Auftragsverarbeitung nach Art. 28 DSGVO praxistauglich

Abgrenzung: Auftragsverarbeitung oder gemeinsame Verantwortung?

Bevor ein AVV abgeschlossen wird, muss die Rolle geklärt sein. Drei Konfigurationen sind möglich:

• Auftragsverarbeitung (Art. 28): Verarbeiter handelt ausschließlich auf Weisung des Verantwortlichen. Klassisch: Cloud-Hoster, Newsletter-Versand-Dienst, Rechenzentrum für die Lohn- und Gehaltsabrechnung (DSK-Kurzpapier Nr. 13, Anhang A).
• Gemeinsame Verantwortung (Art. 26): Zwei oder mehr Akteure entscheiden gemeinsam über Zwecke und Mittel. Klassisch: Werbe-Kooperation zwischen Marken, gemeinsam betriebene Plattform.

• Eigenverantwortliche Verarbeitung: Empfänger verarbeitet die Daten für eigene Zwecke. Klassisch: Steuerberater, Anwalt, sie sind eigenverantwortlich, nicht Auftragsverarbeiter.

Die Unterscheidung folgt dem funktionalen Ansatz des EDSA in den Guidelines 07/2020: Wer trifft die Entscheidung über Zwecke und Mittel? Wer bestimmt das "Warum" und das "Wie"?

Bei Auftragsverarbeitung entscheidet der Verantwortliche, der Verarbeiter folgt Weisungen. Bei gemeinsamer Verantwortung entscheiden beide. Bei eigenverantwortlicher Verarbeitung entscheidet der Empfänger.

Pflichtinhalte des AVV (Art. 28 Abs. 3)

Art. 28 Abs. 3 DSGVO listet die Pflichtinhalte des AVV. Ohne einen dieser Punkte ist der AVV nicht vollständig:

• Gegenstand und Dauer der Verarbeitung.
• Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten (z.B. Stammdaten, Bewegungsdaten, Gesundheitsdaten).
• Kategorien betroffener Personen (Kunden, Beschäftigte, Bewerber).
• Pflichten und Rechte des Verantwortlichen.

Außerdem muss der AVV vorsehen, dass der Auftragsverarbeiter:

• Daten nur auf dokumentierte Weisung verarbeitet, einschließlich bei Drittlandübermittlungen.
• Vertraulichkeitsverpflichtung der mit der Verarbeitung befassten Personen sicherstellt.
• Alle erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 ergreift.
• Voraussetzungen für die Einschaltung von Sub-Verarbeitern nach Art. 28 Abs. 2 und 4 einhält.
• Den Verantwortlichen bei der Erfüllung der Pflichten (Art. 32-36 DSGVO) und bei Anfragen betroffener Personen unterstützt.
• Nach Abschluss der Verarbeitung alle Daten löscht oder zurückgibt (Wahlrecht des Verantwortlichen).
• Alle erforderlichen Informationen zur Verfügung stellt und Überprüfungen ermöglicht.

Die SCC für AVV: wann sind sie sinnvoll?

Die EU-Kommission hat im Juni 2021 Standard Contractual Clauses für AVV-Verträge veröffentlicht, ein vorgefertigtes Vertragsmuster, das alle Pflichtinhalte des Art. 28 Abs. 3 abdeckt. Vorteile:

• Rechtssicherheit: Wenn die SCC unverändert übernommen werden, ist die AVV-Vollständigkeit gewährleistet.
• Effizienz: kein Aushandeln mehr von Standardklauseln.
• Internationale Übertragbarkeit: Für Auftragsverarbeiter in Drittländern gibt es eigene Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Module 2 und 3), die die Anforderungen aus Art. 28 Abs. 3 und 4 bereits mit abdecken.

Die SCC für AVV (Durchführungsbeschluss (EU) 2021/915) sind frei verfügbar. Anbieter dürfen sie ergänzen, aber nicht inhaltlich verändern oder einzelne Pflichten herausstreichen.

