, informiert mindestens 30 Tage vor Änderungen, und der Verantwortliche kann widersprechen — was in der Praxis meist nur Kündigung bedeutet.

Wichtige Pflichten beim Sub-Verarbeiter (Art. 28 Abs. 4):

• Der Auftragsverarbeiter muss dem Sub-Verarbeiter dieselben Datenschutzpflichten auferlegen — mit einem AVV zwischen Auftragsverarbeiter und Sub-Verarbeiter.
• Der Auftragsverarbeiter haftet weiterhin gegenüber dem Verantwortlichen, wenn der Sub-Verarbeiter seine Pflichten verletzt.

In der Praxis kennzeichnet das die "Kette der AVVs": Verantwortlicher → Auftragsverarbeiter → Sub-Verarbeiter → ggf. Sub-Sub-Verarbeiter. Jede Stufe braucht ihren AVV.

Technische und organisatorische Maßnahmen (TOMs)

Art. 28 Abs. 1 verlangt, dass nur Auftragsverarbeiter mit hinreichenden Garantien beauftragt werden. Konkret: Maßnahmen nach Art. 32 DSGVO — Pseudonymisierung, Verschlüsselung, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit, Verfahren zur regelmäßigen Überprüfung.

Der AVV muss die TOMs als Anhang enthalten. Klassische Inhalte:

• Zugriffskontrolle (physisch und logisch).
• Zugangskontrolle (Authentifizierung, MFA).
• Zugriffskontrolle auf Anwendungsebene (Rollen, Berechtigungen).
• Weitergabekontrolle (Verschlüsselung in transit).
• Eingabekontrolle (Logging, Auditierbarkeit).
• Verfügbarkeitskontrolle (Backup, Disaster Recovery).
• Trennungskontrolle (Mandantenfähigkeit).
• Pseudonymisierung und Verschlüsselung at rest.

Bei Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtsbezogener Daten (Art. 10) gelten erhöhte Anforderungen. §22 BDSG listet zusätzliche TOMs für deutsche Verantwortliche (siehe gesonderter Artikel zu Gesundheitsdaten).

Audit- und Kontrollrechte

Der AVV muss dem Verantwortlichen ermöglichen, die Einhaltung der TOMs zu überprüfen. Zwei Wege:

• Selbstauskunft: Der Auftragsverarbeiter stellt einen Nachweis bereit — typischerweise ein ISO/IEC 27001-Zertifikat, ein SOC-2-Type-II-Bericht, oder ein Trusted-Cloud-Zertifikat. Bei großen SaaS-Anbietern Standard.
• Vor-Ort-Audit: Der Verantwortliche kann eine Vor-Ort-Prüfung verlangen — in der Praxis selten genutzt, weil aufwendig.

Anbieter beschränken die Audit-Rechte oft kontraktuell (z.B. max. ein Audit pro Jahr, Vorankündigung 30 Tage, Vergütung der Anbieter-Aufwände). Solche Beschränkungen sind zulässig, soweit sie das grundsätzliche Kontrollrecht nicht aushöhlen — der EDSA hat in einigen Fällen interveniert, wenn die Beschränkungen das Recht faktisch verhindern.

Praxis: AVV-Compliance in fünf Schritten

Vollständige Checkliste:

1. Verarbeiter identifizieren: Wer verarbeitet personenbezogene Daten in unserem Auftrag?
2. AVV abschließen oder prüfen: Vorhandene AVVs gegen Art. 28 Abs. 3 checken — alle Pflichtinhalte enthalten?
3. Sub-Verarbeiter-Liste: Pro Auftragsverarbeiter die Sub-Verarbeiter erfassen — bei Drittland-Sub-Verarbeitung TIA durchführen.
4. TOMs als Anhang: TOM-Anhang prüfen und aktualisieren.
5. Audit-Rechte aktiv ausüben: mindestens einmal jährlich Selbstauskunft einholen, Zertifikate prüfen.

FAQ

Brauche ich einen AVV mit Microsoft, Google, AWS?

Ja, wenn ihr deren Dienste für die Verarbeitung personenbezogener Daten nutzt. Microsoft 365, Google Workspace, AWS und ähnliche Anbieter haben eigene AVVs, die ihr beim Vertragsabschluss akzeptiert oder gesondert unterzeichnen müsst. Bei Microsoft heißt das "Data Protection Addendum", bei Google "Data Processing Amendment", bei AWS "GDPR Data Processing Addendum". Diese AVVs sind in der Regel Art.-28-konform.

Was, wenn der Anbieter keinen AVV anbietet?

Dann müsst ihr ihn vorlegen — typischerweise die EU-SCC für AVV. Wenn der Anbieter sich weigert oder den AVV nicht unterzeichnen will: Wechsel des Anbieters. Ohne AVV ist die Auftragsverarbeitung formal unrechtmäßig — Verstoß gegen Art. 28 plus unrechtmäßige Datenverarbeitung nach Art. 6.

Sind Konzern-interne Auftragsverarbeitungen vereinfacht?

Nein, formal nicht. Ein Konzern besteht aus eigenständigen juristischen Personen. Wenn Tochter A für Mutter B Daten verarbeitet, ist das eine Auftragsverarbeitung und braucht einen AVV. In der Praxis werden Konzern-AVVs als Rahmenverträge konstruiert — einmal abgeschlossen, dann für alle Konzern-Gesellschaften wirksam.

Wie lange muss ein AVV aufbewahrt werden?

Solange die Verarbeitung läuft plus die Verjährungsfristen (drei Jahre für allgemeine Ansprüche, zehn Jahre bei Bußgeldforderungen der Aufsicht). In der Praxis empfiehlt sich Aufbewahrung plus zehn Jahre nach Beendigung der Auftragsverarbeitung — als Nachweis für die Aufsicht und für etwaige Schadensersatzansprüche betroffener Personen.