Auftragsverarbeitungsvertrag

Was ist ein Auftragsverarbeitungsvertrag?

Auftragsverarbeitungsvertrag (AVV, englisch Data Processing Agreement) bezeichnet den Vertrag, mit dem ein Unternehmen einen Dienstleister verpflichtet, personenbezogene Daten nur in seinem Auftrag und nach seinen Weisungen zu verarbeiten. Personenbezogene Daten sind alle Angaben, die sich einer bestimmten Person zuordnen lassen, etwa Name, E-Mail-Adresse oder Kundennummer. Rechtsgrundlage ist Art. 28 der Datenschutz-Grundverordnung (DSGVO), der den Mindestinhalt des Vertrags vorgibt. Der Dienstleister arbeitet damit wie eine verlängerte Werkbank: mit den Daten des Unternehmens, aber nicht für eigene Zwecke.

Das Gesetz unterscheidet zwei Rollen. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO), also darüber, wofür und auf welche Weise Daten genutzt werden. Auftragsverarbeiter ist, wer Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Typische Auftragsverarbeiter eines Technologieunternehmens sind Anbieter von Cloud-Infrastruktur, CRM, E-Mail-Versand und Analysewerkzeugen sowie IT-Dienstleister mit Systemzugriff. Der Vertrag steht meist in den Standardbedingungen des Anbieters. In der rechtlichen Due Diligence einer Finanzierungsrunde oder eines Unternehmenskaufs gehört er zum Prüfungsumfang Datenschutz.

Pflichtinhalte nach Art. 28 DSGVO

Vor dem Vertrag steht die Auswahl: Der Verantwortliche darf nur Dienstleister beauftragen, die hinreichende Garantien für den Schutz der Daten bieten (Art. 28 Abs. 1 DSGVO). Der Vertrag legt dann Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Gruppen betroffener Personen sowie Rechte und Pflichten des Verantwortlichen fest. Den Auftragsverarbeiter verpflichtet er insbesondere,

• Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei Übermittlungen in Drittländer, also Staaten außerhalb des Europäischen Wirtschaftsraums aus EU, Island, Liechtenstein und Norwegen,
• die eingesetzten Personen zur Vertraulichkeit zu verpflichten und die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen, etwa Verschlüsselung, Zugriffsrechte und Datensicherung,
• weitere Auftragsverarbeiter nur unter den Bedingungen des Art. 28 Abs. 2 und 4 DSGVO einzusetzen,
• den Verantwortlichen bei Anfragen betroffener Personen, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen (der vorherigen Risikoprüfung besonders sensibler Verarbeitungen) zu unterstützen,
• nach Ende der Leistung alle Daten zu löschen oder zurückzugeben, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht,
• die zum Nachweis erforderlichen Informationen bereitzustellen und Überprüfungen einschließlich Inspektionen zu ermöglichen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, muss er den Verantwortlichen unverzüglich darauf hinweisen. Der Vertrag ist schriftlich abzufassen, was nach Art. 28 Abs. 9 DSGVO auch in elektronischem Format geschehen kann.

Unterauftragsverarbeiter und Drittländer

Setzt der Auftragsverarbeiter seinerseits Dienstleister ein, etwa ein Softwareanbieter ein Rechenzentrum, braucht er eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung muss er beabsichtigte Änderungen mitteilen, damit der Verantwortliche Einspruch erheben kann. Dem Unterauftragsverarbeiter sind dieselben Datenschutzpflichten aufzuerlegen; der ursprüngliche Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für deren Einhaltung.

Findet die Verarbeitung ganz oder teilweise außerhalb des Europäischen Wirtschaftsraums statt, auch durch einen Unterauftragsverarbeiter, genügt der Auftragsverarbeitungsvertrag allein nicht. Zusätzlich braucht es eine Grundlage nach Kapitel V der DSGVO. Das kann ein Angemessenheitsbeschluss sein, mit dem die EU-Kommission einem Staat ein gleichwertiges Schutzniveau bescheinigt, oder es sind Standardvertragsklauseln, also von der Kommission vorgegebene Vertragsmuster, gegebenenfalls ergänzt um weitere Schutzmaßnahmen.

