Was das ist
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nach Ihrer Weisung verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden: der Hoster, der E-Mail-Anbieter, das Lohnbüro, der Newsletter-Dienst, das Ticketsystem, die Transkriptions-KI. Sie bleiben verantwortlich, der Dienstleister ist Ihr verlängerter Arm. Das Gesetz verlangt dafür einen schriftlichen Vertrag mit festgelegtem Mindestinhalt.
Was das für Sie heißt
Der Vertrag zur Auftragsverarbeitung (AVV) regelt Gegenstand und Dauer, Art der Daten, Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung nach Vertragsende und Ihr Kontrollrecht. Große Anbieter stellen ihn fertig zum Anklicken bereit; prüfen Sie dann, wo die Daten liegen und welche Unterauftragnehmer eingebunden sind. Sitzt der Anbieter außerhalb der EU, brauchen Sie zusätzlich eine Grundlage für den Drittlandtransfer. Führen Sie eine Liste aller AVV; sie ist Teil Ihres Verarbeitungsverzeichnisses.
Der typische Fehler
Ein Mitarbeiter lädt Kundenlisten in ein kostenloses KI-Tool, um Anschreiben zu formulieren. Kein Vertrag, Serverstandort unbekannt, Nutzungsbedingungen erlauben Training mit den Daten. Das ist eine Übermittlung ohne Rechtsgrundlage, und bei einer Beschwerde steht das Unternehmen ohne Nachweis da. Werkzeuge werden heute per Kreditkarte eingekauft; die AVV-Prüfung muss vor die Kreditkarte.
Rechtsgrundlage
Art. 28 DSGVO (Auftragsverarbeiter, Vertragsinhalt); Art. 29 DSGVO (Weisung); Art. 44 ff. DSGVO (Drittlandtransfer); Art. 83 Abs. 4 DSGVO (Bußgeld)