AVV-Generator

Der Auftragsverarbeitungsvertrag, kurz AVV, ist eine der am häufigsten übersehenen DSGVO-Pflichten. Überall dort, wo ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Vertrag mit einem festen Mindestinhalt vor. Das betrifft mehr Fälle, als die meisten denken: E-Mail-Marketing, Cloud-Speicher, Buchhaltungssoftware, Support-Systeme, Webhosting. Fehlt der AVV, ist die Verarbeitung formal rechtswidrig und im Ernstfall bußgeldbewehrt.

Der AVV-Generator nimmt dir das Aufsetzen ab. Er führt dich in klaren Schritten durch die Parteien (Verantwortlicher und Auftragsverarbeiter), den Gegenstand und die Art der Verarbeitung, die Kategorien betroffener Personen und Daten, die technischen und organisatorischen Maßnahmen, die Unterauftragnehmer und die rechtlichen Klauseln. Fertige Vorlagen für typische Dienstleisterkonstellationen geben dir einen sinnvollen Ausgangspunkt.

Das Herzstück sind die technischen und organisatorischen Maßnahmen, die TOM nach Art. 32 DSGVO. Der Generator gliedert sie in acht Kategorien, wie sie in der Praxis üblich sind: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und das Trennungsgebot. Für jede Kategorie wählst du die passenden Maßnahmen aus, statt sie aus dem Nichts zu formulieren.

Ein Punkt, an dem viele AVV scheitern, ist der Drittlandtransfer. Sobald ein Dienstleister oder sein Unterauftragnehmer außerhalb der EU sitzt, brauchst du einen gültigen Transfermechanismus - einen Angemessenheitsbeschluss oder Standardvertragsklauseln (SCC). Der Generator erkennt anhand des Standorts, ob ein Drittlandtransfer vorliegt, und weist dich darauf hin, ob und welcher Transfermechanismus nötig ist, damit du das nicht übersiehst.

Unterauftragnehmer werden systematisch geführt. Wenn dein Dienstleister selbst wieder Dienstleister einsetzt, muss der AVV das regeln, samt Genehmigung und der Weitergabe der Pflichten. Der Generator verwaltet die Unterauftragnehmer als Liste, prüft ihre Standorte auf Drittlandbezug und nimmt sie in den Vertrag auf. Dazu gibt es einen Compliance-Check, der abgleicht, ob dein AVV die Kernanforderungen des Art. 28 abdeckt.

Ehrlichkeit gehört dazu: Ein generierter AVV ist eine solide, DSGVO-orientierte Grundlage, aber er ersetzt bei heiklen Konstellationen nicht die Prüfung durch einen Datenschutzbeauftragten oder Fachanwalt. Für die meisten Standardfälle mit gängigen Dienstleistern ist er eine gute Arbeitsgrundlage. Alles läuft datensparsam, das fertige Dokument exportierst du als PDF, bereit zur Unterschrift durch beide Seiten.