Wie Sie als Auftragsverarbeiter einen AVV aus Ihrem Verzeichnis erstellen

Sie verarbeiten Daten im Auftrag Ihrer Kunden, und jeder schickt Ihnen seine eigene AVV-Vorlage. Dabei liegt ein großer Teil des Materials längst in Ihrem Verzeichnis. Hier steht, was Art. 30 Abs. 2 DSGVO Ihnen liefert, was nicht, und wie Sie die Lücke schließen.

Wer Daten für seine Kunden verarbeitet, kennt die Szene: Ein neuer Vertrag kommt, im Anhang ein zwölfseitiger AVV aus der Feder des Kundenjuristen, zu unterschreiben wie er ist. Die meisten unterschreiben. Einige verhandeln blind. Kaum jemand geht von dem aus, was er bereits besitzt.

Dabei verpflichtet Sie die DSGVO zu einem eigenen Verzeichnis als Auftragsverarbeiter, und dessen Inhalt deckt sich unmittelbar mit dem, was der Vertrag festlegen muss. Gut geführt wird es zum Rohstoff Ihrer AVV und vor allem zum Instrument, mit dem Sie dem Juristen gegenüber auf Augenhöhe verhandeln.

1. Möglicherweise führen Sie das falsche Verzeichnis

Erste Prüfung, vor allem anderen. Artikel 30 sieht zwei getrennte Verzeichnisse vor, keines mit zwei Varianten.

Absatz 1 gehört dem Verantwortlichen, das allseits bekannte, mit Zwecken, Kategorien betroffener Personen, Datenkategorien und Löschfristen.

Absatz 2 ist Ihres. Danach führt jeder Auftragsverarbeiter „ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung“, das vier Angaben enthält, und nur diese vier:

• a) den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag der Auftragsverarbeiter tätig ist, sowie gegebenenfalls des Vertreters und eines etwaigen Datenschutzbeauftragten;
• b) die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden;
• c) gegebenenfalls Übermittlungen in ein Drittland oder an eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands, sowie bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 die Dokumentierung geeigneter Garantien;
• d) wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1.

Der Fehler, den wir bei Dienstleistern am häufigsten korrigieren: ein Verzeichnis nach dem Muster des Verantwortlichen, gegliedert nach Zwecken, obwohl Absatz 2 nach Kunden gegliedert ist. Das geht über die Darstellung hinaus. Ein nach Kunden gegliedertes Verzeichnis lässt sich unmittelbar in AVV-Anlagen überführen. Ein nach Zwecken gegliedertes zwingt Sie, bei jedem neuen Vertrag alles neu zu sortieren.

Das ist das Erste, worauf wir schauen, wenn ein Dienstleister uns wegen eines AVV anruft. In neun von zehn Fällen existiert das Verzeichnis und ist von der falschen Seite her aufgebaut.

2. Was Ihr Verzeichnis vom Vertrag bereits abdeckt

Art. 28 Abs. 3 verlangt einen Vertrag, in dem „Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind“.

Hier die tatsächliche Zuordnung, Angabe für Angabe.

Nach Art. 28 Abs. 3 erforderlich	In Ihrem Verzeichnis, Art. 30 Abs. 2	Was Ihnen das bringt
Bezeichnung der Parteien	a), Name und Kontaktdaten beider Parteien, Vertreter und DSB	Unmittelbar im Vertragskopf verwendbar
Art der Verarbeitung	b), Verarbeitungskategorien je Kunde	Grundlage der beschreibenden Anlage, zu präzisieren
Gegenstand der Verarbeitung	b), teilweise	Je Leistung neu zu formulieren
Drittlandübermittlungen und Garantien	c), mit Angabe des Landes und der Dokumentation	Speist die dokumentierte Weisung nach Buchst. a)
Technische und organisatorische Maßnahmen	d), allgemeine Beschreibung nach Art. 32	Speist Buchst. c), noch zu detaillieren
Dauer der Verarbeitung	Fehlt	Zu erarbeiten
Art der personenbezogenen Daten	Fehlt	Zu erarbeiten
Kategorien betroffener Personen	Fehlt	Zu erarbeiten
Pflichten und Rechte des Verantwortlichen	Fehlt	Zu erarbeiten

Das Verzeichnis deckt also fünf der neun Angaben ab, darunter die drei mühsamsten: wer Ihre Kunden sind, was Sie für jeden von ihnen tun, und wohin die Daten fließen. Das ist die Hälfte der Arbeit, und zwar die Hälfte, die niemand bei jedem Vertrag erneut leisten möchte.

3. Die vier Angaben, die Ihr Verzeichnis nicht enthält, und warum

Der Punkt lohnt Verständnis statt bloßer Hinnahme. Drei der vier Lücken haben denselben Ursprung: Es handelt sich um Angaben, die dem Verantwortlichen gehören, nicht Ihnen.

