AVV – Auftragsdatenverarbeitung und die DSGVO
Erstellt am: 29.06.2018zuletzt geändert am: 29.06.2018
Sobald andere Dienstleister oder Unternehmen Zugriff auf personenbezogene Daten der Kunden eines Online-Shops haben, muss mit diesem Unternehmen ein Auftragsverarbeitungsvertrag abgeschlossen werden. Vor Inkrafttreten der DSGVO waren diese Verträge ebenfalls Pflicht, hießen allerdings Auftragsdatenverarbeitungs-Vertrag.
Fast jeder ist betroffen
In nahezu jedem Unternehmen werden Dienstleister mit der Verarbeitung von Daten beauftragt – und in vielen Fällen wissen die Firmen gar nichts davon. Grundsätzlich liegt der Fall immer dann vor, wenn bei einer Leistung der Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Das ist der Fall, wenn ein Programmierer beauftragt wird, aber auch bei Vertragsabschluss mit dem Internet-Provider oder dem externen Dienstleister, der die Aktenvernichtung übernimmt. Fehlt der Vertrag oder entspricht er nicht den gesetzlichen Anforderungen kann das zu deftigen Bußgeldern führen, betroffene Verbraucher können von beiden Parteien Schadensersatz fordern, ein Unschuldsnachweis ist ohne einen entsprechenden Vertrag kaum möglich.Notwendig sind AV-Verträge zum Beispiel bei folgenden Dienstleistern:
- Nutzung externer Server
- Externe Callcenter
- Warenwirtschaftssysteme
- Mailing-Dienstleister
- Google Analytics
- Datenerfassung
Kein Vertrag muss mit dem Finanz- und Steuerberater, mit Online-Marktplätzen und Zahlungs- oder Transportdienstleistern abgeschlossen werden. Auch mit dem Inkasso-Unternehmen ist der Abschluss eines AV-Vertrages nicht erforderlich.In vielen Fällen gibt es die Verträge schon, dann ist lediglich eine Anpassung nach den Anforderungen der DSGVO nötig.
Die Änderungen der DSGVO
Die Auftragsdatenverarbeitung wurde mit Inkrafttreten der EU-Datenschutzgrundverordnung überarbeitet, im § 28 sind gleich mehrere Änderungen benannt, die Namensänderung ist nur eine davon:
- Auftragnehmer (also die datenverarbeitenden Unternehmen) dürfen Subunternehmer nur noch dann einsetzen, wenn der Auftraggeber dies schriftlich genehmigt hat. Ihm muss weiterhin ein unbegrenztes Widerrufsrecht eingeräumt werden.
- Der Auftragnehmer muss Vertraulichkeit gewährleisten können.
- Der Auftragnehmer ist verpflichtet, den Auftraggeber zu unterstützen, wenn Betroffene ihre Rechte geltend machen wollen.
Neu ist, dass der AV-Vertrag auch elektronisch abgeschlossen werden kann. Eine rechtssichere Dokumentation ist allerdings nach wie vor erforderlich.
