{"id":8065,"date":"2021-07-29T09:57:00","date_gmt":"2021-07-29T07:57:00","guid":{"rendered":"https:\/\/prototype.staging.dev.frachtwerk.de\/?p=8065"},"modified":"2023-08-14T12:13:04","modified_gmt":"2023-08-14T10:13:04","slug":"wann-brauche-ich-einen-av-vertrag","status":"publish","type":"post","link":"https:\/\/prototype.staging.dev.frachtwerk.de\/allgemein\/wann-brauche-ich-einen-av-vertrag\/","title":{"rendered":"Wann brauche ich eigentlich einen AV-Vertrag?"},"content":{"rendered":"<div  class=\"tatsu-H1bqGAKAAd tatsu-section  tatsu-bg-overlay   tatsu-clearfix\" data-title=\"\"  data-headerscheme=\"background--dark\"><div class='tatsu-section-pad clearfix' data-padding='{\"d\":\"30px 0px 60px 0px\"}' data-padding-top='30px'><div class=\"tatsu-row-wrap  tatsu-wrap tatsu-row-one-col tatsu-row-has-one-cols tatsu-medium-gutter tatsu-reg-cols  tatsu-clearfix tatsu-rkx9MAYRA_\" ><div  class=\"tatsu-row \" ><div  class=\"tatsu-column  tatsu-bg-overlay tatsu-one-col tatsu-column-image-none tatsu-column-effect-none  tatsu-HJqfCtRC_\"  data-parallax-speed=\"0\" style=\"\"><div class=\"tatsu-column-inner \" ><div class=\"tatsu-column-pad-wrap\"><div class=\"tatsu-column-pad\" ><div  class=\"tatsu-module tatsu-inline-text clearfix tatsu-HyGVfcAR_   \" ><style>.tatsu-HyGVfcAR_ .tatsu-inline-text-inner{width: 100%;text-align: left;}@media only screen and (max-width: 767px) {.tatsu-HyGVfcAR_ .tatsu-inline-text-inner{width: 100%;}}<\/style><div class=\"tatsu-inline-text-inner tatsu-align-center\">\n<div class=\"alert alert-info part\" style=\"padding: 15px; margin-bottom: 20px; border-radius: 4px; color: #31708f; background-color: #d9edf7; font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, 'Helvetica Neue', Helvetica, Arial, sans-serif, 'Apple Color Emoji', 'Segoe UI Emoji', 'Segoe UI Symbol'; font-size: 16px; letter-spacing: 0.35px; border: 1px solid #bce8f1;\" data-startline=\"24\" data-endline=\"25\">\n<p style=\"box-sizing: border-box;\">Dieser Beitrag ist urspr\u00fcnglich von unserem Kollegen auf\u00a0<a style=\"box-sizing: border-box; color: #337ab7;\" href=\"https:\/\/fiete.io\/\" target=\"_blank\" rel=\"noopener\">fiete.io<\/a>\u00a0ver\u00f6ffentlicht worden.<\/p>\n<\/div>\n<\/div><\/div><div  class=\"tatsu-module tatsu-text-block-wrap tatsu-BylUCFCA_  \"><div class=\"tatsu-text-inner tatsu-align-center  clearfix\" ><style>.tatsu-BylUCFCA_.tatsu-text-block-wrap .tatsu-text-inner{width: 100%;text-align: left;}<\/style>\n<p class=\"part\" data-startline=\"27\" data-endline=\"27\">Herzlich Willkommen zu einer neuen Folge aus dem DSGVO-Urwald! Heute m\u00f6chten wir uns der Frage widmen, wann genau man eigentlich einen dieser omin\u00f6sen AV-Vertr\u00e4ge abschlie\u00dfen muss. AV-Vertr\u00e4ge (\u201cAuftragsverarbeitungsvertrag\u201d) sind ein bisschen wie b\u00f6se Herbidize: Keiner kann sie leiden, viele m\u00fcssen sie trotzdem nutzen und wer sie falsch verwendet, bekommt Ausschlag und eine Menge \u00c4rger. Keiner wei\u00df, was sie in der Praxis wirklich bringen und man verwendet lieber ein bisschen zu viel als zu wenig \u2013 nicht, dass am Schluss der Landesdatenschutzbeauftragte auf der Matte steht und l\u00e4ssig im Bu\u00dfgeldkatalog bl\u00e4ttert!