In der Praxis nutzen viele große Anbieter (Microsoft, Google, AWS, Salesforce) ihre eigenen AVVs mit Service-spezifischen Pflichten, Sub-Verarbeiter-Listen und technischen Spezifikationen. Solche Anbieter-AVVs sind zulässig, wenn alle Pflichtinhalte erfüllt sind.

Sub-Verarbeiter (Art. 28 Abs. 2 und 4)

Auftragsverarbeiter dürfen weitere Auftragsverarbeiter (Sub-Verarbeiter) nur mit vorheriger Genehmigung des Verantwortlichen einschalten. Zwei Modelle:

• Spezifische Genehmigung: Verantwortlicher genehmigt jeden einzelnen Sub-Verarbeiter individuell.
• Generelle Genehmigung: Verantwortlicher genehmigt vorab eine Liste, mit Informations- und Widerspruchsrecht bei Änderungen.

Die generelle Genehmigung ist die Standard-Praxis bei großen SaaS-Anbietern. Der Anbieter pflegt eine Sub-Verarbeiter-Liste auf seiner Website und informiert nach Art. 28 Abs. 2 DSGVO über jede beabsichtigte Änderung; die Vorlauffrist legt der jeweilige Vertrag fest. Der Verantwortliche kann Einspruch erheben, was in der Praxis meist nur Kündigung bedeutet.

Wichtige Pflichten beim Sub-Verarbeiter (Art. 28 Abs. 4):

• Der Auftragsverarbeiter muss dem Sub-Verarbeiter dieselben Datenschutzpflichten auferlegen, mit einem AVV zwischen Auftragsverarbeiter und Sub-Verarbeiter.
• Der Auftragsverarbeiter haftet weiterhin gegenüber dem Verantwortlichen, wenn der Sub-Verarbeiter seine Pflichten verletzt.

In der Praxis kennzeichnet das die "Kette der AVVs": Verantwortlicher → Auftragsverarbeiter → Sub-Verarbeiter → ggf. Sub-Sub-Verarbeiter. Jede Stufe braucht ihren AVV.

Technische und organisatorische Maßnahmen (TOMs)

Art. 28 Abs. 1 verlangt, dass nur Auftragsverarbeiter mit hinreichenden Garantien beauftragt werden. Konkret: Maßnahmen nach Art. 32 DSGVO, Pseudonymisierung, Verschlüsselung, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit, Verfahren zur regelmäßigen Überprüfung.

Art. 28 Abs. 3 lit. c DSGVO verlangt, dass der Auftragsverarbeiter alle nach Art. 32 erforderlichen Maßnahmen ergreift; in der Praxis werden die TOMs dem AVV als Anlage beigefügt. Klassische Inhalte:

• Zutrittskontrolle (physischer Zutritt zu Räumen und Anlagen).
• Zugangskontrolle (Authentifizierung, MFA).
• Zugriffskontrolle auf Anwendungsebene (Rollen, Berechtigungen).
• Weitergabekontrolle (Verschlüsselung in transit).
• Eingabekontrolle (Logging, Auditierbarkeit).
• Verfügbarkeitskontrolle (Backup, Disaster Recovery).
• Trennungskontrolle (Mandantenfähigkeit).
• Pseudonymisierung und Verschlüsselung at rest.

Bei Verarbeitung besonderer Kategorien (Art. 9) oder strafrechtsbezogener Daten (Art. 10) gelten erhöhte Anforderungen. Für besondere Kategorien nennt § 22 Abs. 2 BDSG konkrete Maßnahmen, die bei einer Verarbeitung auf Grundlage von § 22 Abs. 1 BDSG vorzusehen sind (siehe gesonderter Artikel zu Gesundheitsdaten).