Wann ein Auftragsverarbeitungsvertrag nötig ist

Nicht jeder Dienstleister, der Daten erhält, ist Auftragsverarbeiter. Entscheidend ist, wer über das Wofür bestimmt und über die wesentlichen Fragen des Wie: welche Daten, wie lange und wer Zugriff erhält. Technische Einzelheiten wie Server oder Software darf ein Auftragsverarbeiter nach den Leitlinien des Europäischen Datenschutzausschusses selbst wählen. Maßgeblich sind die tatsächlichen Verhältnisse, nicht die Bezeichnung im Vertrag.

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO

Legen zwei oder mehr Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche. Ein Beispiel sind zwei Unternehmen, die eine gemeinsame Veranstaltung bewerben und die Anmeldedaten beide für ihren Vertrieb nutzen. Statt eines Auftragsverarbeitungsvertrags schließen sie eine Vereinbarung darüber, wer welche Pflichten erfüllt, vor allem gegenüber den betroffenen Personen. Eine Weisungsbindung besteht nicht. Das Wesentliche der Vereinbarung ist den Betroffenen zugänglich zu machen, und diese können ihre Rechte gegenüber jedem der Beteiligten geltend machen (Art. 26 Abs. 2 und 3 DSGVO).

Eigenständige Verantwortliche

Entscheidet ein Dienstleister aufgrund seiner Fachkunde und seines Berufsrechts selbst über den Umgang mit den Daten, ist er eigenständiger Verantwortlicher. Das gilt nach verbreiteter Auffassung für Wirtschaftsprüfung und Rechtsberatung; für Steuerberater stellt das Steuerberatungsgesetz ausdrücklich klar, dass sie weisungsfrei und als Verantwortliche handeln. Gleiches gilt für einen Softwareanbieter, soweit er Kundendaten für eigene Zwecke nutzt, etwa zur Entwicklung eigener Produkte. Bestimmt ein Auftragsverarbeiter Zwecke und Mittel eigenmächtig, gilt er für diese Verarbeitung nach Art. 28 Abs. 10 DSGVO selbst als Verantwortlicher.

Bedeutung in Due Diligence und Transaktion

In der Prüfung werden regelmäßig angefordert: das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO (die Übersicht, welche Daten wofür verarbeitet werden), eine Liste aller Dienstleister mit Zugriff auf personenbezogene Daten und die zugehörigen Verträge. Hinzu kommen die Grundlagen für Übermittlungen in Staaten außerhalb des Europäischen Wirtschaftsraums und eine Übersicht gemeldeter Datenschutzverletzungen. Personenbezogene Daten im Datenraum selbst werden in frühen Phasen anonymisiert oder zusammengefasst, weil auch ihre Offenlegung eine Rechtsgrundlage braucht.

Ein fehlender Vertrag ist ein eigenständiger Verstoß, auch wenn keine Datenschutzverletzung eingetreten ist. Er kann nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. In Transaktionen werden solche Befunde meist vor dem Vollzug behoben und über Garantien zur Einhaltung des Datenschutzrechts abgesichert. Beim Share Deal bleiben die Verträge bei der Gesellschaft, beim Asset Deal sind sie zu übertragen oder neu zu schließen.

Praxisbeispiel

Ein Softwareunternehmen mit 60 Mitarbeitenden bereitet eine Series-A-Runde vor. Die Kanzlei der Investoren fordert eine Dienstleisterübersicht an. Die Bestandsaufnahme ergibt 23 Anbieter: Mit 17 bestehen Auftragsverarbeitungsverträge, zwei sind eigenständige Verantwortliche (Steuerberatung und Hausbank), bei vier fehlt der Vertrag, darunter ein Werkzeug für Online-Seminare und ein freiberuflicher IT-Administrator mit Vollzugriff.

Drei der 17 Anbieter verarbeiten Daten außerhalb des Europäischen Wirtschaftsraums; bei zweien sind Standardvertragsklauseln Teil der Bedingungen, beim dritten ist die Grundlage unklar. Innerhalb von zwei Wochen schließt das Unternehmen die fehlenden Verträge, ersetzt den unklaren Anbieter und aktualisiert das Verzeichnis. Die Investorenkanzlei vermerkt den Befund als behoben, der Beteiligungsvertrag enthält eine Garantie zur Einhaltung des Datenschutzrechts.

