Source: https://www.activemind.de/datenschutz/dokumente/av-vertrag/
Timestamp: 2018-01-21 14:35:01+00:00

Document:
Muster: Auftragsverarbeitungs-Vertrag nach DSGVO | activeMind AG Muster: Auftragsverarbeitungs-Vertrag nach DSGVO | activeMind AG
Muster: AV-Vertrag auf Basis DSGVO
Home » Datenschutz » Downloads » Auftragsverarbeitung
Einen Auftragsverarbeitungs-Vertrag (AV-Vertrag) muss nach EU-Datenschutz-Grundverordnung (DSGVO) jedes Unternehmen abschließen, das personenbezogene Daten im Auftrag – also von einem Dienstleister verarbeiten lässt. Unter der alten Terminologie des Bundesdatenschutzgesetzes (BDSG) war das Dokument als Auftragsdatenverarbeitungs-Vertrag oder ADV-Vertrag bekannt.
Die Anforderungen an einen solchen Vertrag über die Auftragsverarbeitung personenbezogener Daten steigen mit der DSGVO. Zwar sind im Vergleich zum bisherigen § 11 BDSG weichere Regelungen aufgestellt, was den Vertrag an sich angeht. Das Verhältnis zwischen Auftraggeber und Auftragnehmer wird jedoch insgesamt deutlich schärfer ausgestaltet, als es nach dem BDSG in seiner heutigen Fassung der Fall ist.
Das kostenlose Muster für einen Auftragsverarbeitungs-Vertrag der activeMind AG hilft beiden Seiten (Auftraggeber und Auftragnehmer) bei der Auftragsverarbeitung (AV) für die notwendige Klarheit zu sorgen. Rechte und Pflichten bei der AV werden explizit geregelt. Die Vorgaben der DSGVO zur Rechenschaftspflicht und gemeinsamen Haftung lassen sich so besser erfüllen.
Kostenloser Download: Muster für einen AV-Vertrag auf Basis der DSGVO
Vorlage als bearbeitungsfähiges MS Word-Dokument
Version 1.5 | Zuletzt aktualisiert am 4. September 2017
(Auch auf Englisch verfügbar)
[82 Bewertung(en)/ratings]
Ein Vertrag über Auftragsverarbeitung (ehemals: Auftragsdatenverarbeitung) ist immer dann zu schließen, wenn personenbezogene Daten durch einen weisungsabhängigen Dienstleister verarbeitet werden. Bei AV-Dienstleistern kann es sich zum Beispiel um Gehaltsabrechnungsbüros, Datenträgerentsorger, Werbe- bzw. Marketingagenturen, Cloud-Computing-Anbieter, Web- bzw. E-Mailhoster oder auch freie Mitarbeiter handeln.
Was muss ein AV-Vertrag beinhalten?
Die einzelnen Rechte und Pflichten beider Parteien bei der Auftragsverarbeitung regelt Art. 28 DSGVO. Die dort aufgeführten Mindestanforderungen müssen im AV-Vertrag enthalten sein, sie können und sollten einzelfallbezogen vertraglich ausgestaltet bzw. auf den jeweiligen Dienstleister und seine Tätigkeiten angepasst werden:
Ergreifung geeigneter Maßnahmen für die Sicherheit der Verarbeitung (Art. 28 III 2 lit. f DS-GVO i.V.m. Art. 32 DSGVO),
Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 28 III 2 lit. f DS-GVO i.V.m Art. 33 DS-GVO),
Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person (Art. 28 III 2 lit. f DS-GVO i.V.m Art. 34 DS-GVO),
Durchführung einer Datenschutz-Folgenabschätzung (Art. 28 III 2 lit. f DS-GVO i.V.m Art. 35 DS-GVO),
Konsultierung der Aufsichtsbehörde bei Verarbeitung mit hohen Risiken (Art. 28 III 2 lit. f DS-GVO i.V.m Art. 36 DS-GVO).
Zurverfügungstellung von Informationen und Ermöglichung von Überprüfungen
Wichtiger Bestandteil des Vertrages ist eine Anlage zu den technischen und organisatorischen Maßnahmen, mit denen der Auftragnehmer Datenschutz und Datensicherheit der ihm überlassenen Daten gewährleistet.
Die ab Mai 2018 anzuwendende europäische Datenschutz-Grundverordnung regelt das Verhältnis zwischen Auftraggeber und Auftragnehmer grundlegend neu. Insbesondere die mit der DSGVO eingeführte Rechenschaftspflicht nimmt verantwortliche Stellen, also den Auftraggeber, sehr viel stärker in die Pflicht. Es muss jederzeit belegt werden können, dass die Umsetzung datenschutzrechtlicher Anforderungen nicht nur konzipiert wurde; es muss künftig auch bewiesen werden, dass diese Umsetzung funktioniert! Hierfür müssen Auftraggeber auch im Rahmen der AV Sorge tragen. Neu ist auch die gesetzlich vorgesehene gemeinsame Haftung bei Datenschutzverstößen.
Bestehende, auf Basis des BDSG und der acht Datenschutzgebote ausgehandelte ADV-Verträge müssen voraussichtlich in großen Teilen neu verhandelt werden. Es ist anzunehmen, dass diese Verhandlungen teilweise nicht einfach werden. Es liegt aber im beiderseitigen Interesse von Auftraggeber und Auftragnehmer, diesen Prozess zügig anzugehen. Dabei gilt die Devise, je klarer die Vereinbarungen geschlossen und je präziser die Pflichten im ADV-Vertrag definiert werden, desto mehr Rechtssicherheit kann erwartet werden.
Der kostenlose Muster-Vertrag für die Auftragsverarbeitung personenbezogener Daten nach DSGVO hilft Ihnen dabei. Natürlich sollte die Vorlage stets auf den Einzelfall angepasst werden.
Muster und Vorlagen für ADV-Verträge nach dem (alten) Bundesdatenschutzgesetz (BDSG)
Vorlage des Bayerischen Landesamtes für Datenaufsicht
Vorlage der GDD (deutsch und englisch)
Vorlage des Bitkom (deutsch und englisch)
Vorlage des hessischen Datenschutzbeauftragten

References: § 11
 Art. 28
 Art. 32
 Art. 33
 Art. 34
 Art. 35
 Art. 36