AVV abschließen: Diese Tools brauchen einen Auftrags-verarbeitungsvertrag
Einen AVV (Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO) musst Du mit jedem Dienstleister abschließen, der personenbezogene Daten für Dich, also in Deinem Auftrag, verarbeitet. Das betrifft u. a. Hosting, Payment, Tracking, Kommunikationstools und KI-Dienste. Bei den meisten Anbietern steckt der AVV bereits in den Service Terms, bei manchen musst Du ihn separat anfordern. Bist Du ein B2B-SaaS, brauchst Du häufig zusätzlich einen eigenen AVV mit Deinen Kunden.
Wann musst Du einen AVV abschließen?
Die rechtlichen Grundlagen der DSGVO für Dein Startup habe ich in einem eigenen Beitrag ausführlich erklärt. Hier geht es mir um die Umsetzung: welche AVV Du konkret brauchst und wie Du sie sauber abschließt. Dafür musst Du zuerst verstehen, dass es zwei Ebenen gibt.
Die zwei Ebenen: Deine Tools und Deine Kunden
Die erste Ebene betrifft jedes Startup, das ich berate. Du nutzt Dienste wie Stripe, die AWS Cloud oder OpenAI, und alle diese Anbieter verarbeiten personenbezogene Daten Deiner Kunden. Genau deshalb darfst Du diese Daten nur weitergeben, wenn Du mit dem jeweiligen Anbieter einen AVV geschlossen hast.
Die zweite Ebene betrifft Dich, sobald Du selbst ein SaaS-Tool oder eine App anbietest, über die Deine Kunden Mitarbeiterdaten oder eigene Kundendaten verarbeiten. Dann bist Du selbst Auftragsverarbeiter im Sinne von Artikel 28 DSGVO und musst mit Deinen Kunden einen AVV abschließen. Dein Kunde beauftragt Dich mit der Verarbeitung, und das darfst Du nur auf seine Weisung und mit dem entsprechenden Vertrag.
B2B oder B2C: wann kein AVV mit Kunden nötig ist
Die zuvor genannte zweite Ebene, also der Umstand, dass Du einen AVV mit Deinen Kunden schließen musst, gilt nur auf der geschäftlichen Ebene, also im B2B. Im B2C, also in dem Fall, dass eine Person Dein Produkt oder Deine Leistung zu privaten Zwecken bucht, gibt es kein AVV-Verhältnis. Denn ein privat Handelnder, also ein sogenannter Verbraucher, beauftragt Dich nicht als Auftragsverarbeiter. Er gibt Dir in der Regel ausschließlich seine eigenen personenbezogenen Daten weiter, nicht die seiner Kunden oder Mitarbeiter. Denn er hat keine, wenn er Dein Produkt aus privaten Zwecken nutzt.
Wenn Deine Kunden also ausschließlich Privatpersonen sind, brauchst Du keinen AVV mit ihnen. Die erste Ebene bleibt davon unberührt: Die AVV mit Deinen eigenen Tools und Dienstleistern brauchst Du in jedem Fall, egal ob Du mit Deinem eigenen Produkt B2B oder B2C unterwegs bist.
AVV-Checkliste: Mit diesen Tools musst Du einen AVV abschließen
Als Faustregel gilt: Für jedes Tool, das personenbezogene Daten Deiner Kunden, Nutzer oder Mitarbeiter verarbeitet, brauchst Du einen AVV. Für ein typisches Startup sind das mindestens diese Kategorien:
- Hosting und Cloud, also AWS und vergleichbare Anbieter, auf deren Servern Deine Kundendaten liegen.
- Payment, allen voran Stripe, denn Zahlungsdaten sind personenbezogene Daten.
- Tracking und Analytics, insbesondere Google Analytics und alle weiteren Tracking-Tools auf Deiner Website.
- Online-Kommunikation und Terminbuchung, also Zoom, Teams und Calendly.
- KI-Dienste wie OpenAI, Gemini und Claude, sobald Kunden- oder Nutzerdaten in die Verarbeitung fließen. Welche zusätzlichen Pflichten beim Einsatz von KI auf Dich zukommen, habe ich im Beitrag zur KI-Verordnung für Startups zusammengefasst.
- Plattformen und alle weiteren Dienstleister, die Du beauftragst und die dabei Zugriff auf personenbezogene Daten bekommen.
Wo der AVV schon in den Service Terms steckt
Bei den großen Anbietern ist der AVV, im Englischen DPA für Data Processing Addendum oder Agreement, meistens schon Teil der Standard Service Terms. Du akzeptierst die Bedingungen beim Vertragsschluss, setzt den Haken in der Checkbox, und damit ist der AVV geschlossen. Das macht es bequem, entbindet Dich aber nicht davon, einmal nachzuschauen, ob der DPA wirklich Bestandteil der Bedingungen ist, und das für Deine Unterlagen zu dokumentieren.
Wo Du den AVV separat anfordern musst
Genau hier liegt nämlich eine oft nicht beachtete Falle: Nicht jeder Anbieter packt den AVV in seine Standardbedingungen. Bei manchen Diensten musst Du ihn separat beantragen. Zoom hat das zeitweise so gehandhabt, bei Calendly musste man den AVV gesondert anfordern, und manche Hosting-Dienste machen es bis heute so. Prüfe deshalb bei jedem Dienst, den Du beauftragst, ob der AVV Bestandteil der Service Terms ist. Wenn nicht, frag beim Anbieter nach und schließe ihn aktiv ab.
