Der Vertrag, den fast jede Website braucht
Sobald ein Dienstleister personenbezogene Daten im Auftrag berührt – Hosting, Newsletter, Backup –, verlangt Art. 28 DSGVO einen Vertrag mit festem Inhalt. Dieser Vertrag ist keine Formalie: Ohne Vertrag ist die Weitergabe schlicht unzulässig.
Der Auftragsverarbeitungsvertrag – kurz AV-Vertrag, englisch DPA – ist der am häufigsten übersehene Baustein. Der Vertrag wird gebraucht, sobald ein Dritter Daten im Auftrag verarbeitet, und das trifft auf mehr Dienste zu, als die meisten Listen enthalten.
Ist ein AV-Vertrag nötig?
Was drinstehen muss
Art. 28 Abs. 3 zählt den Mindestinhalt auf. Ein Vertrag, dem einer dieser Punkte fehlt, erfüllt die Vorgabe nicht – auch wenn der Vertrag zwanzig Seiten lang ist.
- Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der Daten und Kreis der betroffenen Personen.
- Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer.
- Vertraulichkeit der eingesetzten Personen, vertraglich oder gesetzlich gesichert.
- Technische und organisatorische Maßnahmen nach Art. 32 – konkret benannt, nicht als Absichtserklärung.
- Regeln für Unterauftragnehmer: Genehmigung, Informationspflicht bei Wechseln, Weitergabe derselben Pflichten.
- Unterstützung bei Betroffenenrechten, Datenpannen und Folgenabschätzungen.
- Löschung oder Rückgabe nach Ende der Leistung – nach Wahl des Verantwortlichen, nicht des Dienstleisters.
- Nachweis- und Prüfmöglichkeiten, einschließlich Duldung von Überprüfungen.
Der Vertrag allein genügt nicht
Art. 28 verlangt mehr als eine Unterschrift: Ausgewählt werden darf nur ein Dienstleister, der hinreichende Garantien bietet. Diese Auswahl ist eine eigene Prüfung, die vor dem Vertragsschluss stattfindet und ebenfalls dokumentiert gehört – Zertifizierungen, Standort der Verarbeitung, Umgang mit Anfragen von Behörden.
In der Praxis genügt dafür eine kurze Notiz je Dienstleister. Wichtig ist, dass sie existiert: Bei einer Prüfung wird nicht nur der Vertrag verlangt, sondern auch die Begründung der Auswahl.
Ein AV-Vertrag, der erst nach dem ersten Datenfluss unterschrieben wird, heilt nichts – der Vertrag dokumentiert nur, ab wann es besser wurde.