/ Software-Lexikon
Auftragsverarbeitung (AVV)
Der DSGVO-Pflichtvertrag, sobald ein Dienstleister personenbezogene Daten für Ihr Unternehmen verarbeitet — auch beim Hosting.
Auftragsverarbeitung liegt nach Art. 28 DSGVO vor, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet — beim Hosting, im Cloud-CRM, bei der Software-Wartung mit Zugriff auf Echtdaten. Dafür ist ein Auftragsverarbeitungsvertrag (AVV) gesetzlich vorgeschrieben.
Der AVV regelt unter anderem Gegenstand und Dauer der Verarbeitung, technische und organisatorische Maßnahmen (TOM), Sub-Dienstleister, Löschpflichten und Kontrollrechte. Verantwortlich bleibt immer das beauftragende Unternehmen — „der Dienstleister macht das schon“ schützt vor keiner Aufsichtsbehörde.
Besondere Aufmerksamkeit verdienen Übermittlungen in Drittländer, vor allem die USA: Sie brauchen eine gültige Rechtsgrundlage (etwa das EU-US Data Privacy Framework) und müssen im AVV samt Sub-Dienstleisterkette transparent sein.
Für den Mittelstand heißt das
Praktische Checkliste für den Mittelstand: Liegt für jeden Dienstleister mit Datenzugriff ein AVV vor? Wissen Sie, wo Ihre Daten physisch liegen? Ein Hosting-Standort in Deutschland oder der EU vereinfacht die Rechtslage erheblich — und ist ein legitimes Auswahlkriterium gegenüber US-Clouds.