So lesen Sie den AVV eines Lieferanten nach Art. 28 DSGVO

Jeder Lieferant, der für Sie personenbezogene Daten verarbeitet — Hosting, E-Mail, CRM, Lohnabrechnung —, ist nach der DSGVO ein Auftragsverarbeiter, und Sie sind der Verantwortliche. Nach Art. 28 Abs. 1 dürfen Sie nur mit Auftragsverarbeitern arbeiten, die „hinreichend Garantien“ bieten, und nach Art. 28 Abs. 3 muss die Beziehung auf einem Vertrag mit genau festgelegtem Inhalt beruhen. Dieser Vertrag ist der Auftragsverarbeitungsvertrag (AVV). Dieser Ratgeber zeigt, wie Sie einen AVV in einer halben Stunde lesen: wie jede vorgeschriebene Klausel aussieht, wenn sie ordentlich gemacht ist, was es bedeutet, wenn der AVV schweigt, und welche Fragen Sie dem Lieferanten schicken, bevor Sie sich darauf verlassen.

Warum der AVV Ihr Problem ist, nicht nur das des Lieferanten

Die Pflicht zum AVV liegt auf beiden Seiten: Der Verantwortliche darf nicht ohne AVV durch einen Auftragsverarbeiter verarbeiten lassen, und der Auftragsverarbeiter darf nicht ohne Weisung verarbeiten. Art. 83 Abs. 4 Buchst. a ordnet einen fehlerhaften oder fehlenden Vertrag nach Art. 28 dem Bußgeldrahmen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes zu, für Verantwortliche und Auftragsverarbeiter gleichermaßen. Nach Art. 28 Abs. 9 ist der AVV schriftlich abzufassen, was auch elektronisch geschehen kann: Ein AVV, den der Lieferant als Seite auf seiner Website veröffentlicht und in die von Ihnen akzeptierten Bedingungen einbezieht, erfüllt das — und lässt sich ändern, indem jemand die Seite bearbeitet.

Was ein AVV nach Art. 28 Abs. 3 enthalten muss

Der Artikel hat zwei Teile. Der einleitende Satz verlangt, dass der Vertrag Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegt — ein guter AVV regelt das in einer Anlage; „personenbezogene Daten, die im Zusammenhang mit den Diensten verarbeitet werden“ ist ein Platzhalter, keine Beschreibung. Danach zählen acht Buchstaben auf, was der Vertrag für den Auftragsverarbeiter vorsehen muss. Der Auftragsverarbeiter

• a) verarbeitet die Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf Übermittlungen in ein Drittland, sofern ihn das Recht nicht zu etwas anderem verpflichtet;
• b) gewährleistet, dass sich die Personen, die die Daten verarbeiten, zur Vertraulichkeit verpflichtet haben;
• c) ergreift alle Sicherheitsmaßnahmen, die Art. 32 verlangt;
• d) hält die Bedingungen aus Art. 28 Abs. 2 und 4 für die Inanspruchnahme eines weiteren Auftragsverarbeiters ein — die Regeln für Unterauftragsverarbeiter;
• e) unterstützt Sie nach Möglichkeit dabei, Anträge betroffener Personen nach Kapitel III zu beantworten;
• f) unterstützt Sie bei der Einhaltung der Art. 32 bis 36: Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und vorherige Konsultation;
• g) löscht nach Ende der Leistung alle personenbezogenen Daten oder gibt sie zurück, nach Ihrer Wahl, und löscht vorhandene Kopien, sofern das Recht keine Speicherung verlangt;
• h) stellt Ihnen die Informationen zur Verfügung, die Sie zum Nachweis der Einhaltung brauchen, ermöglicht Überprüfungen und trägt zu ihnen bei und informiert Sie, wenn er eine Weisung für rechtswidrig hält.