Audit- und Kontrollrechte

Der AVV muss dem Verantwortlichen ermöglichen, die Einhaltung der TOMs zu überprüfen. Zwei Wege:

• Selbstauskunft: Der Auftragsverarbeiter stellt einen Nachweis bereit, typischerweise ein ISO/IEC 27001-Zertifikat, ein SOC-2-Type-II-Bericht, oder ein Trusted-Cloud-Zertifikat. Bei großen SaaS-Anbietern Standard.
• Vor-Ort-Audit: Der Verantwortliche kann eine Vor-Ort-Prüfung verlangen, in der Praxis selten genutzt, weil aufwendig.

Anbieter beschränken die Audit-Rechte oft kontraktuell (z.B. max. ein Audit pro Jahr, Vorankündigung 30 Tage, Vergütung der Anbieter-Aufwände). Solche Regelungen dürfen das in Art. 28 Abs. 3 lit. h DSGVO vorgesehene Recht auf Überprüfungen einschließlich Inspektionen nicht faktisch ausschließen.

Praxis: AVV-Compliance in fünf Schritten

Vollständige Checkliste:

1. Verarbeiter identifizieren: Wer verarbeitet personenbezogene Daten in unserem Auftrag?
2. AVV abschließen oder prüfen: Vorhandene AVVs gegen Art. 28 Abs. 3 checken, alle Pflichtinhalte enthalten?
3. Sub-Verarbeiter-Liste: Pro Auftragsverarbeiter die Sub-Verarbeiter erfassen; bei Drittlandübermittlung auf Grundlage von Standardvertragsklauseln (ohne Angemessenheitsbeschluss) ein Transfer Impact Assessment durchführen.
4. TOMs als Anhang: TOM-Anhang prüfen und aktualisieren.
5. Audit-Rechte aktiv ausüben: mindestens einmal jährlich Selbstauskunft einholen, Zertifikate prüfen.

FAQ

Brauche ich einen AVV mit Microsoft, Google, AWS?

Ja, wenn ihr deren Dienste für die Verarbeitung personenbezogener Daten nutzt. Microsoft 365, Google Workspace, AWS und ähnliche Anbieter haben eigene AVVs, die ihr beim Vertragsabschluss akzeptiert oder gesondert unterzeichnen müsst. Bei Microsoft heißt das "Products and Services Data Protection Addendum", bei Google "Cloud Data Processing Addendum", bei AWS "AWS Data Processing Addendum". Auch diese Anbieter-AVVs sind gegen die Pflichtinhalte des Art. 28 Abs. 3 DSGVO zu prüfen.

Was, wenn der Anbieter keinen AVV anbietet?

Dann müsst ihr ihn vorlegen, typischerweise die EU-SCC für AVV. Wenn der Anbieter sich weigert oder den AVV nicht unterzeichnen will: Wechsel des Anbieters. Ohne AVV verstößt die Auftragsverarbeitung gegen Art. 28 DSGVO.

Sind Konzern-interne Auftragsverarbeitungen vereinfacht?

Nein, formal nicht. Ein Konzern besteht aus eigenständigen juristischen Personen. Wenn Tochter A für Mutter B Daten verarbeitet, ist das eine Auftragsverarbeitung und braucht einen AVV. In der Praxis werden Konzern-AVVs als Rahmenverträge konstruiert, die für die Gesellschaften gelten, die ihnen als Vertragspartei beigetreten sind.

Wie lange muss ein AVV aufbewahrt werden?

Eine ausdrückliche Aufbewahrungsfrist nennt die DSGVO nicht. Der AVV dient als Nachweis nach Art. 5 Abs. 2 und Art. 28 DSGVO und sollte deshalb mindestens so lange aufbewahrt werden, wie Ansprüche oder Verfahren denkbar sind. Die Verfolgung von DSGVO-Bußgeldern verjährt über § 41 BDSG nach § 31 Abs. 2 Nr. 1 OWiG in drei Jahren; Schadensersatzansprüche verjähren nach § 199 Abs. 3 BGB unabhängig von der Kenntnis spätestens zehn Jahre nach ihrer Entstehung.