<\/p>\n<p class=\"part\" data-startline=\"29\" data-endline=\"29\">Und wie bei fast allen Themen aus dem Datenschutz ranken sich die wildesten Mythen um AV-Vertr\u00e4ge und fragt man 10 Menschen danach, wann es denn nun eigentlich einen AV-Vertrag braucht, bekommt man 11 Meinungen. Webhoster br\u00e4uchten auf jeden Fall einen, Cloud-Computing-Anbieter auch, E-Mail-Dienstanbieter manchmal, Druckereien auf jeden Fall, Mobilfunkprovider eher nicht, bei Office 365 ist man sich nicht so ganz sicher, Apple bietet daf\u00fcr gar nicht erst einen an. TKG-Anbieter br\u00e4uchten keinen, au\u00dfer sie betreiben zus\u00e4tzlich eine Cloudspeicherl\u00f6sung, Steuerberater auch nicht, Banken auch nicht, zahn\u00e4rztliche Verrechnungsstellen aber schon. Und Airlines \u2013 die ja seit 9\/11 quasi eine Standleitung zu US-Geheimdiensten haben \u2013 kommen in den meisten Betrachtungen noch nicht einmal vor.<\/p>\n<p class=\"part\" data-startline=\"31\" data-endline=\"31\">Ein bisschen dr\u00e4ngt sich der Eindruck auf, dass alles, was mit diesem Internet zu tun hat \u2013 Webhoster, Die b\u00f6se Cloud, Backups \u2013 eher einen AV-Vertrag brauchen und alles, was nicht mit dem Internet zu tun hat \u2013 Steuerberater (Schreibmaschine), Banken (\u00dcberweisungstr\u00e4ger), Mobilfunkprovider (ist ja Telefon und kein Internet), Airlines (Papierticket) \u2013 eher davon befreit ist. So deutsch, so gut.<\/p>\n<h3 id=\"Klassische-Kriterien\" class=\"part\" data-startline=\"33\" data-endline=\"33\"><i class=\"fa fa-link\"><\/i>Klassische Kriterien<\/h3>\n<p class=\"part\" data-startline=\"34\" data-endline=\"34\">Da uns das aber alle nicht so ganz gl\u00fccklich macht, begeben wir uns doch mal auf die Suche nach geeigneten Kriterien:<\/p>\n<p class=\"part\" data-startline=\"36\" data-endline=\"36\">Ein in der Literatur gerne genutztes Kriterium ist das der <strong>Weisungsbefugnis<\/strong>. Immer dann, wenn eine Firma nur genau das tut, was ich von ihm oder ihr m\u00f6chte und ich dieser Firma dazu auch noch personenbezogene Daten \u00fcbermittle, liegt eine Auftragsverarbeitung vor. Das funktioniert h\u00e4ufig, hat allerdings seine Schw\u00e4chen und das f\u00e4ngt schon beim Begriff der Weisungsbefugnis an. Wann bin ich denn zu Weisungen befugt? Bei der kleinen Druckerei um die Ecke f\u00fchlt sich das noch ganz gut an, beim externen Lohnb\u00fcro auch. Aber kann ich meinem Cloudprovider Weisungen erteilen? Und bin ich Microsoft gegen\u00fcber zu Weisungen befugt? H\u00e4ufig f\u00fchlt es sich eher an, als ob Microsoft marktmachtbedingt eher mir Weisungen \u00fcbermittelt. Und bin ich einem Hotel gegen\u00fcber, dem ich jede Woche Mitarbeiterdaten f\u00fcr Kollegen auf Montage schicke nicht auch irgendwie weisungsbefugt? So recht \u00fcberzeugen kann das Kriterium nicht.