Nils Bremann, Rechtsanwalt für Gründer und Startups:
"Die AVV werden sehr häufig vergessen. Ich erlebe immer wieder, dass Startups gar nicht wissen, dass sie mit ihren Dienstleistern einen AVV abschließen müssen. Und bei manchen Anbietern ist er nicht Teil der Standard Service Terms, sondern muss separat angefragt werden. Meine Empfehlung: Schließe mit jedem Dienst, den Du beauftragst, einen AVV ab. Schau in die Service Terms, ob er schon Bestandteil ist. Sonst frag nach."
Wie relevant das wird, erlebe ich dauernd bei der Due Diligence. Ob sie von Investoren oder von Käufern durchgeführt wird: Eine DSGVO-Prüfung ist heute fester Bestandteil, und dort wird immer geschaut, ob saubere AVV geschlossen wurden und ob überhaupt ein Datenschutz-Management-System existiert. Fehlende AVV werden in dieser Situation regelmäßig zum Problem und müssen dann unter Zeitdruck nachgeholt werden. Für den großen Rahmen darüber hinaus, etwa einen Datenschutzbeauftragten, eine Datenschutzfolgenabschätzung oder ein komplettes Datenschutz-Management-System, gibt es spezialisierte Anbieter, die Du bei START LEGAL findest.
So erstelle ich Deinen AVV im AGB und Datenschutz Paket
Ich habe über 1.000 Gründer und Startups beraten und erstelle Deinen AVV individuell im AGB & Datenschutz Paket. Das Paket enthält Deine AGB, Deine Datenschutzerklärung und den AVV nach Artikel 28 DSGVO, den Du als B2B-Anbieter mit Deinen Kunden schließt, inklusive Prüfung und Rückfragen, bis alles passt.
Zum AVV gehören zwei Anlagen, die wir gemeinsam erstellen. Die Anlage 1 beschreibt den Gegenstand der Datenverarbeitung und listet alle Deine Unterauftragsverarbeiter auf, also die Calendlys, OpenAIs und AWS, die Du nutzt. Denn Du musst in Deinem AVV offenlegen, welche Dienste Du selbst einsetzt, und genau deshalb ist es so wichtig, dass Du mit jedem dieser Dienste selbst einen AVV geschlossen hast.
Die Anlage 2 ist die Anlage TOM für die technischen und organisatorischen Maßnahmen. Dort stellst Du in 15 bis 20 Punkten dar, wie IT-sicher und datenschutzsicher Dein Service ist: ob Du Deine Dienstleister kontrollierst, ob Du Datenschutz- und Verschwiegenheitsklauseln mit Deinen Mitarbeitern vereinbart hast, ob Du Privacy by Design und Privacy by Default umsetzt und ob Du die Informationspflichten aus Artikel 12 und 13 DSGVO einhältst. Auch das gehe ich Punkt für Punkt mit Dir durch.
Die Erstellung des AVV im Paket ist wichtig. Das habe ich bewusst so gestaltet, denn ein AVV funktioniert nur, wenn er zu Deinen AGB, Deiner Datenschutzerklärung und Deinem tatsächlichen Setup passt. Wann Dein Startup überhaupt AGB braucht, liest Du im Beitrag zu AGB für Dein Startup.
Häufige Fragen zum Auftragsverarbeitungsvertrag
Brauche ich im B2C einen AVV mit meinen Kunden?
Nein. Ein AVV-Verhältnis gibt es nur im B2B, wenn ein Kundenunternehmen Dich mit der Verarbeitung personenbezogener Daten beauftragt. Mit Verbrauchern schließt Du keinen AVV. Die AVV mit Deinen eigenen Tools und Dienstleistern brauchst Du aber unabhängig davon immer.
Was ist der Unterschied zwischen AVV und DPA?
Es gibt keinen. DPA steht für Data Processing Addendum oder Data Processing Agreement und ist die englische Bezeichnung für den Auftragsverarbeitungsvertrag. Bei internationalen Anbietern wie AWS oder Stripe heißt der AVV in der Regel DPA und ist meist Teil der Standard Service Terms.
Was gehört in einen AVV nach Artikel 28 DSGVO?
Der AVV regelt, dass der Auftragsverarbeiter personenbezogene Daten nur auf Weisung des Verantwortlichen verarbeitet. Zudem Kontrollrechte, Regeln zu Drittlandtransfers und vieles Weitere, das die DSGVO fordert. Dazu gehören zwei Anlagen: die Anlage 1 mit dem Gegenstand der Verarbeitung und der Liste aller Unterauftragsverarbeiter sowie die Anlage 2 mit den technischen und organisatorischen Maßnahmen, dargestellt in etwa 15 bis 20 Punkten.
Was passiert, wenn der AVV in der Due Diligence fehlt?
Wenn ein notwendiger AVV nicht geschlossen wird, heißt dies zunächst, dass die Datenverarbeitung durch einen Dienstleister gegen die DSGVO verstößt. Denn Art. 28 DSGVO fordert für diesen Fall den Abschluss eines AVV. Ein weiterer Problempunkt kann die DSGVO-Prüfung einer Due Diligence durch Investoren oder Käufer werden. Geprüft wird, ob saubere AVV existieren und ob ein Datenschutz-Management-System vorhanden ist. Fehlende AVV fallen dabei auf und müssen dann kurzfristig und unter Druck nachgeholt werden. Sauberer ist es, sie von Anfang an abzuschließen.
Da gibt's noch mehr!
Unsere letzten Blogbeiträge für Dich