Zu jedem dieser Punkte sollten Sie im AVV auf eine Klausel zeigen können. Können Sie das nicht, ist der AVV unvollständig, was immer er sonst verspricht. Die Standardvertragsklauseln der Kommission für Verträge zwischen Verantwortlichen und Auftragsverarbeitern (Durchführungsbeschluss (EU) 2021/915) sind der Maßstab: Ein AVV, der weniger abdeckt, verdient eine Nachfrage.

Klausel für Klausel lesen

Lesen Sie den AVV mit der Liste oben daneben und markieren Sie jeden Punkt als geregelt, schwach geregelt oder nicht geregelt.

Weisungen (a). Suchen Sie den Satz, nach dem der Vertrag und Ihre Nutzung des Dienstes die dokumentierten Weisungen sind. Achten Sie auf das Gegenteil: eine Klausel, die dem Lieferanten erlaubt, für „eigene berechtigte Geschäftszwecke“ wie Analysen oder Produktverbesserung zu verarbeiten. Für diese Zwecke handelt der Lieferant dann als Verantwortlicher — das ist zulässig, muss aber ausdrücklich geregelt sein, und es gehört in Ihre Unterlagen.

Sicherheit (c). Der AVV sollte auf eine Sicherheitsanlage oder eine öffentliche Sicherheitsseite mit konkreten Maßnahmen verweisen — Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriffskontrolle, Protokollierung, Backups. „Geeignete technische und organisatorische Maßnahmen“ ohne jede Aufzählung wiederholt das Gesetz und verpflichtet zu nichts, was Sie prüfen können.

Unterauftragsverarbeiter (d). Es sollte eine aktuelle Liste geben, ein Verfahren zur Mitteilung von Änderungen und ein Einspruchsrecht. Die Einzelheiten stehen im Ratgeber zu Unterauftragsverarbeitern; für den AVV selbst prüfen Sie, dass er auf die Liste verweist und dass sie datiert ist.

Unterstützung (e) und (f). Prüfen Sie die Frist für die Meldung einer Verletzung des Schutzes personenbezogener Daten. Nach Art. 33 Abs. 2 muss der Auftragsverarbeiter Ihnen eine solche Verletzung „unverzüglich“ melden; gute AVVs nennen 24, 48 oder 72 Stunden, je kürzer, desto besser, denn Ihre eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde nach Art. 33 Abs. 1 beginnt, sobald Ihnen die Verletzung bekannt wird.

Löschung oder Rückgabe (g). Achten Sie auf eine Frist („innerhalb von 30 Tagen nach Vertragsende“) und darauf, was mit Backups geschieht. „Gelöscht gemäß unserer Aufbewahrungsrichtlinie“ ohne Frist ist keine Zusage.

Überprüfungen (h). Kleine Lieferanten bieten statt Vor-Ort-Audits oft Prüfberichte Dritter und schriftliche Antworten an. Das ist akzeptabel, solange das Recht auf ein Audit auf dem Papier besteht und nicht durch den Preis unerreichbar wird.

Übermittlungen. Der AVV sollte angeben, wo die Daten verarbeitet werden, und für jede Verarbeitung außerhalb der EU oder des EWR den Mechanismus nach Kapitel V nennen: einen Angemessenheitsbeschluss nach Art. 45, die Standardvertragsklauseln von 2021 nach Art. 46 Abs. 2 Buchst. c oder verbindliche interne Datenschutzvorschriften nach Art. 47. Auch ein Lieferant in der EU mit Unterauftragsverarbeitern in den USA braucht das.

Was Schweigen bedeutet

Schweigen in einem AVV ist eine Lücke, weder Zustimmung noch Zusage, und die Lücke ist ebenso die des Verantwortlichen wie die des Auftragsverarbeiters: Nach Art. 28 Abs. 3 muss der Vertrag diese Punkte vorsehen. Drei Regeln machen Schweigen lesbar.

Erstens: Schweigen hängt von der Art des Dokuments ab. Ein AVV schuldet Ihnen eine Löschklausel; die Nutzungsbedingungen eines Lieferanten schulden sie nicht. Bevor Sie notieren, dass ein Lieferant „keine Löschzusage hat“, prüfen Sie die Dokumente, die Sie noch nicht gelesen haben — die Sicherheitsseite, die Liste der Unterauftragsverarbeiter, die Nutzungsbedingungen.

