AV-Vertrag: Mustervorlage nach Art. 28 DSGVO mit Prüfliste

Verarbeitet ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung, ist er Auftragsverarbeiter. Der Verantwortliche darf nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Die Verarbeitung erfolgt auf Grundlage eines Vertrags, der schriftlich abzufassen ist, was auch elektronisch erfolgen kann (Abs. 3 und 9). Ob jemand Verantwortlicher oder Auftragsverarbeiter ist, ergibt sich laut Europäischem Datenschutzausschuss (EDSA) aus den tatsächlichen Umständen und ist nicht verhandelbar (Leitlinien 07/2020, Rn. 12). Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die DSGVO selbst Zwecke und Mittel, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10).

Art. 28 Abs. 6 bis 8 erlaubt einen individuellen Vertrag oder Standardvertragsklauseln, ganz oder teilweise; solche Klauseln legt die Kommission (Abs. 7) oder eine Aufsichtsbehörde (Abs. 8) fest.

Dies ist ein Muster von TOMORIS, kein amtlicher Text und nicht identisch mit den Standardvertragsklauseln. Ein Vertrag oder anderes Rechtsinstrument ist Pflicht; ob er auf den Standardvertragsklauseln beruht oder individuell ausgehandelt wird, ist frei. Die Klauseln sind nicht zwingend vorzuziehen (EDSA, Rn. 106). Passen Sie das Muster an die konkrete Verarbeitung an und lassen Sie es bei Bedarf rechtlich prüfen; es ersetzt keine Rechtsberatung.

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen [Name, Anschrift] als Verantwortlichem und [Name, Anschrift] als Auftragsverarbeiter, im Folgenden die Parteien.

§ 1 Gegenstand und Dauer. (1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen von [Hauptvertrag, Datum]. Gegenstand, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen und Orte der Verarbeitung ergeben sich aus Anlage 1. (2) Der Vertrag gilt ab [Datum] für die Dauer des Hauptvertrags [oder: bis Datum]; Pflichten aus § 10 gelten darüber hinaus bis zu ihrer Erfüllung. (3) Der Verantwortliche stellt die Daten bereit, erteilt und dokumentiert Weisungen (§ 2) und überwacht die Verarbeitung, auch durch Prüfungen (§ 9).

§ 2 Weisungen. (1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen an ein Drittland oder eine internationale Organisation, sofern er nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. (2) Weisungen erteilen die in Anlage 4 genannten Personen in Textform; die Parteien bewahren sie mit diesem Vertrag auf. (3) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf ihre Ausführung bis zur Bestätigung, Änderung oder Rücknahme aussetzen.

§ 3 Vertraulichkeit. Der Auftragsverarbeiter gewährt Zugang zu den Daten nur Personen, die ihn für ihre Aufgaben benötigen, und stellt sicher, dass sie zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Sicherheit der Verarbeitung. (1) Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen, mindestens die in Anlage 2 konkret beschriebenen. (2) Er überprüft sie regelmäßig, mindestens [jährlich], auf ihre Angemessenheit. (3) Änderungen, die das Schutzniveau senken könnten, bedürfen der vorherigen Zustimmung des Verantwortlichen in Textform; andere Änderungen teilt er [innerhalb von Frist] mit.

§ 5 Unterauftragsverarbeiter. (1) Zutreffende Option wählen. Option A, gesonderte Genehmigung: Der Auftragsverarbeiter setzt weitere Auftragsverarbeiter nur mit vorheriger gesonderter Genehmigung des Verantwortlichen in Textform ein und beantragt sie mindestens [Frist] vorher. Option B, allgemeine Genehmigung: Der Verantwortliche genehmigt die in Anlage 3 genannten Unterauftragsverarbeiter. Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter mindestens [Frist] vorher in Textform; der Verantwortliche kann innerhalb von [Frist] Einspruch erheben, Folge: [Regelung]. (2) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in diesem Vertrag und haftet gegenüber dem Verantwortlichen für deren Einhaltung (Art. 28 Abs. 4 DSGVO).

§ 6 Rechte betroffener Personen. Der Auftragsverarbeiter leitet Anträge betroffener Personen unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche ermächtigt ihn dazu. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung, etwa durch [Export, Berichtigung, Löschung im System].

§ 7 Unterstützung bei Pflichten nach Art. 32 bis 36 DSGVO. (1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens [Anzahl] Stunden nach Kenntnis, an [Kontakt aus Anlage 4], mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben liefert er nach, sobald sie vorliegen. (2) Er unterstützt den Verantwortlichen bei Sicherheitsmaßnahmen, Meldungen an Aufsichtsbehörde und Betroffene, Datenschutz-Folgenabschätzungen und vorheriger Konsultation, unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

§ 8 Orte der Verarbeitung und Drittländer. Die Verarbeitung erfolgt an den in Anlage 1 genannten Orten. Übermittlungen an ein Drittland oder eine internationale Organisation, auch durch Unterauftragsverarbeiter oder Fernzugriff, erfolgen nur auf dokumentierte Weisung und nur, wenn die Bedingungen von Kapitel V DSGVO erfüllt sind; Grundlage: [Angemessenheitsbeschluss nach Art. 45, Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914)].

