MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Eine Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO) ist ein obligatorischer Vertrag zwischen dem Verantwortlichen (Ihrer GmbH) und dem Auftragsverarbeiter (einem externen Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet). Beispiele: Hosting-Anbieter, Lohnabrechnungsdienstleister, Marketing-Tool, Cloud-Software. Der Inhalt ist gesetzlich vorgeschrieben: Gegenstand, Dauer, Art der Verarbeitung, Datentypen und Pflichten des Auftragsverarbeiters. Ohne gültige Auftragsverarbeitungsvereinbarung droht der Datenschutzbehörde eine Geldbuße von bis zu 2 % des weltweiten Jahresumsatzes. Für kleine und mittlere GmbHs ist dies fast schon Alltag. Im Folgenden finden Sie die obligatorischen Inhalte und Hinweise zur Vorgehensweise.
Die kurze Antwort
- Was: obligatorischer Vertrag zwischen Verantwortlichem und Auftragsverarbeiter (Art. 28 DSGVO).
- Wer ist der Prozessor: Hosting, Gehaltsabrechnung, Marketing-Tool, Cloud-Software, Kundensupport.
- Erforderliche Angaben: Gegenstand, Dauer, Art, Daten, Pflichten des Auftragsverarbeiters.
- Format: schriftlich (eine Vereinbarung per E-Mail ist zulässig).
- Sanktionen: AP verhängt bei Nichteinhaltung eine Geldstrafe von bis zu 2 % des weltweiten Umsatzes.
Was ist der Unterschied zwischen Prozessor und Controller?
Regler
Legt Zweck und Art der Verarbeitung fest – Ihre BV in Bezug auf Kundendaten, Mitarbeiterdaten und Marketing.
Prozessor
Führt Verarbeitungen im Auftrag des Verantwortlichen durch – ohne eigene Entscheidungen über Zweck und Mittel zu treffen. Beispiele hierfür sind ein Hosting-Anbieter, der Ihre Daten auf Servern speichert, oder ein Lohnabrechnungsdienstleister, der Gehälter berechnet.
Gemeinsam verantwortliche Parteien
Zwei Parteien legen gemeinsam Ziel und Mittel fest – z. B. eine Partnerschaft zwischen Unternehmen mit gemeinsamen Kundendaten. Eine weitere Form der Vereinbarung (Art. 26 DSGVO).
Wann ist eine Datenverarbeitungsvereinbarung erforderlich?
- Hosting-/Cloud-Anbieter für Kunden- oder Mitarbeiterdaten.
- Lohnabrechnungsservice für die Gehaltsverwaltung.
- E-Mail-Marketing-Tool (Mailchimp, Klaviyo).
- CRM-Software (HubSpot, Salesforce).
- Kundensupport-Tool (Zendesk, Intercom).
- Buchhaltungssoftware (Yuki, Exact, Moneybird) – bei der Verarbeitung personenbezogener Daten.
- HR-Software (Personio, AFAS).
- Backup-Dienst.
- Marketingagentur, die datenbasierte Kampagnen durchführt.
- Inkassobüro für Schuldner.
Praktisch jedes externe Tool mit Kunden- oder Personaldaten.
Pflichtangaben (Art. 28 Abs. 3 DSGVO)
- Gegenstand und Dauer: Was wird verarbeitet und wie lange?
- Art und Zweck der Verarbeitung: Hosting, Verarbeitung, Analyse.
- Art der personenbezogenen Daten: Name, Adresse, Finanzdaten, Gesundheitsdaten.
- Kategorien von Interessengruppen: Kunden, Mitarbeiter, Lieferanten.
- Rechte und Pflichten der verantwortlichen Partei.
- Pflichten des Auftragsverarbeiters:
- Die Vorgehensweise ist ausschließlich nach dokumentierten Anweisungen durchzuführen.
- Vertraulichkeit der Mitarbeiter.
- Angemessene Sicherheit (TOM = Technische und organisatorische Maßnahmen).
- Für Unterauftragnehmer ist eine Einwilligung erforderlich.
- Unterstützung bei Anfragen von betroffenen Personen.
- Hilfe bei der Meldung von Datenschutzverletzungen.
- Hilfe bei Datenschutz-Folgenabschätzungen.
- Nach Beendigung: Daten löschen oder zurückgeben.
- Verantwortlich für die Prüfungsrechte.
Subprozessoren
Der Auftragsverarbeiter kann Unterauftragnehmer einsetzen (z. B. nutzt der Hosting-Anbieter ein Rechenzentrum) – mit Zustimmung des Verantwortlichen. Standardklauseln:
- Liste der aktuellen Subprozessoren.
- Verpflichtung zur Meldung eines neuen Unterauftragnehmers.
- Recht des Verantwortlichen, Widerspruch einzulegen.
- Der Unterauftragnehmer hat die gleichen Pflichten wie der Auftragsverarbeiter.
