Worum geht's?
Wer personenbezogene Daten von Kunden eines anderen Unternehmens verarbeitet oder einen externen Dienstleister mit der Verarbeitung beauftragt, benötigt meist einen AV-Vertrag. Dieser regelt die Einzelheiten der Auftragsverarbeitung zwischen Auftragnehmer und Auftraggeber. Fehlt der AV-Vertrag oder weist Fehler auf, kann das im Falle eines DSGVO-Verstoßes zu hohen Bußgeldern führen. Er muss jedoch zwingend nicht als separates Dokument abgeschlossen werden – Sie können ihn stattdessen auch als allgemeine Geschäftsbedingungen (AGB) ausgestalten. Wie das geht und worauf Sie achten sollten, erfahren Sie jetzt.
1. Auftragsverarbeitung, AV-Vertrag und AGB-Dienstleistungsvertrag: Was ist das eigentlich?
Egal ob Ihr Unternehmen Webhosting und Cloudspeicherung anbietet, Sie im Rahmen eines Gewinnspiels E-Mail-Adressen erheben oder Ihre Lohnbuchhaltung an eine externe Firma (nicht Steuerberater) auslagern: In allen Fällen liegt eine Auftragsverarbeitung vor – und Sie benötigen einen AV-Vertrag.
Was ist eine Auftragsverarbeitung?
Sobald ein Unternehmen (Auftraggeber) einen externen Dienstleister (Auftragnehmer) beauftragt, weisungsgebunden personenbezogene Daten zu verarbeiten, liegt eine Auftragsverarbeitung vor. Das wäre beispielsweise der Fall, wenn Ihre Firma:
- Tracking Software wie Google Analytics verwendet
- Externe Dienstleister für Newsletter, Marketingaktionen oder Buchhaltung beauftragt
- Das Rechenzentrum ganz oder teilweise outsourct
- Fernwartungssysteme einsetzt
Da der externe Dienstleister – also beispielsweise ein Unternehmen, das für Sie die Buchhaltung oder Gehaltsabrechnung durchführt – Zugriff auf die Daten Ihrer Kunden und Mitarbeitenden hat, müssen Sie den Datenschutz dieser sensiblen personenbezogenen Daten vertraglich in der Geschäftsbeziehung regeln. Möglich macht das der AV-Vertrag, der vor Beginn der Auftragsverarbeitung geschlossen werden muss.
Als personenbezogene Daten gelten alle Angaben, mit denen eine Person identifiziert werden kann. Dazu gehören zum Beispiel Name, E-Mail, Adresse und Kontonummer, aber auch IP-Adresse und Standortdaten.
Was regelt der AV-Vertrag?
Der AV-Vertrag bestimmt den rechtlichen Rahmen der Auftragsverarbeitung. Die Vertragsbedingungen im AV-Vertrag legen fest, welche Rechte und Pflichten Auftraggeber und Auftragnehmer hinsichtlich der Verarbeitung und der Sicherheit personenbezogener Daten des Auftraggebers haben.
Dabei geht es auch um die Haftungsverteilung: Indem Sie die Haftung bei der Datenverarbeitung durch das andere Unternehmen vertraglich regeln, können Sie sich im Fall eines Datenschutzverstoßes vor Abmahnungen und DSGVO-Bußgeldern schützen. Das ist wichtig, da diese Bußgelder bis zu 20 Millionen Euro betragen können.
Wann muss ich einen AV-Vertrag abschließen?
Ein Auftragsverarbeitungsvertrag (AV-Vertrag) ist abzuschließen, sobald es sich gemäß Art. 28 DSGVO um eine Auftragsverarbeitung handelt. Das heißt, wenn:
- die Verarbeitung personenbezogener Daten im Zentrum der Aktivität steht.
- eine klare Weisungsgebundenheit vorliegt.
- es keine spezifischen zusätzlichen Regelungen gibt, die eine erhöhte Vertraulichkeit in der Dienstleistung separat regeln.
Beim AV-Vertrag handelt es sich um eine Zusatzvereinbarung zum eigentlichen Dienstleistungsvertrag mit AGB.
Was ist ein AGB-Dienstleistungsvertrag?
Im Falle eines Dienstleistungsvertrag wird gegen Vergütung eine Dienstleistung erbracht. Das klassische Beispiel für einen Dienstleistungsvertrag ist der Arbeitsvertrag zwischen Arbeitgeber und Arbeitnehmer. Grundsätzlich spielt es bei einem Dienstleistungsvertrag aber keine Rolle, ob der Dienstverpflichtete in einem festen Arbeitsverhältnis mit dem Unternehmen steht. Das heißt, ein Dienstleistungsvertrag kann sowohl mit angestellten Arbeitnehmern als auch mit Selbstständigen und freien Mitarbeitern geschlossen werden.
Die einzelnen Punkte für jeden Vertrag über Dienstleistungen müssen nicht immer wieder neugestaltet werden, sondern können in den Allgemeinen Geschäftsbedingungen (AGB) des Unternehmens geregelt werden.
Die AGB bestehen zusätzlich zum ursprünglichen Dienstleistungsvertrag. Sie regeln unter anderem den Bereich der Geltung, Vertragsgegenstand, Zahlungsbedingungen sowie Haftung des Dienstvertrags. Durch die AGB wird eine einheitliche Abwicklung für jeden Kunden gewährleistet, gesetzliche Regelungen werden ergänzt und unbestimmte Rechtsbegriffe konkretisiert.
