Ein AVV-Prüfer ist ein Tool oder eine Methode zur automatischen Prüfung von Auftragsverarbeitungsverträgen (AVV gemäß Art. 28 DSGVO) auf DSGVO-Konformität. Diese Seite erklärt, wie ein AVV-Prüfer funktioniert und welche Pflichtinhalte er prüfen sollte.
Die Notwendigkeit eines AVV ergibt sich aus der klaren Trennung zwischen Verantwortlichem und Auftragsverarbeiter. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Diese Unterscheidung ist fundamental für die Haftung und die Einhaltung der DSGVO. Ein fehlender oder mangelhafter AVV kann erhebliche Bußgelder nach sich ziehen. Gemäß Art. 83 Abs. 4 lit. a DSGVO können Verstöße gegen die Pflichten des Verantwortlichen oder Auftragsverarbeiters, die sich aus Art. 28 DSGVO ergeben, zu Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes führen. Daher ist eine sorgfältige Prüfung unerlässlich.
Mehr zum Thema: Übersicht: AVV Vorlage & Muster
Was prüft ein AVV-Prüfer?
Ein qualifizierter AVV-Prüfer analysiert Ihren Auftragsverarbeitungsvertrag auf Basis von Art. 28 DSGVO. Konkret werden geprüft:
- Vollständigkeit: Sind alle 8 Pflichtinhalte nach Art. 28 Abs. 3 DSGVO vorhanden? Dazu gehören Gegenstand, Dauer, Art und Zweck der Verarbeitung. Auch die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind zu nennen. Die Pflichten und Rechte des Verantwortlichen müssen ebenfalls klar definiert sein.
- Weisungsgebundenheit: Ist eindeutig geregelt, dass der Dienstleister nur nach Ihrer Weisung handelt? Dies ist ein Kernmerkmal der Auftragsverarbeitung. Der Auftragsverarbeiter darf keine eigenen Zwecke verfolgen. Ein Verstoß hiergegen kann zur Einstufung als gemeinsam Verantwortlicher führen (Art. 26 DSGVO). Dies würde die Haftung erheblich erweitern.
- TOM-Anlage: Sind konkrete technische und organisatorische Maßnahmen nach Art. 32 DSGVO beschrieben? Diese Maßnahmen müssen ein angemessenes Schutzniveau gewährleisten. Beispiele sind Verschlüsselung, Pseudonymisierung, Zutrittskontrollen und regelmäßige Backups. Die TOMs müssen dem Stand der Technik entsprechen. Sie sind regelmäßig zu überprüfen und anzupassen.
- Unterauftragsverarbeiter: Gibt es eine Genehmigungsregelung und eine Liste der Sub-Dienstleister? Der Hauptauftragsverarbeiter darf Unterauftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen einsetzen. Für jeden Unterauftragsverarbeiter muss ein eigener AVV bestehen. Dieser muss die gleichen Datenschutzpflichten enthalten.
- Drittland-Transfer: Sind Datentransfers in Drittländer (z. B. USA) rechtlich abgesichert (SCCs)? Transfers in Länder außerhalb der EU/EWR sind nur unter bestimmten Bedingungen zulässig. Standardvertragsklauseln (SCCs) sind hier ein häufig genutztes Instrument. Auch Angemessenheitsbeschlüsse der EU-Kommission können eine Grundlage bilden.
Ein AVV-Prüfer geht über diese Punkte hinaus. Er prüft auch die Einhaltung der Informationspflichten des Auftragsverarbeiters. Dazu gehört die Unterstützung des Verantwortlichen bei Auskunftsersuchen Betroffener. Auch die Meldung von Datenschutzverletzungen ist ein wichtiger Aspekt. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Dies ist entscheidend für die fristgerechte Meldung an die Aufsichtsbehörde. Gemäß Art. 82 DSGVO haften Verantwortliche und Auftragsverarbeiter für Schäden. Ein mangelhafter AVV kann die Haftung des Verantwortlichen erhöhen. Der BGH hat in seinem Urteil VI ZR 396/24 klargestellt: Verantwortliche haften auch nach Vertragsende für Datenlecks beim Auftragsverarbeiter. Die Kontrollpflichten enden nicht mit dem Vertrag. Dies unterstreicht die Bedeutung einer fortlaufenden Überprüfung der AVV.
