Auftragsverarbeitung & AVV
Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – Cloud, Newsletter-Tool, Lohnabrechnung – verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV). SimpleAct verwaltet alle AVV, Nachweise und Unterauftragsverarbeiter zentral.
DSGVO ist bei SimpleAct kein Solo-Tool: Datenschutz und EU AI Act laufen in einem System – ein erfasstes KI-System löst beide Seiten aus, verbunden durch eine gemeinsame Audit-Spur.
EU AI Act + DSGVO in einem SystemWas ist ein AVV?
Ein Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister (Auftragsverarbeiter) im Auftrag und nach Weisung des Verantwortlichen. Er ist nach Art. 28 DSGVO verpflichtend, sobald ein externer Anbieter Zugriff auf personenbezogene Daten hat. Ohne gültigen AVV ist die Datenweitergabe an den Dienstleister rechtswidrig – unabhängig davon, wie sicher der Anbieter ist.
Auftragsverarbeiter
Art. 28 DSGVO| Auftragsverarbeiter | Zweck | AVV |
|---|---|---|
| Hetzner | Hosting | unterzeichnet |
| Brevo | unterzeichnet | |
| Stripe | Zahlung | unterzeichnet |
| Analyse-Tool | Analyse | offen |
Jeder Auftragsverarbeiter mit Zweck und AVV-Status.
Pflichtinhalte eines AVV
AVV rechtssicher verwalten
- Alle Dienstleister mit Datenzugriff identifizieren
- Je Dienstleister einen AVV nach Art. 28 abschließen
- Unterauftragsverarbeiter erfassen und genehmigen
- TOM-Nachweise des Auftragsverarbeiters einholen
- Drittland-Transfers im AVV prüfen (SCC erforderlich?)
- AVV mit dem Verarbeitungsverzeichnis verknüpfen
- Verträge versionieren und Fristen im Blick behalten
Häufige Fragen zur Auftragsverarbeitung
Was ist der Unterschied zwischen AVV und DPA?
Inhaltlich keiner: „AVV" (Auftragsverarbeitungsvertrag) ist der deutsche Begriff, „DPA" (Data Processing Agreement) der englische. Beide bezeichnen denselben Vertrag nach Art. 28 DSGVO. Im deutschen Recht heißt er AVV, internationale Anbieter nennen ihn DPA – Sie brauchen also nicht beides, sondern einen Art.-28-Vertrag, der alle Pflichtinhalte abdeckt.
Wann brauche ich einen AVV?
Immer dann, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – z. B. Hosting, E-Mail-Marketing, CRM, Buchhaltung oder Support-Tools.
Ist ein AVV dasselbe wie eine Datenübermittlung an Dritte?
Nein. Bei der Auftragsverarbeitung handelt der Dienstleister weisungsgebunden für Sie. Eine Übermittlung an einen eigenständig Verantwortlichen folgt anderen Regeln und braucht eine eigene Rechtsgrundlage.
Wer haftet bei einem Datenschutzverstoß des Dienstleisters?
Grundsätzlich bleibt der Verantwortliche in der Pflicht. Der Auftragsverarbeiter haftet mit, wenn er gegen spezifische Pflichten oder die Weisungen verstößt.
Reicht der Standard-AVV des Anbieters?
Oft ja – aber er muss alle Pflichtinhalte des Art. 28 abdecken und zu Ihrer tatsächlichen Nutzung passen. Prüfen Sie insbesondere Unterauftragsverarbeiter und Drittland-Transfers.
Auftragsverarbeitung mit SimpleAct
AVV, Unterauftragsverarbeiter und TOM-Nachweise zentral verwalten – verknüpft mit dem Verarbeitungsverzeichnis und jederzeit auditfähig.
Jetzt kostenlos starten