Ein Auftragsverarbeitungsvertrag ist ein schriftlicher Vertrag nach Artikel 28 DSGVO zwischen einem Unternehmen, das über personenbezogene Daten bestimmt (dem Verantwortlichen), und einem Dienstleister, der diese Daten für das Unternehmen verarbeitet (dem Auftragsverarbeiter). Er wird oft als AVV abgekürzt.
Ein Auftragsverarbeitungsvertrag legt fest, unter welchen Bedingungen ein Dienstleister personenbezogene Daten für ein Unternehmen verarbeitet. Das Unternehmen ist der Verantwortliche, der Dienstleister ist der Auftragsverarbeiter.
Wann brauchen Sie einen?
Sie brauchen einen Vertrag immer dann, wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten speichert, liest oder anderweitig verarbeitet. Typische Beispiele:
- Ein Hosting Anbieter, der Ihre Server betreibt.
- Ein Berater mit Zugriff auf Ihre Datenbanken.
- Ein Cloud Dienst für E-Mail, Backup oder Support.
Wenn Ihre Domino Server Namen, E-Mails oder Kundendaten enthalten und ein externer Partner sie betreibt, brauchen Sie einen Vertrag.
Was muss er enthalten?
Die DSGVO schreibt vor, was der Vertrag regeln muss, unter anderem:
- Die Verarbeitung, die der Dienstleister durchführen darf, beschränkt auf Ihre dokumentierten Weisungen.
- Die Verpflichtung, dass Mitarbeiter mit Zugriff zur Vertraulichkeit verpflichtet sind.
- Die Sicherheitsmaßnahmen zum Schutz der Daten.
- Weitere beteiligte Dienstleister (Unterauftragsverarbeiter), die Sie genehmigen müssen.
- Die Pflicht des Dienstleisters, Sie bei Anfragen von Betroffenen und bei Datenpannen zu unterstützen.
- Was mit den Daten bei Vertragsende geschieht, etwa Rückgabe oder Löschung.
- Ihr Recht zu prüfen, ob die Vereinbarungen eingehalten werden.
Auftragsverarbeitungsverträge und Domino Hosting
Wenn Sie sich für Domino Hosting entscheiden, wird der Hosting Anbieter Ihr Auftragsverarbeiter. Fordern Sie den Vertrag an, bevor Sie den Hauptvertrag unterschreiben. Klären Sie, wo die Daten und die Backups liegen und welche Unterauftragsverarbeiter beteiligt sind.
Warum ist das wichtig?
Ohne Vertrag zu arbeiten verstößt gegen die DSGVO, auch wenn nichts passiert. Kommt es doch zu einem Vorfall, klärt der Vertrag die Verantwortlichkeiten beider Seiten und schützt damit Sie und die Personen, deren Daten Sie verarbeiten. Eine Protokollierung, wer auf personenbezogene Daten zugreift, hilft Ihnen, diese Pflichten in der Praxis zu erfüllen.