Praxisbeispiel: Ein Unternehmen nutzt einen Cloud-Anbieter für seine Kundendaten. Der AVV des Cloud-Anbieters enthält keine detaillierten TOMs. Ein AVV-Prüfer würde diesen Mangel sofort aufzeigen. Das Unternehmen könnte dann Nachbesserungen fordern. Ohne diese Prüfung wäre das Unternehmen im Falle eines Datenlecks haftbar. Ein weiteres Beispiel: Ein Marketing-Dienstleister verarbeitet E-Mail-Adressen. Der AVV regelt nicht klar, dass der Dienstleister keine eigenen Marketingzwecke verfolgen darf. Ein AVV-Prüfer würde diese Unklarheit identifizieren. Dies verhindert, dass der Dienstleister die Daten für eigene Kampagnen nutzt. Der EuGH hat in C-683/21 entschieden: Die Haftung des Verantwortlichen erstreckt sich nicht auf Fälle, in denen der Auftragsverarbeiter Daten für eigene Zwecke verarbeitet hat. Dies entbindet den Verantwortlichen jedoch nicht von seiner Pflicht zur sorgfältigen Vertragsgestaltung.
DPA-CHECK: Der AVV-Prüfer von PLANIT PRIMA
Der DPA-CHECK von PLANIT PRIMA ist ein automatischer AVV-Prüfer der Ihren Auftragsverarbeitungsvertrag auf alle Pflichtinhalte nach Art. 28 DSGVO prüft. Das Tool ist kostenlos und liefert einen strukturierten Prüfbericht mit konkreten Handlungsempfehlungen.
Gemäß Art. 28 Abs. 3 lit. h DSGVO hat der Verantwortliche das Recht, Audits und Inspektionen beim Auftragsverarbeiter durchzuführen – der DPA-CHECK unterstützt Sie bei der Vorbereitung solcher Audits durch eine erste automatische Analyse. Diese Analyse ist ein wichtiger erster Schritt. Sie identifiziert Schwachstellen und Lücken im Vertrag. So können Sie gezielt nachfragen und Nachweise anfordern. Der DPA-CHECK hilft Ihnen, Ihre Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO zu erfüllen. Er liefert Ihnen eine dokumentierte Grundlage für Ihre Compliance-Bemühungen. Die Ergebnisse des DPA-CHECKS können auch als Argumentationshilfe dienen. Sie können diese nutzen, um mit dem Auftragsverarbeiter in Verhandlung zu treten. So stellen Sie sicher, dass Ihr AVV den gesetzlichen Anforderungen entspricht. Dies minimiert Ihr Risiko erheblich.
AVV automatisch erstellen mit PLANIT // PRIMA
Wollen Sie nicht nur prüfen, sondern einen neuen AVV erstellen? Mit dem AVV-Workflow von PLANIT // PRIMA erstellen Sie einen rechtskonformen Auftragsverarbeitungsvertrag automatisch – inklusive TOM-Anlage und Unterauftragsverarbeiter-Liste.
Dieser Workflow ist besonders nützlich für Unternehmen mit vielen Dienstleistern. Er standardisiert den Prozess der AVV-Erstellung. Dies spart Zeit und reduziert Fehler. Der Workflow berücksichtigt alle aktuellen gesetzlichen Anforderungen. Er integriert auch Best Practices aus der Datenschutzpraxis. So erhalten Sie einen maßgeschneiderten AVV. Dieser ist auf Ihre spezifischen Bedürfnisse zugeschnitten. Der Workflow führt Sie Schritt für Schritt durch die notwendigen Angaben. Sie müssen keine juristischen Vorkenntnisse haben. Das System generiert einen fertigen Vertrag. Dieser kann direkt verwendet werden. Dies ist eine effiziente Lösung für die Einhaltung der DSGVO.
AVV-Prüfer vs. manuelle Prüfung: Was ist besser?
Ein automatischer AVV-Prüfer wie der DPA-CHECK bietet deutliche Vorteile gegenüber manueller Prüfung:
- Schnelligkeit: Automatische Analyse in Minuten statt Stunden. Dies ermöglicht eine schnelle Reaktion auf neue Anforderungen.
- Vollständigkeit: Alle 8 Pflichtinhalte nach Art. 28 Abs. 3 DSGVO werden geprüft – kein Punkt wird vergessen. Dies minimiert das Risiko von Compliance-Lücken.
- Konsistenz: Gleiche Prüfstandards für alle AVV im Unternehmen. Dies gewährleistet eine einheitliche Qualität.
- Dokumentation: Prüfbericht als Nachweis gegenüber Aufsichtsbehörden. Dies erfüllt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Die manuelle Prüfung durch einen Datenschutzfachmann bleibt sinnvoll bei komplexen Konstellationen (Drittland-Transfer, Auftragsverarbeitung besonderer Datenkategorien nach Art. 9 DSGVO, verästelte Unterauftragsverarbeiter-Ketten). Ein Beispiel für eine solche Komplexität ist der Einsatz von KI-Diensten. Hier sind die Rollen oft schwer abzugrenzen. Auch bei der Verarbeitung von Gesundheitsdaten ist besondere Vorsicht geboten. Der EuGH hat in C-252/21 (Meta/Facebook) klargestellt: Eine Einwilligungspflicht kann nicht durch andere Rechtsgrundlagen umgangen werden. Die Beweislast liegt beim Verantwortlichen. Dies zeigt die Notwendigkeit einer präzisen rechtlichen Prüfung.
