Wenn Sie Daten von einem Dritten verarbeiten lassen (z.B. externer IT-Dienstleister, (reine) Lohnbuchhaltung), ist der Dritte für Sie im Rahmen einer Auftragsdatenverarbeitung (ADV) tätig. Dieses Vertragsverhältnis beinhaltet eine spezielle Struktur von Rechten und Pflichten der Vertragsparteien. Gemäß Art. 28 Abs. 3 Satz 1 der DSGVO müssen Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sein. Es ist in den meisten Fällen jedoch geboten, diese Mindestfestlegungen durch weitere Vertragsbestandteile zu ergänzen.