Auftragsverarbeitungsvertrag

Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag (AVV oder englisch DPA) ist ein rechtlich bindender Vertrag zwischen einem Verantwortlichen (Controller) und einem Auftragsverarbeiter (Processor), der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Er wird direkt durch Artikel 28 der DSGVO vorgeschrieben und muss den Zweck der Verarbeitung, deren Dauer, die Art der personenbezogenen Daten sowie die Pflichten des Auftragsverarbeiters in Bezug auf Sicherheit, Subunternehmer und Unterstützung bei der Erfüllung von Betroffenenrechten festlegen. Der Vertrag selbst ist keine Rechtsgrundlage für die Verarbeitung – Sie benötigen dennoch eine Rechtsgrundlage (wie etwa eine Einwilligung) gemäß Artikel 6.

Warum ist ein Auftragsverarbeitungsvertrag wichtig?

In einem Online-Shop teilen Sie fortlaufend Kundendaten – Namen, Adressen, E-Mails, Bestellhistorie – mit Dienstleistern, die diese für Sie verarbeiten. Ohne einen AVV fehlt Ihnen der Nachweis, dass die Verarbeitung rechtmäßig erfolgt, und Sie bleiben als Verantwortlicher haftbar, falls ein Dienstleister Daten verliert. Der Vertrag definiert die Verantwortlichkeiten, gibt Ihnen das Recht zur Überprüfung des Auftragsverarbeiters und verpflichtet diesen, Daten nach Beendigung der Beziehung zu löschen oder zurückzugeben.

Typische Anwendungsfälle

• Shopify als Plattform. Shopify verarbeitet die Daten Ihrer Kunden und ist daher ein Auftragsverarbeiter für Sie als Verantwortlichen.
• Drittanbieter-Apps. E-Mail-Marketing-, Bewertungs-, Analyse- und Fulfillment-Apps, die auf Kundendaten zugreifen, erfordern jeweils einen AVV.
• Agenturen und Freelancer. Jede externe Partei, die Zugriff auf die personenbezogenen Daten Ihres Shops erhält, muss vertraglich abgesichert sein.
• Anbieterwechsel. Der Vertrag stellt sicher, dass Daten bei Beendigung ordnungsgemäß gelöscht oder migriert werden.

Shopify-Perspektive

Shopify integriert seinen Nachtrag zur Datenverarbeitung (Data Processing Addendum) direkt in seine Geschäftsbedingungen, sodass Sie abgesichert sind, wenn Sie diese akzeptieren – es muss kein separater Vertrag mit Shopify selbst unterzeichnet werden. Es liegt jedoch in Ihrer Verantwortung, sicherzustellen, dass für jede installierte App aus dem App Store ein AVV vorliegt. Führen Sie ein Verzeichnis Ihrer Unterauftragsverarbeiter und prüfen Sie insbesondere Apps, die mit Cookie-Einwilligung und DSGVO zu tun haben, bevor diese mit Kundendaten in Berührung kommen.