<\/p>\n<p class=\"part\" data-startline=\"38\" data-endline=\"38\">Zweites, h\u00e4ufig genanntes Kriterium ist die <strong>Menge der personenbezogenen Daten<\/strong>. Je mehr Daten \u00fcbermittelt werden, desto h\u00f6her die Wahrscheinlichkeit f\u00fcr einen AV-Vertrag. Finde ich pers\u00f6nlich schwierig als Kriterium, denn wer sagt denn, ab wann \u201cviel\u201d auch tats\u00e4chlich \u201cviel\u201d ist? Und was passiert mit den zehn Menschen, deren Daten leider nicht durch einen AV-Vertrag gesch\u00fctzt waren, weil zehn zu wenig war \u2013 haben die dann leider einfach Pech gehabt?<\/p>\n<p class=\"part\" data-startline=\"40\" data-endline=\"40\">Ebenso gerne genutzt ist das Kriterium, ob denn die Verarbeitung personenbezogener Daten den <strong>\u00fcberwiegenden Anteil<\/strong> eines Vertrags darstellt oder eher beil\u00e4ufig geschieht. Ein wunderbar dehnbares Argument! Steht beim Druck einer Visitenkarte das physische Produkt im Vordergrund oder die \u00fcbermittelten Daten? Und welcher Anteil der Daten\u00fcbermittlung an Microsoft ist bei der Nutzung von Office 365 denn personenbezogen?<\/p>\n<h3 id=\"Ein-Blick-ins-Gesetz\" class=\"part\" data-startline=\"42\" data-endline=\"42\"><i class=\"fa fa-link\"><\/i>Ein Blick ins Gesetz<\/h3>\n<p class=\"part\" data-startline=\"43\" data-endline=\"43\">Bleibt also zu hoffen, dass ein Blick in die DSGVO Klarheit bringt. Artikel 28 regelt das Verh\u00e4ltnis des Auftragsverarbeiters, eine Legaldefinition liefert Artikel 4 Nummer 8: Auftragsverarbeiter sind alle nat\u00fcrlichen oder juristischen Personen, Beh\u00f6rden, Einrichtungen oder andere Stellen, die personenbezogene Daten \u201c<em>im Auftrag des Verantwortlichen<\/em>\u201d verarbeiten. Herzlichen Gl\u00fcckwunsch \u2013 ein Auftragsverarbeiter verarbeitet im Auftrag, gro\u00dfartig. Und dass Art. 4 Nr. 2 DSGVO \u201c<em>Verarbeitung<\/em>\u201d als alles von Erheben bis Verbreiten und Vernichten definiert, macht die Sache auch nicht einfacher \u2013 ein \u201c<em>Auftragsverarbeiter<\/em>\u201d kann also sowohl ein \u201c<em>Auftragserheber<\/em>\u201d, als auch ein \u201c<em>Auftragsweitergeber<\/em>\u201d oder ein \u201c<em>Auftragsvernichter<\/em>\u201d sein\u2026<\/p>\n<p class=\"part\" data-startline=\"45\" data-endline=\"45\">Immerhin der Kontext hilft ein wenig weiter: Art. 4 Nr. 10 DSGVO unterscheidet ausschlie\u00dflich zwischen:<\/p>\n<ul class=\"part\" data-startline=\"47\" data-endline=\"51\">\n<li class=\"\" data-startline=\"47\" data-endline=\"47\">betroffener Person<\/li>\n<li class=\"\" data-startline=\"48\" data-endline=\"48\">Verantwortlichen (und Personen in unmittelbarer Verantwortung)<\/li>\n<li class=\"\" data-startline=\"49\" data-endline=\"49\">Auftragsverarbeitern (und Personen in unmittelbarer Verantwortung)<\/li>\n<li class=\"\" data-startline=\"50\" data-endline=\"52\">Dritten<\/li>\n<\/ul>\n<p class=\"part\" data-startline=\"52\" data-endline=\"52\">Rechnet man die betroffene Person und die verantwortliche Stelle raus, bleiben also nur noch Auftragsverarbeiter und Dritte. Hei\u00dft im Umkehrschluss: Jeder an einer Datenverarbeitung