Die AGB müssen so formuliert sein, dass sie auch ein juristischer Laie verstehen kann. Sobald es ungewöhnliche Bestimmungen gibt, werden diese nicht Teil des AGB-Dienstleistungsvertrags, sondern müssen separat zwischen den Vertragsparteien geregelt werden.
Zusätzlich zum Dienstleistungsvertrag und den Allgemeinen Geschäftsbedingungen muss die Auftragsverarbeitung in einem AV-Vertrag geregelt werden.
2. Worauf muss ich beim AV-Vertrag achten?
Möchten Sie einen AV-Vertrag abschließen, sollte dieser in jedem Fall vollständig sein. Im Hinblick auf die Verarbeitung personenbezogener Daten sollten folgende Inhalte enthalten sein:
- Gegenstand der Verarbeitung
- Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten, die verarbeitet werden
- Kreis der betroffenen Personen (Nutzer, Kunde o.ä.)
- Rechte und Pflichten des Verantwortlichen
- Technische und organisatorische Maßnahmen (TOM) nach § 32 DSGVO
- Vereinbarungen zu Unterauftragsverhältnissen
- Kontrollrechte des Auftraggebers und Duldungs- sowie Mitwirkungspflichten des externen Dienstleisters
- Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmer
- Rückgabe überlassener Datenträger sowie Löschung der Daten nach Auftragsbeendigung
Ein Muss für jeden AV-Vertrag ist die Aufzählung der Subdienstleister sowie eine detaillierte Liste konkreter technischer und organisatorischer Maßnahmen (TOMs). Achten Sie auch darauf, dass der Zweck der Datenverarbeitung und die verarbeiteten Datenkategorien enthalten sind.
Sind Sie Auftraggeber, sollten Sie sicherstellen, dass Ihre Kontrollrechte gegenüber dem auftragsverarbeitenden Unternehmen nicht zu sehr aufgeweicht werden. Sind Sie hingegen Auftragsverarbeiter, sollte Ihnen der Auftraggeber vertraglich keine unverhältnismäßigen Einsichtsrechte in die interne Dokumentation vorschreiben. Das heißt, Sie müssen zwar transparent nachweisen können, wie Sie die personenbezogenen Daten Ihres Kunden schützen – Sie müssen sich aber auch nicht komplett entblößen.
3. Muss ich einen AV-Vertrag immer separat abschließen?
Es ist äußerst wichtig, dass Sie und Ihre Vertragspartner AV-Verträge abschließen, sobald gemäß Datenschutzgrundverordnung eine Auftragsverarbeitung vorliegt. In der Praxis wird dies allerdings häufig übersehen. Sie setzen sich damit dem Risiko eines unnötigen Bußgeldverfahrens aus, das Sie leicht mit einem ordnungsgemäßen AV-Vertrag abwenden können.
Sie sind jedoch nicht verpflichtet, einen AV-Vertrag separat abzuschließen. Anstatt den AV-Vertrag als eigenständiges Dokument im Original per Papier oder mit digitaler Unterschrift an die Vertragspartei zu senden, gibt es eine effizientere und einfachere Lösung, mit der Sie rechtlich auf der sicheren Seite sind – und die von den Datenschutzbehörden akzeptiert wird.
AV-Vertrag als AGB in den Angebotsprozess integrieren
Sie können den AV-Vertrag als AGB in Ihren Angebotsprozess integrieren. Der eigentliche AV-Vertrag wird in AGB-Form umgeschrieben und den Allgemeinen Geschäftsbedingungen beigefügt. So wird der AV-Vertrag zukünftig mit jedem Angebot – wie herkömmliche AGB – zusammen mit dem eigentlichen Dienstleistungsvertrag abgeschlossen.
Der Vorteil: Sie haben automatisch mit jedem Kunden, der Sie beauftragt, einen AV-Vertrag. So sind Sie vor einer Haftung bei der Datenverarbeitung personenbezogener Daten geschützt und vermeiden das Risiko möglicher Bußgelder aufgrund fehlender oder fehlerhafter AV-Verträge.
Kanzlei Siebert Lexow Lang
Da jedes Unternehmen individuelle Prozesse hat und deren Umsetzung entsprechend angepasst werden sollte, ist es sinnvoll, sich von einem Anwalt juristisch beraten zu lassen. Die Datenschutz-Experten der Kanzlei Siebert Lexow Lang unterstützen Sie bei der Umsetzung Ihres AV-Vertrages als AGB.
4. FAQ: Häufige Fragen zu AGB und Dienstleistungsvertrag
- Zurück zur Übersicht: "AGB"
- AGB für Webseitenbetreiber
- AGB für Agenturen und Webdesigner
- AGB für Online-Shop-Betreiber
- AGB für Amazon-Verkäufer
- AGB für Etsy-Verkäufer
- AGB für eBay-Händler
- AGB für Kleinanzeigen-Verkäufer
- AGB für ZVAB-Verkäufer
- AGB für Immobilienmakler
- AGB für Online-Schulungen und Seminar-Anbieter
- AGB für digitale Produkte
- AGB für WhatsApp
- AGB für B2B
- AGB für Kleinunternehmer