§ 9 Nachweise und Prüfungen. (1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags und des Art. 28 DSGVO erforderlich sind. (2) Er ermöglicht Überprüfungen und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei; Inspektionen vor Ort werden mit [Frist] Vorankündigung durchgeführt. Zertifizierungen und Prüfberichte des Auftragsverarbeiters kann der Verantwortliche berücksichtigen; die Auswahl des Prüfers trifft der Verantwortliche. (3) Kosten: [Regelung].

§ 10 Löschung und Rückgabe. Nach Ende der Leistung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten und bestätigt dies in Textform, oder er gibt sie in [Format] zurück und löscht vorhandene Kopien, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung verlangt. Die Wahl trifft der Verantwortliche [im Vertrag: Löschung oder Rückgabe] und kann sie bis zum Ende der Leistung ändern. Bis zur Löschung gilt dieser Vertrag fort.

§ 11 Verstöße und Beendigung. Kann der Auftragsverarbeiter diesen Vertrag nicht einhalten, informiert er den Verantwortlichen unverzüglich. Der Verantwortliche kann die Verarbeitung dann aussetzen lassen und den Vertrag, soweit er die Auftragsverarbeitung betrifft, kündigen, wenn die Einhaltung nicht innerhalb von [Frist] wiederhergestellt ist.

§ 12 Schlussbestimmungen. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Textform im Sinne dieses Vertrags ist eine dauerhaft speicherbare Erklärung, die den Erklärenden erkennen lässt, etwa eine E-Mail (elektronisches Format nach Art. 28 Abs. 9 DSGVO). Die Haftung richtet sich nach [Hauptvertrag]; Art. 82 DSGVO bleibt unberührt. Anlagen 1 bis 4 sind Bestandteil des Vertrags. Ort, Datum, Unterschriften beider Parteien.

• Rollen stimmen mit der Wirklichkeit überein: Der Dienstleister entscheidet nicht selbst über Zwecke, etwa eigene Analysen oder Training mit Ihren Daten
• Gegenstand, Art, Zweck, Datenarten und Betroffene sind konkret beschrieben, nicht nur „personenbezogene Daten nach Art. 4“ (EDSA, Rn. 114)
• Verarbeitung nur auf dokumentierte Weisung; geregelt ist, wer Weisungen erteilt und wie sie dokumentiert werden
• Hinweispflicht bei datenschutzwidrigen Weisungen und Folge, etwa Aussetzen (EDSA, Rn. 149)
• Vertraulichkeitsverpflichtung der Beschäftigten des Dienstleisters
• TOM konkret beschrieben oder als aktuelles Dokument beigelegt; Änderungen nicht zulasten des Schutzniveaus
• Unterauftragsverarbeiter: Liste vorhanden, gesonderte oder allgemeine Genehmigung, Ankündigungsfrist, Einspruchsrecht und dessen Folge, gleiche Pflichten und Haftung des Dienstleisters für sie
• Orte der Verarbeitung genannt, Drittlandübermittlungen nur mit Grundlage nach Kapitel V
• Unterstützung bei Betroffenenrechten, ohne dass der Dienstleister Anträge selbst beantwortet
• Meldung von Datenschutzverletzungen unverzüglich, mit Frist in Stunden, Kontaktstelle und Mindestangaben (EDSA, Rn. 136)
• Unterstützung bei Folgenabschätzung und Konsultation
• Nachweise und Prüfrecht für Sie oder einen von Ihnen beauftragten Prüfer, nicht nur Zertifikate nach Wahl des Dienstleisters
• Löschen oder Rückgabe nach Ihrer Wahl, Löschung vorhandener Kopien, mit Bestätigung und Frist
• Vorrang des AV-Vertrags vor allgemeinen Geschäftsbedingungen in Datenschutzfragen
• Schriftlich oder elektronisch abgeschlossen und abgelegt, Verweis im Verarbeitungsverzeichnis

• Vertrag wiederholt nur Art. 28: Ohne konkrete Weisungen, Fristen und Maßnahmen lässt sich im Ernstfall nichts nachweisen (EDSA, Rn. 112).
• Standardvertragsklauseln umformuliert: Wer ihren Text ändert, nutzt nicht mehr die Klauseln, deren Eignung der Beschluss feststellt (Art. 1); ergänzen dürfen Sie nur die Anhänge und widerspruchsfreie Zusatzklauseln (Klausel 2).
• Liste der Unterauftragsverarbeiter fehlt oder ist veraltet; Änderungen werden nur auf einer Website veröffentlicht, ohne dass Sie Einspruch erheben können.
• Rolle falsch eingeordnet: Nicht jeder Dienstleister ist Auftragsverarbeiter. Wer über Zwecke und wesentliche Mittel selbst entscheidet, ist Verantwortlicher (EDSA, Rn. 39 f.); dann passt kein AV-Vertrag, sondern etwa eine Vereinbarung nach Art. 26 DSGVO bei gemeinsamer Verantwortlichkeit.
• Vertrag abgeschlossen, aber nie gelebt: Weisungen nicht dokumentiert, Prüfungen nie durchgeführt, Löschung am Ende nicht bestätigt.