beteiligte, der nicht direkt betroffen und nicht verantwortlich ist, ist demzufolge also entweder Auftragsverarbeiter oder Dritter. Die Definition des Dritten gibt leider nicht mehr her \u2013 bleibt nur die w\u00f6rtliche Bedeutung, der zufolge Dritte solche Parteien sind, die \u00fcblicherweise nicht zu den klassischen zwei Parteien eines Vertrags geh\u00f6rt aber davon beeinflusst mit eigenen Rechten und Pflichten involviert sein kann. Streng genommen k\u00f6nnte das zu dem Schluss f\u00fchren, dass alle, mit denen die verantwortliche Stelle ein direktes Vertragsverh\u00e4ltnis hat keine Dritten sein k\u00f6nnen \u2013 da in diesem Moment aber eigentlich die betroffene Person und die verantwortliche Stelle als Erste und Zweite gemeint sind, ist diese Argumentation vermutlich wenig stichhaltig.<\/p>\n<p class=\"part\" data-startline=\"54\" data-endline=\"54\">Werfen wir noch einen tieferen Blick in den Art. 28 DSGVO: Nr. 3 legt die Inhalte des AV-Vertrags zwischen verantwortlicher Stelle und Auftragsverarbeiter fest \u2013 ggf. l\u00e4sst der Inhalt ja R\u00fcckschl\u00fcsse auf die Beschaffenheit eines Auftragsverarbeiters zu. Und in der Tat wird u.a. festgelegt, dass im Vertrag neben Gegenstand und Dauer u.a. \u201cArt und Zweck der Verarbeitung\u201d festgelegt sein muss und dass der Auftragsverarbeiter an den Verantwortlichen \u201cgebunden\u201d sein muss. Im Umkehrschluss bedeutet das ja immerhin, dass sich beide Vertragsparteien zu Beginn \u00fcber die konkrete Art der Verarbeitung einig sein m\u00fcssen. Man k\u00f6nnte an dieser Stelle ggf. eine Weisungsbefugnis des Verantwortlichen erkennen \u2013 in Zeiten, in denen gro\u00dfe Konzerne einen AV-Vertrag einseitig zum Download anbieten (ob das legal ist, sei mal dahingestellt), f\u00fchlt sich diese Argumentation jedoch etwas d\u00fcnn an.<\/p>\n<\/div><\/div><div  class=\"tatsu-single-image tatsu-module tatsu-image-lazyload tatsu-HkUcFzlJF  \" ><div class=\"tatsu-single-image-inner \" style=\"width : 2560px;\" ><div class = \"tatsu-single-image-padding-wrap\" style = \"padding-bottom : 66.6796875%;\" ><\/div><img class = \"tatsu-gradient-border\" alt = \"\" title = \"DSGVO: Wooden cubes with letters \u201cDSGVO\u201d lying on a laptop. Datenschutzgrundverordnung.\" data-src = \"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-content\/uploads\/2021\/07\/AdobeStock_261324492-scaled.jpeg\" src =\"data:image\/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAQAAAC1HAwCAAAAC0lEQVR42mNkYAAAAAYAAjCB0C8AAAAASUVORK5CYII=\"  \/><\/div><style>.tatsu-HkUcFzlJF .tatsu-single-image-inner{border-style: solid;max-width: 100%;}.tatsu-HkUcFzlJF.tatsu-single-image{transform: translate3d(0px,0px, 0);}<\/style><\/div><div  class=\"tatsu-module tatsu-text-block-wrap tatsu-By9YKMlkF  \"><div class=\"tatsu-text-inner tatsu-align-center  clearfix\" ><style>.tatsu-By9YKMlkF.tatsu-text-block-wrap .tatsu-text-inner{width: 100%;text-align: left;}<\/style>\n<h3 id=\"Und-nun\" class=\"part\" data-startline=\"56\" data-endline=\"56\">Und nun?