Standardvertragsklauseln (SCC)
Für Überweisungen außerhalb der EU (US-Tools): Standardvertragsklauseln der EU-Kommission. Erforderlich:
- Erwähnung im Auftragsverarbeitungsvertrag.
- SCC-Anhänge fertiggestellt.
- Für die USA: zusätzliche Sicherheitsmaßnahmen (im Anschluss an Schrems II).
Die Standardvereinbarung des Lieferanten ist oft ausreichend
Die wichtigsten Anbieter (Microsoft, Google, AWS, Mailchimp) haben eine Standard-Datenverarbeitungsvereinbarung (DPA):
- Die Annahme erfolgt online nach Antragstellung.
- Entspricht der DSGVO.
- Für KMU: in der Regel ausreichend – keine gesonderte Verhandlung erforderlich.
Wichtig: In seinem jetzigen Zustand als Beweismittel annehmen und archivieren.
Tessas Datenverarbeitungsvereinbarungen
Tessa hat 8 Prozessoren:
- Hosting: AWS — DPA online akzeptiert, archiviert.
- Buchhaltung: Yuki — DPA im Vertrag.
- HR-Software: Personio — DPA im Vertrag.
- E-Mail-Marketing: Mailchimp – DPA online akzeptiert.
- Cloud-Speicher: Google Workspace – DPA im Abonnement.
- Kundensupport: Zendesk – DPA unter Vertrag.
- CRM: HubSpot – DPA unter Vertrag.
- Lohn- und Gehaltsabrechnung: ADP – kundenspezifisch entwickelte, proprietäre Datenverarbeitungsplattform.
Zentrales Archiv mit allen DPAs – sofort verfügbar bei AP-Prüfungen.
Ehrliche Empfehlung
Für KMU: Erstellen Sie eine Liste aller externen Parteien mit Zugriff auf personenbezogene Daten. Für große Standard-Tools: Akzeptieren und archivieren Sie Standard-Datenschutzvereinbarungen. Für kleinere oder spezialisierte Anbieter: Halten Sie eine eigene Vorlage bereit (Kosten: 500–1.500 € mit Anwalt). Für internationale Tools: Überprüfen Sie die Standardvertragsklauseln. Die Erstellung der Liste dauert 4–8 Stunden, beugt Bußgeldern wegen Verstößen gegen Datenschutzvereinbarungen vor und gewährleistet die Einhaltung der DSGVO.
Weitere Themen: Verarbeitungsregister, Datenschutzerklärung und Datenschutzverletzung.
Häufig gestellte Fragen
Obligatorischer Vertrag (Art. 28 DSGVO) zwischen dem Verantwortlichen und einem externen Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Beispiele: Hosting, Lohnabrechnung, Marketing-Tool, Cloud-Software. Gesetzlich vorgeschriebener Inhalt.
Mit jedem externen Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet: Hosting, Gehaltsabrechnung, E-Mail-Marketing, CRM, HR-Software, Buchhaltung, Kundensupport usw. Praktisch jedes externe SaaS-Tool, das Kunden- oder Mitarbeiterdaten enthält.
Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien der betroffenen Personen, Pflichten des Auftragsverarbeiters (Anweisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei der Wahrung der Rechte/Datenschutzverletzung, Ende der Löschung, Prüfung), Rechte des Verantwortlichen.
Große Anbieter (Microsoft, Google, AWS, Mailchimp) bieten standardisierte Auftragsverarbeitungsvereinbarungen (AVV) an, die online akzeptiert werden können. Für KMU: In der Regel ausreichend, keine separate Verhandlung erforderlich. Wichtig: Archivieren Sie die AVV als Nachweis.
Externe Parteien beauftragen einen Auftragsverarbeiter (z. B. Hosting-Anbieter, der ein Rechenzentrum nutzt). Der Auftragsverarbeiter kann dies mit Zustimmung des Verantwortlichen tun. Standardklauseln: Liste der aktuellen Unterauftragsverarbeiter, Widerspruchsrecht gegen neue.
Für US-amerikanische oder andere Nicht-EU-Tools: Standardvertragsklauseln (SCC) der EU-Kommission sind obligatorisch. Erwähnung im Datenschutzvertrag + SCC-Anhänge ausgefüllt. Für die USA: Zusätzliche Sicherheitsmaßnahmen gemäß Schrems II.
Die AP-Strafe beträgt bis zu 2 % des weltweiten Umsatzes oder 10 Millionen Euro. Im Falle einer Datenschutzverletzung bei einem Auftragsverarbeiter ohne Datenschutzvereinbarung haften beide Parteien. Investieren Sie 4–8 Stunden in die Bestandsaufnahme und die Erstellung von Datenschutzvereinbarungen – dies beugt Strafen vor und gewährleistet die Einhaltung der Vorschriften.
