Auftragsverarbeitungsvertrag

Ein Auftragsverarbeitungsvertrag, oft als AVV oder AV-Vertrag abgekürzt, ist die schriftliche Vereinbarung zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet. Art. 28 DSGVO gibt vor, dass eine solche Vereinbarung bestehen muss und welche Punkte sie regeln soll, etwa Gegenstand und Dauer der Verarbeitung, Art der Daten, technische und organisatorische Maßnahmen, den Einsatz von Unterauftragnehmern sowie Löschung oder Rückgabe der Daten am Ende.

Im Handwerksbetrieb betrifft das mehr Dienstleister, als auf den ersten Blick sichtbar ist: die Handwerkersoftware in der Cloud, das Zeiterfassungssystem, der Steuerberater beim Datenaustausch, das Newsletter-Werkzeug und inzwischen auch KI-Dienste. Sobald ein KI-Anbieter Kundennamen, Adressen aus Angeboten, Bewerbungsunterlagen oder Baustellenfotos mit erkennbaren Personen verarbeitet, ist er in der Regel Auftragsverarbeiter, und der Betrieb bleibt verantwortlich.

Was das im Betrieb bedeutet

Vor der Einführung eines KI-Werkzeugs lohnt eine einfache Reihenfolge: prüfen, ob überhaupt personenbezogene Daten hineingelangen, dann den AVV beim Anbieter anfordern, dann die Anlagen lesen. Besonders relevant sind drei Stellen. Erstens die Liste der Unterauftragnehmer, weil sich daraus ergibt, wo die Daten tatsächlich liegen. Zweitens die Serverstandorte und, falls Verarbeitung außerhalb der EU stattfindet, die Grundlage der Drittlandübertragung. Drittens die Regelung zum Modelltraining: Viele Geschäftstarife schließen die Nutzung von Eingaben zu Trainingszwecken aus, kostenlose Zugänge häufig nicht.

Der abgeschlossene AVV gehört zusammen mit dem Eintrag im Verzeichnis von Verarbeitungstätigkeiten in eine Ablage, die auch bei Personalwechsel auffindbar bleibt. Für Betriebe mit vielen Systemen bewährt sich eine einfache Übersicht mit Werkzeug, Zweck, Datenarten, AVV vorhanden ja oder nein und Ansprechpartner.

Nicht jeder Dienstleister ist Auftragsverarbeiter. Wer eigenverantwortlich über Zwecke und Mittel entscheidet, etwa der Steuerberater bei der Erstellung des Jahresabschlusses, ist selbst Verantwortlicher; hier passt kein AVV, sondern eine andere Einordnung. Ebenso wenig braucht es einen AVV, wenn ein Werkzeug ausschließlich mit anonymen Angaben genutzt wird, etwa für allgemeine Leistungsbeschreibungen ohne Bauherrenbezug. Die Prüfung beginnt deshalb immer bei der Frage, welche Daten tatsächlich fließen, und nicht bei der Frage, welches Formular unterschrieben wird.

Wenn ein Anbieter keinen AVV anbietet oder erst nach mehrfacher Nachfrage reagiert, ist das ein Hinweis auf die Reife des Angebots. In solchen Fällen ist es meist einfacher, das Werkzeug auf Aufgaben ohne Personenbezug zu beschränken, etwa auf allgemeine Textentwürfe, als den Vertragsmangel hinzunehmen. Weitere Hinweise gibt der Ratgeber KI-Datenschutz im Handwerk.