Abgrenzung zu verwandten Begriffen

• NDA: verpflichtet zur Vertraulichkeit über Geschäftsinformationen, erfüllt aber nicht die Anforderungen des Art. 28 DSGVO.
• SLA: legt Leistungsumfang und Verfügbarkeit fest. Der Auftragsverarbeitungsvertrag ergänzt ihn um die datenschutzrechtlichen Pflichten.
• Vereinbarung über gemeinsame Verantwortlichkeit: wird nach Art. 26 DSGVO zwischen Stellen geschlossen, die Zwecke und Mittel gemeinsam festlegen. Sie verteilt die Pflichten, begründet aber keine Weisungsbindung.
• Übermittlung an eigenständige Verantwortliche: etwa an Steuerberatung, Bank oder die Kanzlei eines Investors. Die Weitergabe braucht dann eine eigene Rechtsgrundlage; ein Auftragsverarbeitungsvertrag passt nicht.

Typische Fehler

• Kein Dienstleisterverzeichnis. Wer nicht weiß, welche Anbieter Daten verarbeiten, kann weder Verträge führen noch Auskunft geben.
• Größe des Anbieters als Maßstab. Die Pflicht hängt nicht an der Größe; auch ein freiberuflicher Administrator braucht einen Vertrag.
• Drittlandfrage übersehen. Der Auftragsverarbeitungsvertrag ersetzt keine Grundlage für Übermittlungen außerhalb des Europäischen Wirtschaftsraums.
• Änderungsmeldungen nicht geprüft. Neue Unterauftragsverarbeiter werden hingenommen, obwohl ein Einspruchsrecht besteht.
• Vertragsende ohne Löschnachweis. Nach dem Ende der Zusammenarbeit wird die Löschung weder angefordert noch dokumentiert.
• Falsche Rollenzuordnung. Nutzt ein Partner die Daten gemeinsam mit dem Unternehmen oder für eigene Zwecke, beschreibt ein Auftragsverarbeitungsvertrag die Lage falsch. Nötig ist dann eine Vereinbarung nach Art. 26 DSGVO oder eine Rechtsgrundlage für die Weitergabe.

Häufige Fragen

Braucht ein Unternehmen einen Auftragsverarbeitungsvertrag mit seiner Steuerberatung?

In der Regel nicht. Steuerberater handeln nach dem Steuerberatungsgesetz weisungsfrei und sind für die Daten ihrer Mandanten selbst Verantwortliche. Sollen sie Unterlagen an Dritte wie Investoren weitergeben, braucht es eine andere Erklärung: eine Steuerberatervollmacht, die sie insoweit von ihrer Verschwiegenheitspflicht entbindet.

Reicht der Standardvertrag des Anbieters?

Meist ja, sofern er die Pflichtinhalte des Art. 28 DSGVO abdeckt. Zu prüfen sind vor allem die Liste der Unterauftragsverarbeiter, der Ort der Verarbeitung und die Regelung zur Löschung.

Muss der Vertrag eigenhändig unterschrieben werden?

Nein. Die DSGVO lässt ein elektronisches Format genügen; verbreitet ist die Annahme der Bedingungen in einem Kundenportal. Der Abschluss sollte nachweisbar dokumentiert sein.

Welche Folgen hat ein fehlender Vertrag?

Ein Verstoß gegen Art. 28 DSGVO, der auch ohne Datenschutzverletzung ein Bußgeld auslösen kann. In einer Transaktion wird der Vertrag vor dem Vollzug nachgeholt, und Investor oder Käufer lassen sich die Einhaltung des Datenschutzrechts im Vertrag garantieren.

Roemer Capital Perspektive

In der Vorbereitung des Datenraums nehmen wir die Datenschutzunterlagen in die Anforderungsliste auf: Verzeichnis von Verarbeitungstätigkeiten, Dienstleisterliste und je Dienstleister den Vertrag. Unser Ziel ist ein Datenraum, der innerhalb von 24 Stunden bereitgestellt werden kann; fehlende Verträge fallen so vor Prozessbeginn auf und nicht erst in der Prüfung durch die Investorenkanzlei.

Die rechtliche Beurteilung einzelner Verträge und der Drittlandfragen liegt bei der Kanzlei oder dem Datenschutzbeauftragten des Unternehmens. Wir sorgen dafür, dass die Unterlagen vollständig und widerspruchsfrei vorliegen. Ein nachgereichter Vertrag ist schnell unterschrieben, der Eindruck lückenhafter Pflichterfüllung dagegen schwer zu korrigieren.