Auftragsverarbeitung nach Art. 28 DSGVO

01Wann Sie einen AVV mit uns brauchen

Sobald wir in Ihrem Auftrag personenbezogene Daten verarbeiten können, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. „Verarbeiten können" ist dabei wörtlich zu nehmen: Es genügt, dass ein Zugriff möglich ist – niemand muss die Daten tatsächlich ansehen.

In der Praxis betrifft das fast jede laufende Betreuung. Typische Fälle sind Fernwartung auf Arbeitsplätzen und Servern, Betrieb und Überwachung Ihrer Systeme, Datensicherung in unsere Cloud-Angebote, Betreuung von Microsoft 365 und Postfächern, gehostete Telefonanlagen sowie die Verwaltung mobiler Geräte.

Nicht erforderlich ist ein AVV dagegen bei einer reinen Hardwarelieferung ohne Zugriff, bei einer Beratung ohne Systemzugang oder dort, wo wir als eigenständig Verantwortliche auftreten – etwa bei Ihrer Rechnungsstellung an uns.

02Was der Vertrag regelt

Der Inhalt ist in Art. 28 Abs. 3 DSGVO vorgegeben. Unser Vertrag bildet diese Punkte ab:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die betroffenen Datenarten und Personengruppen
• Verarbeitung ausschließlich nach Ihrer dokumentierten Weisung
• Verpflichtung unserer Mitarbeitenden zur Vertraulichkeit
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO, als Anlage beschrieben
• Regeln für den Einsatz weiterer Auftragsverarbeiter, einschließlich Ihres Widerspruchsrechts
• Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten
• Löschung oder Rückgabe der Daten nach Vertragsende – auf Ihre Wahl
• Nachweis- und Kontrollrechte, inklusive Auskunft und Prüfmöglichkeit

03Technische und organisatorische Maßnahmen

Die Anlage zu den technischen und organisatorischen Maßnahmen beschreibt konkret, wie wir Ihre Daten schützen: Zutritt zu unseren Räumen, Zugang zu Systemen, Zugriffsrechte nach dem Prinzip der geringsten Berechtigung, Trennung von Mandanten, Verschlüsselung bei Übertragung und Speicherung, Protokollierung von Fernwartungssitzungen, Verfügbarkeit durch Sicherung und getestete Wiederherstellung sowie unser Vorgehen bei Sicherheitsvorfällen.

Diese Anlage ist kein Beiwerk. Sie ist der Teil, den Prüfer zuerst lesen – und im Schadensfall der Nachweis, dass Sie Ihren Dienstleister sorgfältig ausgewählt haben.

04Unterauftragnehmer

Für einzelne Leistungen setzen wir weitere Dienstleister ein, etwa für Rechenzentrumsleistungen, Cloud-Sicherung, gehostete Telefonie oder Fernwartungswerkzeuge. Diese sind im Vertrag namentlich aufgeführt, mit Sitz, Leistung und Angabe, ob eine Verarbeitung außerhalb der EU stattfindet. Änderungen teilen wir Ihnen vorab mit, sodass Sie widersprechen können.

05So bekommen Sie den Vertrag

Bestandskunden haben den AVV in der Regel bereits mit dem Betreuungsvertrag geschlossen. Wenn Sie ihn erneut benötigen, Ihre Datenschutzdokumentation aktualisieren oder als neuer Kunde vorab prüfen möchten, schreiben Sie uns – Sie erhalten den Vertrag samt Anlagen als PDF zur Prüfung und anschließend zur Unterzeichnung.

06Wenn Sie selbst Auftragsverarbeiter sind

Viele unserer Kunden verarbeiten ihrerseits Daten für Dritte – Kanzleien, Abrechnungsdienstleister, Verwaltungen. Dann reicht unser Vertrag mit Ihnen nicht aus, Sie brauchen eine durchgehende Kette bis zu Ihrem Auftraggeber. Unsere Schwestergesellschaft CMD Datenschutz & Compliance übernimmt die Rolle des externen Datenschutzbeauftragten und sortiert genau solche Ketten, damit am Ende nichts offen bleibt.

07Weitere rechtliche Hinweise

Impressum · Datenschutzerklärung · Allgemeine Geschäftsbedingungen