Glossar · KI- & IT-Automation
AVV (Auftragsverarbeitungsvertrag)
Ein Auftragsverarbeitungsvertrag regelt nach Artikel 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag seines Kunden verarbeitet. Er ist Pflicht, sobald jemand weisungsgebunden fremde Daten verarbeitet, und muss vor dem ersten Datenfluss geschlossen sein.
Begriff
Wer ist Verantwortlicher, wer Auftragsverarbeiter
Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet — meist das beauftragende Unternehmen. Auftragsverarbeiter ist, wer Daten weisungsgebunden verarbeitet, ohne eigene Zwecke: der Hosting-Anbieter, der Telefonie-Anbieter, der KI-Dienst-Betreiber. Verfolgt ein Dienstleister eigene Zwecke, ist er selbst Verantwortlicher — dann trägt der AVV die Konstellation nicht mehr.
Begriff
Was im Vertrag stehen muss
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der Daten und die Kategorien betroffener Personen.
- Die Bindung an dokumentierte Weisungen des Verantwortlichen.
- Vertraulichkeitsverpflichtung der eingesetzten Personen.
- Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO.
- Regeln für Unterauftragnehmer samt Genehmigung und Information über Wechsel.
- Unterstützung bei Betroffenenrechten und bei Meldepflichten nach einer Datenpanne.
- Löschung oder Rückgabe der Daten nach Vertragsende.
- Nachweispflicht und Prüfrechte des Verantwortlichen.
Begriff
Die häufigsten Fehler im Mittelstand
Der erste Fehler ist die ungeprüfte Unterauftragnehmerliste. Wer sie nicht liest, weiß nicht, in welchen Ländern die Daten tatsächlich liegen — und übersieht Drittlandtransfers, die eine eigene Grundlage brauchen. Der zweite Fehler ist der AVV, der nach dem Start unterschrieben wird; die Verarbeitung ist dann bereits ohne Vertrag gelaufen. Der dritte ist ein Löschkonzept, das nur auf dem Papier steht: Ohne Frist und ohne Zuständigen wird nichts gelöscht.
Begriff
Beispiel aus dem KMU-Alltag
Eine Steuerkanzlei führt einen digitalen Posteingang ein. Der Scan-Dienstleister, der Cloud-Speicher und der Anbieter der Texterkennung sehen Mandantendaten. Für alle drei braucht es einen AVV, und für den Fall, dass Verarbeitung außerhalb der EU stattfindet, zusätzlich eine tragfähige Grundlage. Wird stattdessen lokal verarbeitet, verkürzt sich die Kette — weniger Verträge, weniger Prüfaufwand.
Praktisch hilft eine einfache Liste: je Dienstleister der Vertragsstand, die Datenarten, der Verarbeitungsort und das Datum der letzten Prüfung. Diese Liste ist zugleich die halbe Vorarbeit für das Verarbeitungsverzeichnis — und sie zeigt auf einen Blick, wo ein Vertrag fehlt oder seit Jahren niemand mehr hineingesehen hat.
Begriff
Passendes DripBack-Modul
Fragen
Häufige Fragen
Reicht der AVV des Anbieters?
Meistens ja, aber ungeprüft nie. Zu kontrollieren sind Unterauftragnehmerliste, Verarbeitungsorte, Löschfristen und die Reichweite der Prüfrechte. Diese Punkte weichen zwischen Anbietern deutlich voneinander ab.
Ist ein AVV auch ohne KI nötig?
Ja. Die Pflicht hängt an der Auftragsverarbeitung personenbezogener Daten, nicht an der eingesetzten Technik. Lohnbuchhaltung, Hosting und Aktenvernichtung fallen genauso darunter.
Was ist, wenn kein AVV vorliegt?
Dann fehlt eine Pflichtgrundlage der Verarbeitung. Das ist ein eigenständiger Verstoß, unabhängig davon, ob mit den Daten etwas passiert ist. Der Vertrag gehört deshalb vor den ersten Datenfluss.
Nächster Schritt
Passt das zu Ihrem Betrieb?
Im Erstgespräch schauen wir uns Ihre Abläufe an und sagen offen, was sich lohnt und was nicht. Kostenfrei, ohne Verpflichtung.