Auftragsverarbeitung

Sobald ein Unternehmen Kundendaten in einer Cloud-Software speichert, verarbeitet der Software-Anbieter diese Daten mit – auf Servern, die das Unternehmen nicht selbst betreibt. Die DSGVO nennt das Auftragsverarbeitung und regelt sie in Art. 28.

Die Rollen

• Verantwortlicher ist das Unternehmen, das über Zweck und Mittel der Verarbeitung entscheidet – zum Beispiel der Betrieb, der seine Kundenanfragen in einem Ticketsystem bearbeitet.
• Auftragsverarbeiter ist der Dienstleister, der die Daten im Auftrag verarbeitet – zum Beispiel der Anbieter des Ticketsystems.
• Unterauftragsverarbeiter sind weitere Dienstleister des Auftragsverarbeiters, etwa das Rechenzentrum.

Der Verantwortliche bleibt gegenüber den betroffenen Personen verantwortlich. Er muss deshalb einen Auftragsverarbeiter wählen, der hinreichende Garantien für den Datenschutz bietet.

Was ein AVV enthalten muss

Art. 28 Abs. 3 DSGVO legt Mindestinhalte fest. Dazu gehören unter anderem:

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen,
2. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen,
3. Verpflichtung der eingesetzten Personen zur Vertraulichkeit,
4. technische und organisatorische Maßnahmen nach Art. 32 DSGVO,
5. Regeln für den Einsatz von Unterauftragsverarbeitern,
6. Unterstützung bei Betroffenenrechten wie Auskunft und Löschung,
7. Löschung oder Rückgabe der Daten nach Ende der Leistung,
8. Nachweise und die Möglichkeit von Überprüfungen.

Wann ein AVV nötig ist

Immer dann, wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Für ein Ticketsystem ist das praktisch immer der Fall: Namen, E-Mail-Adressen, Telefonnummern und oft auch Inhalte von Anfragen sind personenbezogene Daten. Der AVV wird vor Beginn der Nutzung abgeschlossen.

Worauf du bei Software-Anbietern achtest

• Serverstandort und Drittländer: Werden Daten außerhalb der EU verarbeitet, gelten zusätzlich die Regeln zur Drittlandübermittlung (Art. 44 ff. DSGVO).
• Liste der Unterauftragsverarbeiter: Wer hat außerdem Zugriff, und wo?
• KI-Funktionen: Werden Ticketinhalte an externe KI-Dienste übermittelt (siehe KI-Assistent)? Das ist oft ein weiterer Unterauftragsverarbeiter.
• Löschung bei Vertragsende: Wie und wann werden Daten, Anhänge und Sicherungen gelöscht?

Ein Beispiel

Die Beispiel Werke GmbH führt ein Ticketsystem ein. Vor dem Start prüft der Datenschutzbeauftragte den AVV des Anbieters: Serverstandort Deutschland, Unterauftragsverarbeiter benannt, technische Maßnahmen beschrieben, Löschung nach Vertragsende geregelt. Der Vertrag wird abgeschlossen und im Verzeichnis der Verarbeitungstätigkeiten vermerkt. Eine Prüfliste dafür findest du unter Checkliste Datenschutz im Ticketsystem.

Hinweis: Dieser Eintrag ersetzt keine Rechtsberatung.

Abgrenzung: keine Auftragsverarbeitung

Nicht jeder Dienstleister ist Auftragsverarbeiter. Ein Steuerberater oder ein Rechtsanwalt handelt in der Regel eigenverantwortlich. Ein reiner Transportdienst ohne Zugriff auf Inhalte fällt ebenfalls meist nicht darunter. Im Zweifel klärt das die oder der Datenschutzbeauftragte.

Ebenso wichtig ist die Frage, ob der Dienstleister die Daten auch für eigene Zwecke nutzt, etwa zur Produktverbesserung oder zum Training von KI-Modellen. Dann handelt er insoweit nicht mehr nur im Auftrag, und es braucht eine eigene Prüfung.

So hilft rapidFOX

rapidFOX stellt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO bereit, der bei der Anmeldung akzeptiert wird und unter AVV einsehbar ist. Die Server stehen in Deutschland, und der KI-Assistent läuft auf eigenen Servern in Deutschland – Ticketinhalte gehen nicht an externe KI-Dienste. Mehr unter Sicherheit.