Auftragsverarbeitung (AV)

Was versteht man unter Auftragsverarbeitung?

Der bisherige Begriff Auftragsdatenverarbeitung (kurz ADV) wird seit Einführung der DSGVO durch den Begriff Auftragsverarbeitung (kurz AV) ersetzt. Eine Auftragsverarbeitung liegt vor, wenn der Verantwortliche personenbezogene Daten an einen Dienstleister übermittelt, der die Daten nur weisungsgebunden und nicht für eigene Zwecke verarbeitet. Das gilt zum Beispiel für das Outsourcing und die Migration der Datenverarbeitung in die Cloud. Nach der DSGVO muss zwischen dem Unternehmen und dem Dienstleister eine entsprechende Vereinbarung zur Auftragsverarbeitung abgeschlossen werden (Art. 28 Abs. 3 DSGVO).

Der Auftragsverarbeiter hat keine eigene Entscheidungsfreiheit, denn der Auftraggeber legt die Zwecke und Mittel der Datenverarbeitung fest, sie erfolgt in seinem Interesse und auch in seiner Verantwortung.

In der DSGVO Art.28 Abs.3 DSGVO werden auch inhaltliche Mindestanforderungen vorgegeben. So muss darin beispielsweise geregelt sein, welche Arten von personenbezogenen Daten verarbeitet werden, sowie was Gegenstand und Zweck der Verarbeitung sind. Der Auftragsverarbeiter muss darüber hinaus ein eigenes Verzeichnis über die Verarbeitungstätigkeiten führen, welche den Namen und die Kontaktdaten jedes Verantwortlichen umfasst, in dessen Auftrag er tätig ist sowie die Kategorien von Verarbeitungen, die dabei durchgeführt werden. Außerdem umfasst das Verzeichnis eine allfällige Übermittlung von personenbezogenen Daten in Länder außerhalb der EU (sogenannte “Drittländer”) und eine Erklärung zu der vom Auftragsverarbeiter ergriffenen technischen und organisatorischen Maßnahmen zum Schutz der Daten nach Art. 32 DSGVO.