Datenschutz für IT-Projekte
Auftragsverarbeitungsvertrag: AVV-Muster als PDF herunterladen
Schaffen Sie eine klare Grundlage für die Verarbeitung personenbezogener Daten durch externe IT-Dienstleister. Unser AVV-Muster als PDF hilft Ihnen beim Einstieg in die Vertragsgestaltung.
Rechtliche Grundlage
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag, kurz AVV, regelt nach Art. 28 DSGVO die Zusammenarbeit zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet. Der Verantwortliche bestimmt Zweck und wesentliche Mittel der Verarbeitung; der Auftragsverarbeiter handelt innerhalb der vereinbarten Weisungen. Im Vertrag werden unter anderem Art und Dauer der Verarbeitung, betroffene Daten und Personengruppen sowie technische und organisatorische Schutzmaßnahmen festgehalten.
Ein AVV ist in der Regel erforderlich, bevor ein externer Anbieter im Auftrag Zugriff auf personenbezogene Daten erhält oder sie verarbeitet – etwa bei Cloud-Hosting, IT-Support mit Datenzugriff oder der Betreuung einer Softwareplattform. Verarbeitet der Anbieter Daten hingegen für eigene Zwecke und entscheidet selbst über deren Verwendung, liegt nicht allein deshalb eine Auftragsverarbeitung vor. Die konkrete Rollenverteilung sollte vor Projektbeginn geprüft und dokumentiert werden.
Erst die Rollen klären, dann die Datenverarbeitung vertraglich absichern.
Die wichtigsten Regelungen
Was ein AVV verbindlich festhalten sollte
Gegenstand und Laufzeit
Beschreibt, welche Leistungen erbracht werden und wie lange die Verarbeitung personenbezogener Daten dauert.
Daten und betroffene Personen
Benennt Datenarten, betroffene Personengruppen sowie Art und Zweck der Verarbeitung.
Weisungen und Vertraulichkeit
Verpflichtet den Dienstleister, Daten nur nach dokumentierten Weisungen zu verarbeiten und eingesetzte Personen zur Vertraulichkeit zu verpflichten.
Technische Schutzmaßnahmen
Legt geeignete technische und organisatorische Maßnahmen zum Schutz der Daten fest und regelt deren Überprüfung.
Unterauftragsverarbeiter
Regelt die Genehmigung weiterer Dienstleister und stellt sicher, dass ihnen entsprechende Datenschutzpflichten auferlegt werden.
Mitwirkung und Vertragsende
Definiert Unterstützung bei Betroffenenanfragen, Sicherheitsvorfällen und Prüfungen sowie die Rückgabe oder Löschung der Daten nach Vertragsende.
Das sollten Sie für den AVV bereithalten
- Vollständige Firmierung und Anschrift Ihres Unternehmens
- Name und Kontaktdaten des IT-Dienstleisters
- Kontaktdaten der Datenschutzbeauftragten, falls benannt
- Beschreibung der beauftragten IT-Leistungen
- Beginn und voraussichtliche Dauer der Verarbeitung
- Bestehender Dienstleistungsvertrag oder Leistungsbeschreibung
- Zwecke der Verarbeitung personenbezogener Daten
- Betroffene Personengruppen, etwa Kunden oder Beschäftigte
- Verarbeitete Datenarten, etwa Kontakt- oder Nutzungsdaten
- Eingesetzte Systeme und Speicherorte
- Vorgesehene Lösch- und Aufbewahrungsfristen
- Dokumentierte Weisungen an den Dienstleister
- Übersicht der technischen und organisatorischen Maßnahmen
- Liste eingesetzter Unterauftragsverarbeiter
- Angaben zu möglichen Drittlandübermittlungen
- Nachweise zu vereinbarten Schutzmaßnahmen
- Regelungen zur Meldung von Datenschutzvorfällen
- Interne Ansprechpersonen für Prüfung und Freigabe
In drei Schritten zum AVV
1
Muster prüfen
Laden Sie die PDF herunter und prüfen Sie, ob Leistungen, Rollen und Vertragsbedingungen zu Ihrer Zusammenarbeit passen.
2
Angaben ergänzen
Tragen Sie Verarbeitungszwecke, Datenarten und betroffene Personen ein. Stimmen Sie Sicherheitsmaßnahmen und Unterauftragsverarbeiter mit dem IT-Dienstleister ab.
3
AVV abschließen
Lassen Sie die Fassung von beiden Parteien prüfen und unterzeichnen. Bewahren Sie den abgeschlossenen AVV zusammen mit den Anlagen auf.
Vorlage für Unternehmen und IT-Dienstleister
AVV-Muster als PDF herunterladen und anpassen
Häufige Fragen zum AVV-Muster
Hier finden Sie Antworten zur Auftragsverarbeitung, zur Anpassung des AVV-Musters und zu dessen Umsetzung in Ihrem Unternehmen.
Wann ist ein AVV erforderlich?
Ein Auftragsverarbeitungsvertrag (AVV) ist grundsätzlich erforderlich, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Ob das bei einer konkreten Leistung der Fall ist, hängt von den tatsächlichen Aufgaben und der Rollenverteilung ab.
Kann ich das AVV-Muster unverändert verwenden?
Das Muster ist eine Vorlage und sollte an die vereinbarten Leistungen, beteiligten Unternehmen und tatsächlichen Datenverarbeitungen angepasst werden. Prüfen Sie insbesondere Angaben zu Datenarten, betroffenen Personen und Unterauftragnehmern.
Welche technischen und organisatorischen Maßnahmen gehören zum AVV?
Die technischen und organisatorischen Maßnahmen (TOM) beschreiben, wie personenbezogene Daten geschützt werden. Dazu können beispielsweise Zugriffsrechte, Verschlüsselung, Datensicherung und Verfahren zur Wiederherstellung gehören. Die Angaben sollten den tatsächlich eingesetzten Maßnahmen entsprechen.
Wer muss den AVV prüfen und unterzeichnen?
Beide Vertragsparteien sollten den AVV vor Beginn der Auftragsverarbeitung auf Vollständigkeit und Richtigkeit prüfen und wirksam abschließen. Klären Sie intern, wer zur Unterzeichnung berechtigt ist.
Muss das AVV-Muster rechtlich geprüft werden?
Eine rechtliche Prüfung ist sinnvoll, insbesondere bei komplexen Verarbeitungen, internationalen Datenübermittlungen oder abweichenden Vertragsbedingungen. Das Muster ersetzt keine individuelle Rechtsberatung.
Was tun, wenn sich die Datenverarbeitung später ändert?
Prüfen Sie den AVV erneut, wenn sich Leistungen, Unterauftragnehmer oder Schutzmaßnahmen ändern. Ergänzungen sollten dokumentiert und bei Bedarf mit der anderen Vertragspartei vereinbart werden.