<\/h3>\n<p class=\"part\" data-startline=\"57\" data-endline=\"57\">Bleibt zuletzt also nur noch zu \u00fcberlegen, was der Gesetzgeber gewollt haben k\u00f6nnte, als er die DSGVO geschaffen hat. Dem Grundcharakter des Gesetzes zufolge wollte man einerseits insbesondere Datenfl\u00fcsse durch Unternehmen und \u00fcber Unternehmensgrenzen hinweg transparent und nachvollziehbar gestalten und andererseits der betroffenen Person maximale Tranparenz und Kontrolle \u00fcber die Verwendung und Weitergabe seiner personenbezogenen Daten gew\u00e4hren. Dazu geh\u00f6ren alle Arten der Datenschutzerkl\u00e4rungen, aber auch Verzeichnisse der Verarbeitungst\u00e4tigkeiten und meines Erachtens nach eben auch AV-Vertr\u00e4ge. Man hat sich Daten offenbar ein wenig wie digitale Waren vorgestellt, die durch eine Produktion flie\u00dfen, dabei ggf. mal von einen Zulieferer empfangen, bearbeitet und zur\u00fcckgegeben werden und von denen man jederzeit sehen kann, wo sie sich gerade befinden. Und genauso, wie die Einhaltung interne Prozesse durch ein Verzeichnis der Verarbeitungst\u00e4tigkeiten sichergestellt werden soll, zielen AV-Vertr\u00e4ge darauf ab, das eigene Schutzniveau auch bei weiteren Firmen zu erhalten, die personenbezogenen Daten von Betroffenen verarbeiten, mit denen ich ein Vertragsverh\u00e4ltnis pflege. Das h\u00e4tte dann ungef\u00e4hr folgende Kriterien zur Folge:<\/p>\n<ul class=\"part\" data-startline=\"59\" data-endline=\"63\">\n<li class=\"\" data-startline=\"59\" data-endline=\"59\">Der Auftragsverarbeiter muss Daten verarbeiten, f\u00fcr welche der Vertragspartner <strong>tats\u00e4chlich verantwortliche Stelle<\/strong> ist (das w\u00fcrde auf eine externe Lohnbuchhaltung zutreffen, jedoch nicht auf eine Agentur, die eine eigene Marktstudie durchf\u00fchrt).<\/li>\n<li class=\"\" data-startline=\"60\" data-endline=\"60\">Es muss ein <strong>Prozess der Datenverarbeitung<\/strong> existieren, den es abzusichern gilt (das w\u00e4re bei einer Datenvernichtung der Fall, nicht jedoch bei einem Detektiv, der im Auftrag arbeitet)<\/li>\n<li class=\"\" data-startline=\"61\" data-endline=\"61\">Die Verarbeitung muss <strong>regelm\u00e4\u00dfig nach demselben Muster<\/strong> laufen (sonst lie\u00dfen sich nicht Art und Zweck der Verarbeitung im Voraus definieren \u2013 so zum Beispiel bei einm externen E-Mail-Anbieter, nicht jedoch bei einer Unternehmensberatung)<\/li>\n<li class=\"\" data-startline=\"62\" data-endline=\"64\">Man k\u00f6nnte mutma\u00dfen, dass der Gesetzgeber im Sinn hatte, ein <strong>hohes Missbrauchspotential durch den Verarbeiter<\/strong> zu begrenzen, ein Vertrag also umso erforderlicher wird, je gr\u00f6\u00dfer das Potential wird (das w\u00e4re z.B. bei gro\u00dfen Cloudanbietern der Fall, weniger jedoch bei externen Betriebs\u00e4rzten, die ohnehin schon gesetzlich gebunden sind)<\/li>\n<\/ul>\n<p class=\"part\" data-startline=\"64\" data-endline=\"64\">Diese Kriterien kollidieren sicherlich mit ein paar g\u00e4ngigen Interpretationen: Ein Mobilfunkprovider verarbeitet m.E. eine gro\u00dfe Menge kritischer