Wann sollten Sie einen AVV-Prüfer einsetzen?
Typische Anlässe für eine AVV-Prüfung:
- Neuer Dienstleister wird eingesetzt. Eine Prüfung vor Vertragsabschluss ist essenziell.
- Bestehender AVV wurde vor DSGVO-Inkrafttreten (Mai 2018) abgeschlossen. Diese Verträge sind oft nicht DSGVO-konform.
- Jährliche Datenschutz-Audits nach Art. 28 Abs. 3 lit. h DSGVO. Der Prüfer unterstützt bei der Vorbereitung.
- Aufsichtsbehörde hat einen AVV-Check angekündigt. Eine schnelle Vorabprüfung ist hier hilfreich.
- Datenpanne beim Auftragsverarbeiter – AVV auf Vollständigkeit prüfen. Dies ist wichtig für die Haftungsfrage.
Nutzen Sie den AVV kostenlos prüfen mit DPA-CHECK. Zur vollständigen Muster-Übersicht: Übersicht: AVV Vorlage & Muster
Haben Sie Fragen zu einem bestimmten AVV? Nutzen Sie den DPA-CHECK von PLANIT // PRIMA für eine automatische Prüfung. Das Tool ist kostenlos und erfordert keine Registrierung. Laden Sie einfach Ihren Auftragsverarbeitungsvertrag hoch und erhalten Sie sofort einen strukturierten Prüfbericht. Für eine professionelle Beratung zu komplexen Datenschutz-Fragen steht Ihnen PLANIT//LEGAL zur Verfügung.
Häufig gestellte Fragen
Kann ein AVV-Prüfer einen Anwalt ersetzen?
Ein automatischer AVV-Prüfer kann eine erste strukturierte Analyse liefern und offensichtliche Lücken identifizieren. Für komplexe Vertragskonstellationen (z. B. internationaler Datentransfer, besondere Datenkategorien nach Art. 9 DSGVO) empfiehlt sich zusätzlich die Prüfung durch einen Datenschutzfachmann. PLANIT // LEGAL bietet diese Beratung an. Ein Prüfer ist ein Hilfsmittel, kein Ersatz für juristischen Rat.
Wie lange dauert eine AVV-Prüfung mit dem DPA-CHECK?
Die automatische Prüfung mit dem DPA-CHECK dauert wenige Minuten. Sie laden Ihren AVV hoch, und das Tool analysiert die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO automatisch. Der Prüfbericht steht Ihnen sofort zur Verfügung.
Welche Formate akzeptiert der DPA-CHECK?
Der DPA-CHECK akzeptiert gängige Dokumentformate (PDF, DOCX). Laden Sie Ihren AVV direkt hoch und erhalten Sie sofort einen Prüfbericht. Die Handhabung ist bewusst einfach gehalten.
Was ist der Hauptzweck eines Auftragsverarbeitungsvertrags (AVV)?
Der Hauptzweck eines AVV ist die rechtliche Absicherung der Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Verantwortlichen. Er stellt sicher, dass die Verarbeitung gemäß Art. 28 DSGVO erfolgt und die Rechte der betroffenen Personen gewahrt bleiben.
Welche Folgen hat ein fehlender oder mangelhafter AVV?
Ein fehlender oder mangelhafter AVV kann zu erheblichen Bußgeldern gemäß Art. 83 Abs. 4 lit. a DSGVO führen. Zudem kann der Verantwortliche im Falle eines Datenlecks oder einer Datenschutzverletzung haftbar gemacht werden, selbst wenn diese beim Auftragsverarbeiter auftritt (vgl. BGH VI ZR 396/24).
Muss ein AVV auch bei der Nutzung von Cloud-Diensten abgeschlossen werden?
Ja, bei der Nutzung von Cloud-Diensten, die personenbezogene Daten verarbeiten, ist ein AVV zwingend erforderlich. Der Cloud-Anbieter agiert hier als Auftragsverarbeiter und muss die Vorgaben des Art. 28 DSGVO einhalten.
Was sind die wichtigsten Pflichtinhalte eines AVV?
Die wichtigsten Pflichtinhalte eines AVV sind in Art. 28 Abs. 3 DSGVO aufgeführt. Dazu gehören der Gegenstand und die Dauer der Verarbeitung, die Art und der Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen.
Wo finde ich weitere Informationen zur DSGVO und Auftragsverarbeitung?
Weitere detaillierte Informationen zur DSGVO und Auftragsverarbeitung finden Sie auf der offiziellen Seite der DSGVO, beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sowie im EUR-Lex.
