Source: https://agidat.de/datenschutz/vorlagen/auftragsverarbeitungsvertrag/
Timestamp: 2020-08-12 21:37:23+00:00

Document:
Auftragsverarbeitungsvertrag Muster | AGIDAT
Auftragsverarbeitungsvertrag Muster
Der Auftragsverarbeitungsvertrag (AVV oder AV-Vertrag) ist ein Vertrag zwischen einem verantwortlichen Unternehmen und einem weisungsabhängigen Dienstleister, der mit der Verarbeitung von Daten beauftragt wird. Die gesetzliche Grundlage befindet sich im Artikel 28 DSGVO. Vor dem Inkrafttreten der DSGVO war der Vertrag noch als Auftragsdatenverarbeitungsvertrag (ADV-Vertrag) bekannt und im § 11 BDSG alt normiert.
AGIDAT stellt Ihnen ein Muster eines Auftragsverarbeitungsvertrags kostenlos zur Verfügung. Diese Vorlage entspricht den gesetzlichen Vorgaben. Bitte wählen Sie aus, in welchem Format und in welcher Sprache Sie den Auftragsverarbeitungsvertrag herunterladen möchten. Nach Klick auf den Button startet der Download.
Download .PDF (102 KB)
Download .DOCX (49 KB)
Vorlage in englisch
Auf englisch wird der Auftragsverarbeitungsvertrag als “Data Processing Agreement” oder auch “Data Processing Addendum” bezeichnet (abgekürzt “DPA”).
Download .PDF (106 KB)
Der AV-Vertrag – Fragen und Antworten
Was bezweckt der Abschluss eines Auftragsverarbeitungsvertrags?
Der Auftragsverarbeitungsvertrag soll gewährleisten, dass personenbezogene Daten auch bei einem beauftragten Dienstleister (zum Beispiel einem Webhoster) rechtmäßig verarbeitet werden. So muss der Beauftragte nach Art. 28 Abs. 1 DSGVO insbesondere garantieren, dass er die Rechte der betroffenen Personen ausreichend schützt, indem entsprechende technische und organisatorische Maßnahmen ergriffen werden. Ebenso verpflichtet sich der beauftragte Dienstleister, keine personenbezogenen Daten ohne vorherige Genehmigung an weitere Auftragsverarbeiter weiter zu geben.
Welche Angaben sind im Auftragsverarbeitungsvertrag zu treffen?
Nach der DSGVO sind im Auftragsverarbeitungsvertrag folgende Angaben zu treffen:
Weisungsberechtigte des Auftraggebers, Weisungsempfänger des Auftragsverarbeiters
Mitteilungspflichten des Auftragsverarbeiters bei Störungen der Verarbeitung und bei Verletzungen des Schutzes personenbezogener Daten
Verpflichtungen des Auftragsverarbeiters nach Beendigung des Auftrags
Mit welchen Dienstleistern muss ein Auftragsverarbeitungsvertrag abgeschlossen werden?
Die Abgrenzung, ob ein Dienstleister als Auftragsverarbeiter tätig wird, ist nicht immer trivial bzw. im Einzelfall umstritten. Grundsätzlich ist die Entscheidung vom Grad der Weisungsgebundenheit abhängig. Kann der beauftragte Dienstleister über die übermittelten personenbezogenen Daten frei entscheiden und ist vom Auftraggeber unabhängig, ist der Dienstleister höchstwahrscheinlich selber für die Daten verantwortlich. Andernfalls handelt der Dienstleister im Auftrag als “Auftragsverarbeiter” und ein Auftragsverarbeitungsvertrag wird notwendig.
Aus Haftungsgründen ist es im Zweifel nicht ratsam, Auftragsverarbeitungsverträge „sicherheitshalber“ einzugehen.
Woran ist eine Auftragsverarbeitung zu erkennen?
Im ersten Schritt ist zu prüfen, ob personenbezogene Daten an den Dienstleister übermittelt werden oder der Dienstleister zumindest die Möglichkeit erhält, auf personenbezogene Daten zuzugreifen (z.B. durch eine Fernwartung auf den Systemen des Auftraggebers).
Im zweiten Schritt stellt sich die Frage, inwieweit der beauftragte Dienstleister weisungsgebunden ist. Die Weisungsgebundenheit kann anhand verschiedener Faktoren festgestellt werden:
Der Dienstleister kann nicht darüber entscheiden, was Zweck und Mittel der Verarbeitung ist.
Der Dienstleister verarbeitet keine Daten zu eigenen Zwecken.
Der Dienstleister verarbeitet nur diejenigen Daten, die er vom Auftraggeber bekommt.
Der Dienstleister hat kein Vertragsverhältnis mit dem Betroffenen
Der Dienstleister tritt gegenüber dem Betroffenen nicht in eigenem Namen auf.
Weiterhin ist für eine Auftragsverarbeitung typisch, dass der Dienstleister eine Vielzahl von personenbezogenen Daten nicht nur gelegentlich, sondern regelmäßig verarbeitet.
Welche Dienstleister sind typischerweise Auftragsverarbeiter?