personenbezogener Daten (Bewegungsprofile, wer telefoniert mit wem, \u2026) in regelm\u00e4\u00dfigen Prozessen \u2013 wenn es sich dabei um Mitarbeiterdaten der verantwortlichen Stelle handelt, w\u00e4re durchaus ein AV-Vertrag angebracht. Ein IT-Systemhaus, das sich bei Fragen per VPN verbindet, kommt hingegen zwar mit personenbezogenen Daten in Kontakt, verarbeitet diese jedoch nicht regelm\u00e4\u00dfig nach denselben Prozessen. Hier w\u00e4re statt eines AV-Vertrags also eher ein NDA hilfreich.<\/p>\n<p class=\"part\" data-startline=\"66\" data-endline=\"66\">Zusammenfassend k\u00f6nnte man also vorsichtig folgende Liste aufstellen:<\/p>\n<ul class=\"part\" data-startline=\"68\" data-endline=\"91\">\n<li class=\"\" data-startline=\"68\" data-endline=\"68\"><strong>Banken<\/strong>: kein AV-Vertrag notwendig, da eigene Kernleistung erbracht wird<\/li>\n<li class=\"\" data-startline=\"69\" data-endline=\"69\"><strong>Beratungsfirmen<\/strong>: kein AV-Vertrag notwendig, wenn keine regelm\u00e4\u00dfige Verarbeitung nach demselben Muster abl\u00e4uft<\/li>\n<li class=\"\" data-startline=\"70\" data-endline=\"70\"><strong>Bonusprogramme<\/strong>: AV-Vertrag notwendig<\/li>\n<li class=\"\" data-startline=\"71\" data-endline=\"71\"><strong>CDN-Netzwerke<\/strong> (z.B. Cloudflare): AV-Vertrag nur dann notwendig, wenn Daten von Besuchern verarbeitet werden (z.B. Webshop), kein Vertrag bei rein statischer Website notwendig<\/li>\n<li class=\"\" data-startline=\"72\" data-endline=\"72\"><strong>Detektive<\/strong>: kein AV-Vertrag notwendig, da keine gleichm\u00e4\u00dfigen Prozesse<\/li>\n<li class=\"\" data-startline=\"73\" data-endline=\"73\"><strong>Druckereien<\/strong>: Vertrag nur notwendig, wenn regelm\u00e4\u00dfig nach denselben Mustern personenbezogene Daten verarbeitet werden (z.B. Visitenkarten)<\/li>\n<li class=\"\" data-startline=\"74\" data-endline=\"74\"><strong>externe Betriebs\u00e4rzte<\/strong>: kein AV-Vertrag notwendig, da Berufsgeheimnistr\u00e4ger und idR. eigene Datenerhebung<\/li>\n<li class=\"\" data-startline=\"75\" data-endline=\"75\"><strong>externe Trainer<\/strong>: kein AV-Vertrag notwendig<\/li>\n<li class=\"\" data-startline=\"76\" data-endline=\"76\"><strong>externe Webentwickler<\/strong>: kein AV-Vertrag notwendig, wenn keine regelm\u00e4\u00dfige Verarbeitung nach demselben Muster abl\u00e4uft<\/li>\n<li class=\"\" data-startline=\"77\" data-endline=\"77\"><strong>Hotels, Fluggesellschaften, Deutsche Bahn, Autovermietungen<\/strong>: AV-Vertrag nur notwendig, wenn Regelm\u00e4\u00dfigkeit vorliegt (z.B. direkter Vertrag mit Verrechnung, auf Basis dessen Mitarbeitende buchen k\u00f6nnen)<\/li>\n<li class=\"\" data-startline=\"78\" data-endline=\"78\"><strong>Inkassob\u00fcros<\/strong>: AV-Vertrag notwendig, da regelm\u00e4\u00dfige Prozesse durchlaufen werden<\/li>\n<li class=\"\" data-startline=\"79\" data-endline=\"79\"><strong>IT-Systemh\u00e4user<\/strong>: AV-Vertrag nur notwendig, wenn regelm\u00e4\u00dfige Prozesse ausgef\u00fchrt werden (z.B. Backups auf