Der Auftragsverarbeitungsvertrag
Was Artikel 28 DSGVO verlangt — und was oft fehlt
Ein Auftragsverarbeitungsvertrag, kurz AVV, ist nach Artikel 28 der Datenschutz-Grundverordnung Pflicht, sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Bei einem Telefonassistenten ist das immer der Fall: Der Anrufer nennt Namen, Telefonnummer und sein Anliegen. Verantwortlich bleiben Sie, nicht der Anbieter.
Was der Vertrag regeln muss
Artikel 28 Absatz 3 listet die Pflichtinhalte auf. Ein AVV, der eine dieser Angaben nicht enthält, erfüllt die Vorgabe nicht.
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Weisungsbindung des Auftragsverarbeiters
- Technische und organisatorische Maßnahmen
- Regelung zu Unterauftragsverarbeitern
- Löschung oder Rückgabe der Daten am Ende
Die Unterauftragsverarbeiter sind der eigentliche Prüfpunkt
Ein Telefonassistent besteht aus mehreren Diensten: Spracherkennung, Sprachmodell, Sprachsynthese, Telefonanbindung, Hosting. Jeder davon ist ein Unterauftragsverarbeiter und gehört namentlich in die Anlage zum AVV, mit Sitz und Verarbeitungsort. Eine Anlage, die nur allgemein von Dienstleistern spricht, ist für eine Prüfung wertlos.
Häufige Fragen
Wer muss den AVV bereitstellen?
In der Praxis legt ihn der Anbieter vor. Verantwortlich für den Abschluss sind aber Sie als Auftraggeber.
Was, wenn ein Unterauftragsverarbeiter außerhalb der EU sitzt?
Dann braucht es eine zusätzliche Grundlage für den Drittlandtransfer, etwa Standardvertragsklauseln. Fragen Sie gezielt danach, welche Dienste außerhalb der EU verarbeiten.
Offene Fragen zu Ihrem Telefon?
Sagen Sie uns, wie Ihre Anrufe heute laufen. Wir sagen Ihnen, was sich davon automatisieren lässt und was nicht.
Unverbindliche Beratung · DSGVO-konform · Made in Germany