Die Art der personenbezogenen Daten und die Kategorien betroffener Personen stehen in Abs. 1 Buchst. c, dem Verzeichnis des Verantwortlichen, und fehlen in Absatz 2 bewusst. Der Gesetzgeber verlangt ihre Dokumentation nicht von Ihnen, weil Ihr Kunde entscheidet, welche Daten er Ihnen anvertraut. Sie müssen sie also bei ihm erfragen, um den AVV zu vervollständigen, und diese Anfrage ist vollkommen berechtigt.

Die Dauer der Verarbeitung folgt der Laufzeit der Leistung. Sie ergibt sich aus Ihrem Geschäftsvertrag, nicht aus Ihrem Verzeichnis.

Die Pflichten und Rechte des Verantwortlichen sind das Gegenstück zu Ihren eigenen Zusagen. Das ist die einzige der vier Angaben, die wirklich von Grund auf zu formulieren ist, und genau dort wird verhandelt.

Mit anderen Worten: Von den vier Lücken schließen sich drei durch eine Auskunftsanfrage beim Kunden, und nur eine erfordert echte Vertragsarbeit.

4. Die acht Zusagen, die der Vertrag in jedem Fall enthalten muss

Über die Beschreibung der Verarbeitung hinaus zählt Art. 28 Abs. 3 acht Pflichten auf, die im Vertrag stehen müssen. Keine ist optional, und keine ergibt sich aus Ihrem Verzeichnis. In der Reihenfolge des Textes verpflichtet sich der Auftragsverarbeiter, dass er:

• a) die Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet, auch bei Drittlandübermittlungen, es sei denn, er ist rechtlich dazu verpflichtet, worüber er den Verantwortlichen vor der Verarbeitung informiert;
• b) gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen;
• c) alle nach Art. 32 erforderlichen Maßnahmen ergreift;
• d) die Bedingungen der Absätze 2 und 4 für die Hinzuziehung eines weiteren Auftragsverarbeiters einhält;
• e) den Verantwortlichen dabei unterstützt, Anträgen auf Wahrnehmung der Betroffenenrechte aus Kapitel III nachzukommen;
• f) ihn bei der Einhaltung der Art. 32 bis 36 unterstützt, also Sicherheit, Datenschutzverletzungen und Folgenabschätzung;
• g) nach Abschluss der Leistung nach Wahl des Verantwortlichen die Daten löscht oder zurückgibt und vorhandene Kopien vernichtet, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• h) alle erforderlichen Informationen zum Nachweis der Einhaltung des Art. 28 bereitstellt und Überprüfungen ermöglicht, einschließlich Inspektionen.

Derselbe Absatz fügt eine Pflicht hinzu, die in den AVV am Markt selten ausformuliert ist: Im Rahmen von Buchst. h) müssen Sie den Verantwortlichen unverzüglich informieren, wenn eine Weisung Ihres Erachtens gegen die DSGVO verstößt. Das schützt Sie ebenso sehr, wie es Sie bindet, und ihr Fehlen in einer vorgelegten Vorlage ist ein guter Qualitätsindikator.

Zwei echte Verhandlungspunkte verbergen sich hier. Buchstabe g) zwingt zur Wahl zwischen Löschung und Rückgabe, und die Wahl liegt beim Kunden: Lassen Sie sie im Vertrag festhalten, statt sie bei Vertragsende zu entdecken. Buchstabe h) eröffnet ein Prüfrecht, dessen Umfang, Häufigkeit und Kostentragung die Verordnung offenlässt, sodass es an Ihnen liegt, sie einzugrenzen.

5. Die zwei teuersten Fallstricke

Die Unterauftragsverarbeitung. Art. 28 Abs. 2 untersagt es, einen weiteren Auftragsverarbeiter „ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen“ hinzuzuziehen. Bei allgemeiner Genehmigung müssen Sie über jede Hinzuziehung oder Ersetzung informieren, damit der Verantwortliche Einspruch erheben kann. Und Art. 28 Abs. 4 verlangt, diesem weiteren Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten aufzuerlegen, wobei Sie gegenüber dem Verantwortlichen für dessen Pflichterfüllung voll verantwortlich bleiben.

Konkret: Ihr Hoster, Ihr Backup-Werkzeug, Ihr Support-Dienstleister sind weitere Auftragsverarbeiter. Sie gehören in Ihren AVV, und ihre eigenen Verträge müssen die Pflichten aus Absatz 3 übernehmen. Ihr Verzeichnis nach Absatz 2 führt sie unter Buchst. a) bereits auf, was die Aufgabe schnell erledigt, sofern das Verzeichnis aktuell ist.

