Der AVV legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest, außerdem die Datenarten und die betroffenen Personengruppen. Art. 28 Abs. 3 DSGVO nennt Pflichtinhalte. Dazu gehören:
Verarbeitung nur auf dokumentierte Weisung
Vertraulichkeit der Beschäftigten des Dienstleisters
technische und organisatorische Maßnahmen nach Art. 32
Regeln für Unterauftragsverarbeiter
Löschung oder Rückgabe der Daten nach Vertragsende
Der Vertrag muss schriftlich vorliegen, ein elektronisches Format genügt. Bei SaaS-Anbietern ist er meist ein Standardvertrag, den Sie im Kundenkonto annehmen. Die Datenschutzkonferenz nennt Cloud-Computing als typischen Fall der Auftragsverarbeitung. Steuerberater oder Banken zählen dagegen in der Regel nicht dazu.
Wie Sie einen AVV prüfen, erklärt unser Beitrag Auftragsverarbeitungsvertrag bei SaaS.
Wichtig: Der AVV verlagert die Verantwortung nicht. Das beauftragende Unternehmen bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich und muss den Dienstleister vorab sorgfältig auswählen.