Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter, der die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen regelt. Die rechtlichen Anforderungen ergeben sich insbesondere aus Art. 28 DSGVO.
Der Vertrag muss insbesondere festlegen:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung,
- die Art der personenbezogenen Daten und die Kategorien betroffener Personen,
- die Pflichten und Rechte des Verantwortlichen,
- die Verarbeitung personenbezogener Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen,
- die Verpflichtung zur Vertraulichkeit sowie Anforderungen an geeignete technische und organisatorische Maßnahmen (TOM) im Datenschutz,
- die Voraussetzungen für den Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter),
- die Unterstützung des Verantwortlichen bei Betroffenenrechten, Datenschutzverletzungen und weiteren DSGVO-Pflichten,
- sowie die Rückgabe oder Löschung personenbezogener Daten nach Abschluss der Verarbeitung und entsprechende Kontroll- und Nachweispflichten.
Der Verantwortliche darf dabei nur Auftragsverarbeiter einsetzen, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen umgesetzt werden und die Verarbeitung den Anforderungen der DSGVO entspricht.