Recht
Auftragsverarbeitungsvertrag (AVV)
Kurz gesagt
Ein Auftragsverarbeitungsvertrag regelt nach Artikel 28 der Datenschutz-Grundverordnung, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Er ist Pflicht, sobald ein externer Dienst Daten von Kunden, Anrufern oder Beschäftigten verarbeitet — und er ist vor Beginn der Verarbeitung abzuschließen, nicht danach.
Ausführlicher
Inhaltlich muss er Gegenstand und Dauer der Verarbeitung benennen, Art und Zweck, die Kategorien betroffener Personen, die technischen und organisatorischen Maßnahmen sowie die eingesetzten weiteren Dienstleister. Diese Unterauftragnehmer sind der Teil, den man tatsächlich lesen sollte: Dort steht, wer außer dem Anbieter noch mit den Daten in Berührung kommt und wo diese Stellen sitzen.
Verantwortlich bleibt das beauftragende Unternehmen. Der Auftragsverarbeiter haftet für seine eigenen Pflichten, aber die Auswahl eines geeigneten Dienstleisters ist die Pflicht des Auftraggebers. Deshalb genügt es nicht, den Vertrag zu unterschreiben — man muss ihn auch geprüft haben.
Ein guter Indikator ist die Verfügbarkeit: Ein Anbieter, der den AVV samt Dienstleisterliste vor Vertragsschluss offen bereitstellt, hat nichts zu verbergen. Einer, der ihn erst nach der Unterschrift herausrückt, hat die Reihenfolge verdreht.
Was das für deinen Betrieb heißt
Verlange den AVV mit vollständiger Unterauftragnehmerliste, bevor du unterschreibst, und sieh nach, welche Dienste dort stehen und wo sie sitzen. Bei MitFrauSchmidt liegt er zur Prüfung bereit und benennt jeden beteiligten Dienstleister namentlich.