eigene Server), sonst NDA<\/li>\n<li class=\"\" data-startline=\"80\" data-endline=\"80\"><strong>Kanzleien<\/strong>: kein AV-Vertrag notwendig, wenn keine regelm\u00e4\u00dfige Verarbeitung nach demselben Muster abl\u00e4uft<\/li>\n<li class=\"\" data-startline=\"81\" data-endline=\"81\"><strong>Mobilfunkprovider<\/strong>: AV-Vertrag notwendig<\/li>\n<li class=\"\" data-startline=\"82\" data-endline=\"82\"><strong>Newsletter-Dienste<\/strong>: AV-Vertrag notwendig, da regelm\u00e4\u00dfige Prozesse durchlaufen werden<\/li>\n<li class=\"\" data-startline=\"83\" data-endline=\"83\"><strong>SaaS-Provider<\/strong>: AV-Vertrag notwendig, wenn personenbezogene Daten verarbeitet werden<\/li>\n<li class=\"\" data-startline=\"84\" data-endline=\"84\"><strong>Sicherheitsdienste\/Pf\u00f6rtner<\/strong>: kein AV-Vertrag notwendig, da keine Datenverarbeitung durchgef\u00fchrt werden, ggf. Abschluss eines NDAs sinnvoll<\/li>\n<li class=\"\" data-startline=\"85\" data-endline=\"85\"><strong>Steuerberater<\/strong>: AV-Vertrag notwendig, wenn Lohnbuchhaltung durchgef\u00fchrt wird; kein AV-Vertrag aber f\u00fcr Durchf\u00fchrung eines Jahresabschlusses<\/li>\n<li class=\"\" data-startline=\"86\" data-endline=\"86\"><strong>Strom- und Gas-Lieferanten<\/strong>: kein AV-Vertrag notwendig<\/li>\n<li class=\"\" data-startline=\"87\" data-endline=\"87\"><strong>Webhoster<\/strong>: AV-Vertrag nur dann notwendig, wenn Daten von Besuchern verarbeitet werden (z.B. Webshop), kein Vertrag bei rein statischer Website notwendig<\/li>\n<li class=\"\" data-startline=\"88\" data-endline=\"88\"><strong>Zahlungsdienstleister<\/strong> (z.B. Stripe): AV-Vertrag notwendig, da regelm\u00e4\u00dfige Prozesse durchlaufen werden<\/li>\n<li class=\"\" data-startline=\"89\" data-endline=\"89\"><strong>Zoom und andere externe Videodienste<\/strong>: AV-Vertrag notwendig, da regelm\u00e4\u00dfig Daten nach demselben Muster verarbeitet<\/li>\n<\/ul>\n<p>Grunds\u00e4tzlich gilt aber \u2013 wie hoffentlich deutlich geworden ist \u2013 dass die Materie insgesamt sehr schwammig ist und kaum klare Definitionen existieren. Diese Kategorisierung stellt daher den Versuch einer Differenzierung dar \u2013 wie so h\u00e4ufig unterliegt der Einzelfall dann im Streitfall aber immer noch der konkreten Auslegung. \u00dcber Anmerkungen und Kommentare w\u00fcrde ich mich nat\u00fcrlich wie immer sehr freuen!<\/p>\n<h3 id=\"TLDR\" class=\"part\" data-startline=\"92\" data-endline=\"92\"><i class=\"fa fa-link\"><\/i>TL;DR<\/h3>\n<p class=\"part\" data-startline=\"93\" data-endline=\"93\">Die meisten der \u00fcblichen Auslegungen zu AV-Vertr\u00e4gen passen irgendwie nicht so recht mit der Wirklichkeit zusammen. Die DSGVO macht insgesamt leider recht wenige klare Aussagen \u2013 es bleibt also nur die Frage, was der Gesetzgeber gewollt haben k\u00f6nnte. Das f\u00fchrt m.E. zu den folgenden Fragen, ob ein AV-Vertrag im Einzelfall notwendig ist:<\/p>\n<ul class=\"part\" data-startline=\"95\" data-endline=\"99\">\n<li class=\"\" data-startline=\"95\" data-endline=\"95\">verarbeitet der Auftragsverarbeiter Daten der verantwortlichen Stelle?