Zuletzt geprüft:
Keine Rechtsberatung: Rechtliches steht auf dieser Seite nur als wörtliches Zitat aus Gesetz, Urteil oder Behördenpapier, mit Quelle. Wir ordnen es nicht selbst ein; eine Anwältin oder ein Anwalt hat die Seite nicht geprüft. Sie ersetzt keine Rechtsberatung im Einzelfall.
Auftragsverarbeitung
Kurz gesagt: „Auftragsverarbeitung“ ist der gebräuchliche Name für das, was ein Auftragsverarbeiter tut. Die DSGVO bestimmt den „Auftragsverarbeiter“ als „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet“ (Art. 4 Nr. 8 DSGVO).1
Die beiden Rollen
Die DSGVO unterscheidet zwischen dem, der entscheidet, und dem, der ausführt. „Verantwortlicher“ ist nach Art. 4 Nr. 7 DSGVO „die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet“. Der Auftragsverarbeiter verarbeitet „im Auftrag des Verantwortlichen“ (Art. 4 Nr. 8).
Im Newsletter-Alltag taucht der Begriff vor allem bei der Auswahl eines Versanddienstes auf: als Frage, ob der Dienst einen Vertrag zur Auftragsverarbeitung anbietet. Häufige Abkürzungen sind AVV oder AV-Vertrag; im Englischen liest man auch „Data Processing Agreement“ (DPA).
Was Art. 28 DSGVO im Wortlaut sagt
„Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“ — Art. 28 Abs. 1 DSGVO1
„Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind.“ — Art. 28 Abs. 3 Satz 1 DSGVO
Zur Form: „Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann.“ (Art. 28 Abs. 9 DSGVO)1
Was die Datenschutzaufsicht schreibt
Der Landesbeauftragte für den Datenschutz Baden-Württemberg schreibt in seiner Orientierungshilfe für Vereine: „Nach der DS-GVO ist für die Auftragsverarbeitung kennzeichnend, dass der Auftragsverarbeiter über die bloße Beauftragung hinaus gegenüber dem Verantwortlichen weisungsabhängig ist, selbst wenn der Auftragsverarbeiter über ein umfassenderes Know-how als sein Auftraggeber verfügt und einen gewissen Spielraum für selbständige Entscheidungen hat, und der Auftragsverarbeiter vom Verantwortlichen überwacht wird, selbst wenn der Verantwortliche dazu eine andere Stelle einschaltet.“ Und im selben Abschnitt: „Eine Datenverarbeitung im Auftrag ist auch dann gegeben, wenn ein Verein seine Mitgliederdaten nicht auf einer eigenen EDV-Anlage speichert, sondern hierfür über das Internet einen Datenbankserver nutzt, den ein Dienstleistungsunternehmen zu diesem Zweck zur Verfügung stellt. Durch die Inanspruchnahme von Dienstleistungen der Post (Briefversand) oder des Betreibers eines Mailservers (beim Versenden von E-Mails) kommt keine Datenverarbeitung im Auftrag zustande.“ (LfDI Baden-Württemberg, „Datenschutz im Verein nach der Datenschutzgrundverordnung (DS-GVO)“, Stand 24.06.2020, Abschnitt 3.2)2
Ob ein bestimmter Newsletter-Dienst, der Verteiler speichert, Anmeldungen verwaltet und Öffnungen oder Klicks auswertet, Auftragsverarbeiter ist, beantworten die hier zitierten Texte nicht ausdrücklich. Eine eigene Einschätzung geben wir nicht.
Abgrenzung
- Auftragsverarbeiter und Verantwortlicher: Die DSGVO bestimmt beide Rollen getrennt (Art. 4 Nr. 7 und Nr. 8, Wortlaut oben). Welche Rolle ein bestimmter Dienst im Einzelfall hat, beurteilen wir nicht.
- Auftragsverarbeitung und Berechtigtes Interesse: Das berechtigte Interesse ist eine Rechtsgrundlage der Verarbeitung; die Auftragsverarbeitung beschreibt, wer sie ausführt.
Verwechslungsgefahr
- „Auftragsdatenverarbeitung“: Der ältere Ausdruck kommt weiter vor. Die zitierte Orientierungshilfe aus Baden-Württemberg verwendet ihn im selben Abschnitt neben „Auftragsverarbeitung“ und verweist dort auf die „bisher geltenden Regelungen des § 11 BDSG“.
Beispiel aus dem Wortlaut
Art. 28 Abs. 3 Satz 1 zählt auf, was im Vertrag festgelegt ist. Zum Nachlesen als Liste:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- die Art der personenbezogenen Daten
- die Kategorien betroffener Personen
- die Pflichten und Rechte des Verantwortlichen
Der Absatz geht danach mit einer Liste von Punkten weiter, die der Vertrag „insbesondere“ vorsieht (Buchstaben a bis h).
Häufige Fragen
Was ist Auftragsverarbeitung? Die Verarbeitung personenbezogener Daten durch eine Stelle „im Auftrag des Verantwortlichen“, wie Art. 4 Nr. 8 DSGVO es formuliert.
Was bedeutet AVV? Die übliche Abkürzung für den Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO; man liest auch AV-Vertrag oder, im Englischen, DPA.
Muss ich mit meinem Newsletter-Dienst einen AVV schließen? Diese Frage beantworten wir nicht. Die zitierten Wortlaute stehen oben; die Auswahl-Checkliste nennt den Vertrag zur Auftragsverarbeitung als Frage an den Anbieter.
Verwandte Begriffe
Passendes Werkzeug
- Auswahl-Checkliste Versandsystem: Fragen an Anbieter, darunter zum Vertrag zur Auftragsverarbeitung.