Der Rollenwechsel. Art. 28 Abs. 10 ist kurz und folgenschwer: Ein Auftragsverarbeiter, „der unter Verstoß gegen diese Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, gilt in Bezug auf diese Verarbeitung als Verantwortlicher“. Kundendaten zur Verbesserung Ihres Produkts, zum Training eines Modells oder zum Aufbau einer Interessentendatenbank zu nutzen, kippt Sie hinüber, mit sämtlichen Pflichten des Verantwortlichen und dem entsprechenden Risiko.

Diesen Punkt prüfen wir bei Softwareanbietern systematisch. Die Klausel fehlt im AVV häufig, und die tatsächliche Datennutzung geht über das hinaus, was der Vertrag erlaubt.

6. Was Sie vielleicht nicht brauchen, und was Sie immer brauchen

Art. 30 Abs. 5 befreit vom Verzeichnis, Absatz 1 wie Absatz 2, Unternehmen mit weniger als 250 Mitarbeitern. Die Befreiung entfällt jedoch, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien beziehungsweise strafrechtliche Daten betrifft. Die Daten Ihrer Kunden zu verarbeiten ist der Kern Ihrer Leistung, also nichts Gelegentliches. In der Praxis ist ein Dienstleister fast immer zum Verzeichnis von Verarbeitungstätigkeiten verpflichtet.

Die Pflicht zum Vertrag kennt dagegen keine Schwelle. Art. 28 Abs. 3 gilt für Einzelunternehmer wie für Konzerne. Ein vom Verzeichnis befreites Unternehmen bleibt an den AVV gebunden, und Art. 28 Abs. 9 verlangt Schriftform, elektronisches Format eingeschlossen.

Ein letzter Punkt, der den Ausschlag geben sollte: Nach Art. 82 Abs. 2 haftet ein Auftragsverarbeiter nur dann, wenn er seinen speziell auferlegten Pflichten nicht nachgekommen ist oder „unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat“. Die dokumentierte Weisung aus Buchst. a) wirkt damit als Ihre Haftungsgrenze. Ein präziser AVV schützt Sie ebenso sehr, wie er Sie bindet, während ein vager Sie zwingt, im Nachhinein zu belegen, wozu Sie beauftragt waren.

Auf der Sanktionsseite fällt ein Verstoß gegen Art. 28 unter den Rahmen des Art. 83 Abs. 4, der die Pflichten der Art. 25 bis 39 erfasst, mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Das Wichtigste in Kürze

1. Führen Sie das Verzeichnis nach Absatz 2, nach Kunden gegliedert, und keine Kopie des Verzeichnisses des Verantwortlichen (Art. 30 Abs. 2).
2. Dieses Verzeichnis deckt fünf der neun beschreibenden Angaben des Vertrags ab: Parteien, Art, Gegenstand, Übermittlungen, Maßnahmen (Art. 28 Abs. 3).
3. Vier fehlen: Dauer, Art der Daten, Kategorien betroffener Personen, Pflichten des Verantwortlichen. Drei erhalten Sie durch Nachfrage beim Kunden, nur eine wird formuliert.
4. Die acht Zusagen der Buchst. a) bis h) ergeben sich nicht aus dem Verzeichnis und müssen im Vertrag stehen, einschließlich der Hinweispflicht bei rechtswidriger Weisung.
5. Unterauftragsverarbeitung: vorherige schriftliche Genehmigung und Weitergabe derselben Pflichten (Art. 28 Abs. 2 und 4). Sie bleiben voll verantwortlich.
6. Wer die Zwecke bestimmt, gilt als Verantwortlicher (Art. 28 Abs. 10).
7. Die Befreiung unter 250 Mitarbeitern greift selten und befreit nie vom AVV (Art. 30 Abs. 5 gegenüber Art. 28 Abs. 3).
8. Die dokumentierte Weisung begrenzt Ihre Haftung (Art. 82 Abs. 2).

Unterschreiben Sie die AVV Ihrer Kunden, ohne zu verhandeln? Wir gehen von Ihrem Verzeichnis aus, leiten daraus einen eigenen Referenz-AVV ab, und Sie nehmen die Vorlagen der Gegenseite nicht mehr einfach hin. Ein Gespräch von 30 Minuten genügt für eine Standortbestimmung. Termin mit DPO-SPRING vereinbaren.

---

Pierre Cauvin, Jurist und externer Datenschutzbeauftragter, berät Dienstleister und Softwareanbieter bei ihrer DSGVO-Konformität als Auftragsverarbeiter.

Quellen : Verordnung (EU) 2016/679 (DSGVO), Art. 28, 30, 32, 82 und 83, konsolidierte Fassung auf EUR-Lex.