Zweitens: „Nicht geregelt“ ist eine Frage, kein Urteil. Nennt der AVV keine Meldefrist für Verletzungen, wissen Sie nicht, welche Frist der Lieferant hat — nicht, dass er keine hat. Fragen Sie schriftlich nach und halten Sie die Antwort neben dem AVV fest.

Drittens: Datiertes Schweigen ist ein Nachweis, erinnertes Schweigen nicht. Notieren Sie die Fassung oder das Datum, die Sie gelesen haben, und was an diesem Tag fehlte, damit Sie zeigen können, was sich wann geändert hat, wenn der Lieferant eine Klausel hinzufügt oder streicht.

Die Fragen an den Lieferanten

Schicken Sie diese, wenn die Lektüre Lücken lässt. Ein Lieferant, der sie nicht innerhalb einer Woche beantworten kann, hat Ihnen damit etwas mitgeteilt.

1. Welches Dokument ist Ihr aktueller AVV, welche Fassung oder welches Datum trägt er, und wo finden wir den Änderungsverlauf?
2. Verarbeiten Sie Daten von uns für eigene Zwecke? Welche, und auf welcher Rechtsgrundlage?
3. Wo werden unsere Daten verarbeitet und gespeichert, einschließlich Backups, und welcher Übermittlungsmechanismus deckt eine Verarbeitung außerhalb der EU und des EWR ab?
4. Wo ist die aktuelle Liste der Unterauftragsverarbeiter, wie werden Änderungen angekündigt, und wie erheben wir Einspruch?
5. Innerhalb wie vieler Stunden, nachdem Ihnen eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, melden Sie sie uns, und über welchen Kanal?
6. Was geschieht nach Vertragsende mit unseren Daten, einschließlich Backups, und innerhalb welcher Frist?

Wo der AVV in Ihre eigenen Unterlagen gehört

Art. 30 Abs. 1 Buchst. d verlangt die Kategorien von Empfängern in Ihrem Verzeichnis von Verarbeitungstätigkeiten, und nach Art. 5 Abs. 2 müssen Sie die Einhaltung nachweisen können; ein AVV, den Sie einmal gelesen haben und nicht wiederfinden, weist nichts nach. Halten Sie pro Lieferant fest: die Fassung des AVV, das Datum, an dem Sie ihn gelesen haben, was er zu den Punkten oben regelt und was nicht, und die Antworten des Lieferanten. Lesen Sie ihn dann erneut, wenn er sich ändert — darum geht es im Ratgeber Änderungen an den Bedingungen Ihrer Lieferanten im Blick behalten.

So macht es Maditon

Das ist das Erste, was Maditon für einen Lieferanten tut: Es ruft den AVV ab, den der Lieferant veröffentlicht, oder nimmt den unterschriebenen, den Sie hochladen und als vertraulich markieren können, und wertet ihn in der Reihenfolge oben aus. Jede Angabe, die es herauszieht — die Meldefrist, die Löschfrist, den Übermittlungsmechanismus —, erscheint mit der Passage, auf der sie beruht, und ein zweiter Durchgang listet auf, was ein AVV schuldet, dieser aber nicht regelt. Jeder Befund ist eine Frage an den Lieferanten, nie ein Urteil, und die Auswertung bleibt ein Entwurf, bis eine namentlich benannte Person in Ihrer Organisation sie bestätigt. Wenn der Lieferant die Seite bearbeitet, meldet Ihnen die tägliche Prüfung, was sich geändert hat.

Wie die Auswertung funktioniert: Wie wertet Maditon das Dokument eines Lieferanten aus, und was ist ein Befund? Warum nicht jede Auslassung gemeldet wird: Warum meldet Maditon nicht alles, was das Dokument eines Lieferanten auslässt? Oder erfassen Sie Ihren ersten Lieferanten in der App.