Auftragsverarbeitungsvertrag (AVV)
Die übliche Bezeichnung für einen Vertrag zur Verarbeitung personenbezogener Daten im Auftrag nach Artikel 28 DSGVO.
Warum das für euch zählt
Sobald ein Software-Anbieter personenbezogene Daten für euch verarbeitet, braucht es einen Auftragsverarbeitungsvertrag. Fehlt er, verzögern sich Toolentscheidungen oft um Wochen, weil Datenschutz und Rechtsabteilung nicht zustimmen können.
Einordnung
Er regelt unter anderem Gegenstand, Weisungen und Pflichten der Beteiligten; er ersetzt nicht die Prüfung des gesamten Einsatzes.
Bei einem Dienstleister prüft das Unternehmen zunächst, ob eine Auftragsverarbeitung vorliegt.
Typische Fehler
- Zu spät anfragen: Den AVV erst nach der Toolauswahl anzufordern, verzögert den Start.
- Unterauftragsverarbeiter übersehen: Auch Dienstleister des Anbieters, etwa Anbieter von KI-Modellen, müssen aufgeführt sein.
- Nur unterschreiben, nicht prüfen: Speicherorte, Löschfristen und technische Maßnahmen sollten zum tatsächlichen Einsatz passen.
Häufige Fragen
Wann brauche ich einen AVV?
Immer dann, wenn ein externer Dienstleister in eurem Auftrag personenbezogene Daten verarbeitet, etwa Namen von Ansprechpersonen, Kundendaten oder Daten von Nutzerkonten. Rechtsgrundlage ist Artikel 28 der DSGVO.
Was steht in einem AVV?
Gegenstand und Dauer der Verarbeitung, Art der Daten, Pflichten und Rechte beider Seiten, technische und organisatorische Maßnahmen sowie die eingesetzten Unterauftragsverarbeiter.
Brauche ich einen AVV auch für KI-Tools?
Ja, sobald personenbezogene Daten in das Tool gelangen. Prüft dabei besonders, ob Eingaben für das Training von Modellen genutzt werden und wo die Daten verarbeitet werden.