Auftrags­verarbeitung: AVV (DPA) nach Art. 28 DSGVO

Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7), der Auftragsverarbeiter setzt um – weisungsgebunden und ohne eigene Zwecke. Typische Beispiele sind Hosting- und Cloud-Anbieter, Newsletter- und CRM-Tools, externe Lohnabrechnung, IT-Support mit Zugriff auf Systeme, Ticket- und Chat-Software und zunehmend KI-Dienste, die Texte, Dokumente oder Gespräche verarbeiten.

Für diese Konstellation schreibt Art. 28 DSGVO zweierlei vor. Erstens dürfen Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Abs. 1). Sie müssen den Dienstleister also vorher prüfen, nicht erst, wenn etwas passiert. Zweitens braucht es einen Vertrag oder ein anderes Rechtsinstrument mit festgelegten Mindestinhalten (Abs. 3), der schriftlich abzufassen ist – ein elektronisches Format genügt (Abs. 9). Das ist der Auftragsverarbeitungsvertrag, kurz AVV.

International heißt derselbe Vertrag Data Processing Agreement (DPA), manchmal auch Data Processing Addendum. Inhaltlich gibt es keinen Unterschied: Entscheidend ist, dass alle Pflichtinhalte nach Art. 28 Abs. 3 enthalten sind. Große Anbieter stellen ihren DPA meist als Standarddokument bereit, das mit den Nutzungsbedingungen gilt oder online akzeptiert wird. Das ist zulässig – Sie sollten aber prüfen, ob er zu Ihrer tatsächlichen Nutzung passt.

Nicht jede Zusammenarbeit ist Auftragsverarbeitung. Verfolgt ein Dienstleister eigene Zwecke oder entscheidet er selbst, wie und wozu Daten verarbeitet werden, ist er eigener Verantwortlicher – etwa Steuerberater und Rechtsanwälte im Rahmen ihrer Berufsausübung, Banken bei Zahlungen oder Paketdienste. Legen zwei Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche nach Art. 26 DSGVO und brauchen statt eines AVV eine Vereinbarung über die Aufgabenverteilung. Die Tabelle weiter unten hilft bei der Abgrenzung.

Besonders wichtig wird die Abgrenzung bei KI-Anbietern. Ein KI-Dienst, der Ihre Eingaben nur verarbeitet, um Ihnen ein Ergebnis zu liefern, kann Auftragsverarbeiter sein. Nutzt der Anbieter dieselben Daten aber auch für eigene Zwecke – etwa um seine Modelle zu trainieren –, handelt er insoweit nicht mehr nur nach Ihrer Weisung. Ein Auftragsverarbeiter, der unter Verstoß gegen die DSGVO selbst Zwecke und Mittel bestimmt, gilt für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10). Deshalb gehört die Frage nach Training und Datennutzung in jede AVV-Prüfung mit KI-Anbietern.

Fehlt ein AVV oder deckt er die Pflichtinhalte nicht ab, verstoßen Verantwortlicher und Auftragsverarbeiter gegen Art. 28 DSGVO. Dafür sieht Art. 83 Abs. 4 lit. a einen Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Für Schäden haftet der Auftragsverarbeiter nach Art. 82 Abs. 2 nur, wenn er seine speziellen Pflichten verletzt oder gegen rechtmäßige Weisungen gehandelt hat – die Verantwortung für die Verarbeitung bleibt im Grundsatz bei Ihnen.