Typischerweise muss ein Auftragsverarbeitungsvertrag mit externen Dienstleistern geschlossen werden, die folgende Dienstleistungen anbieten:
Bereitstellung von Rechenzentren und IT-Systemen (z.B. Webhosting)
Verarbeitung von Kundendaten über Callcenter, wenn Callcenter keine Entscheidungsgewalt hat
Vernichtung von Daten und Datenträgern
Wartung von automatisierten Verfahren oder Datenverarbeitungsanlagen, wenn der Zugriff auf personenbezogene Daten gegeben ist
Sind Wachschutz oder Reinigungsunternehmen Auftragsverarbeiter?
Dienstleister wie Wachschutz oder Reinigungsunternehmen sind keine Auftragsverarbeiter. Sie haben zwar regelmäßig die Möglichkeit, personenbezogene Daten einzusehen, allerdings ist ihr Hauptleistungsschwerpunkt ein völlig anderer. Daher handelt es sich bei Dienstleistungen dieser Art um sogenannten “Nebenleistungen“, die keinem Auftragsverarbeitungsvertrag bedürfen.
Ist ein Auftragsverarbeitungsvertrag mit Steuerberatern oder Rechtsanwälten notwendig?
Mit Steuerberatern, Rechtsanwälten, externen Betriebsärzten, Wirtschaftsprüfern oder anderen Berufsgeheimnisträgern ist kein Auftragsverarbeitungsvertrag zu schließen. In diesen Fallgruppen fehlt es an einer Weisungsgebundenheit. Die Berufsgeheimnisträger gehen vielmehr eigenverantwortlich mit personenbezogenen Daten um und sind daher keine Auftragsverarbeiter.
Die technisch-organisatorischen Maßnahmen (kurz “TOMs”) werden im Art. 32 DSGVO und auf nationaler Ebene im § 64 BDSG neu (ehemals § 9 BDSG alt) bestimmt. Sie dienen dazu, die Sicherheit der Verarbeitung bzw. ein angemessenes Schutzniveau auch beim Dienstleister zu gewährleisten. Die TOMs sind unbedingt im Auftragsverarbeitungsvertrag zu dokumentieren.
Konkrete Maßnahmen sind zum Beispiel folgende:
Zugangskontrolle (Alarmanlage, Automatisches Zugangskontrollsystem)
Datenträgerkontrolle (Verwendung verschließbarer Metallbehälter, Versand der Datenträger als Wertsendung)
Speicherkontrolle (Festlegung von Berechtigungen in den IT-Systemen, Verwaltung der Rechte durch Systemadministratoren)
Benutzerkontrolle (Zuordnung von Benutzerrechten, Authentifikation mit Benutzername / Passwort)
Zugriffskontrolle (Einsatz von Aktenvernichtern bzw. Dienstleistern, Verschlüsselung von Datenträgern)
Übertragungskontrolle (VPN-Tunnel, Firewall, Virenschutz)
Eingabekontrolle (Protokollierung der Eingabe, Vergabe von Rechten auf Basis eines Berechtigungskonzepts)
Transportkontrolle (Einrichtung von verschlüsselten VPN-Tunneln, E-Mail-Verschlüsselung)
Wiederherstellbarkeit (Erstellen eines Backup- & Recoverykonzepts, Festplattenspiegelung nach Vereinbarung mit dem Auftraggeber)
Zuverlässigkeit (Unabhängig voneinander funktionierende Systeme, Automatisierte Meldung von Fehlfunktionen)
Datenintegrität (Einführung von Audit-Trails, Verwendung digitaler Signaturen)
Auftragskontrolle (Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten, Auftragnehmer hat Datenschutzbeauftragten bestellt)
Verfügbarkeitskontrolle (Temperatur- und Feuchtigkeitsüberwachung in Serverräumen, Feuer- und Rauchmeldeanlagen)
Trennbarkeit (Physikalisch getrennte Speicherung auf gesonderten Systemen oder Datenträgern, Festlegung von Datenbankrechten)
Welche Form muss ein Auftragsverarbeitungsvertrag haben?
Für die Wirksamkeit des Auftragsverarbeitungsvertrags bedarf es der Schriftform nach Art. 28 Abs. 9 DSGVO. Dies schließt explizit ein elektronisches Format ein.
Beratung zum Thema Auftragsverarbeitungsvertrag
mein Name ist Jan Wandrey und ich berate Sie gerne zum Thema Auftragsverarbeitung. Als externer Datenschutzbeaufragter arbeite ich darauf hin, dass Ihr Unternehmen die gesetzlichen Vorgaben einhält. Zusammen mit meinem AGIDAT-Team beraten wir Sie auch zu anderen datenschutzrechtlichen Themen, schulen Ihre Mitarbeiter und unterstützen Sie in allen Belangen rund um den Datenschutz. Auf unser Expertenwissen können Sie vertrauen. Das AGIDAT-Team besteht ausschließlich aus DEKRA-zertifizierten Fachkräften.

References: § 11
 Art. 28
 Art. 32
 § 64
 § 9
 Art. 28