<\/li>\n<li class=\"\" data-startline=\"96\" data-endline=\"96\">gibt es Seitens des Auftragsverarbeiters definierte Prozesse?<\/li>\n<li class=\"\" data-startline=\"97\" data-endline=\"97\">verl\u00e4uft die Verarbeitung regelm\u00e4\u00dfig nach demselben Muster?<\/li>\n<li class=\"\" data-startline=\"98\" data-endline=\"99\">gibt es ein Missbrauchspotential seitens des Auftragsverarbeiters?<\/li>\n<\/ul>\n<p class=\"part\" data-startline=\"100\" data-endline=\"100\">Falls diese Fragen mit Ja beantwortet werden k\u00f6nnen, ist ein AV-Vertrag meistens eine gute Wahl \u2013 bei Nein haben wir es vermutlich eher mit einen Dritten zu tun und mit der Frage, ob z.B. ein NDA eine gute Wahl w\u00e4re.<\/p>\n<\/div><\/div><div  class=\"tatsu-module tatsu-inline-text clearfix tatsu-BJQo5GeyY   \" ><style>.tatsu-BJQo5GeyY .tatsu-inline-text-inner{width: 100%;text-align: left;}@media only screen and (max-width: 767px) {.tatsu-BJQo5GeyY .tatsu-inline-text-inner{width: 100%;}}<\/style><div class=\"tatsu-inline-text-inner tatsu-align-center\">\n<div class=\"alert alert-info part\" style=\"padding: 15px; margin-bottom: 20px; border-radius: 4px; color: #31708f; background-color: #d9edf7; font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, 'Helvetica Neue', Helvetica, Arial, sans-serif, 'Apple Color Emoji', 'Segoe UI Emoji', 'Segoe UI Symbol'; font-size: 16px; letter-spacing: 0.35px; border: 1px solid #bce8f1;\" data-startline=\"24\" data-endline=\"25\">\n<p style=\"box-sizing: border-box;\">Dieser Beitrag ist urspr\u00fcnglich von unserem Kollegen auf\u00a0<a style=\"box-sizing: border-box; color: #337ab7;\" href=\"https:\/\/fiete.io\/\" target=\"_blank\" rel=\"noopener\">fiete.io<\/a>\u00a0ver\u00f6ffentlicht worden.<\/p>\n<\/div>\n<\/div><\/div><\/div><\/div><div class = \"tatsu-column-bg-image-wrap\"><div class = \"tatsu-column-bg-image tatsu-bg-lazyload\" data-src = \"\"><\/div><\/div><div class=\"tatsu-overlay tatsu-column-overlay tatsu-animate-none\" ><\/div><\/div><style>.tatsu-row > .tatsu-HJqfCtRC_.tatsu-column{width: 100%;}.tatsu-HJqfCtRC_.tatsu-column > .tatsu-column-inner > .tatsu-column-overlay{mix-blend-mode: normal;}.tatsu-HJqfCtRC_ > .tatsu-column-inner > .tatsu-top-divider{z-index: 9999;}.tatsu-HJqfCtRC_ > .tatsu-column-inner > .tatsu-bottom-divider{z-index: 9999;}.tatsu-HJqfCtRC_ > .tatsu-column-inner > .tatsu-left-divider{z-index: 9999;}.tatsu-HJqfCtRC_ > .tatsu-column-inner > .tatsu-right-divider{z-index: 9999;}@media only screen and (max-width:1377px) {.tatsu-row > .tatsu-HJqfCtRC_.tatsu-column{width: 100%;}}@media only screen and (min-width:768px) and (max-width: 1024px) {.tatsu-row > .tatsu-HJqfCtRC_.tatsu-column{width: 100%;}}@media only screen and (max-width: 767px) {.tatsu-row > .tatsu-HJqfCtRC_.tatsu-column{width: 100%;}}<\/style><\/div><\/div><\/div><\/div><div class=\"tatsu-section-background-wrap\"><div class = \"tatsu-section-background tatsu-bg-lazyload\" data-src = \"\"><\/div><\/div><div class=\"tatsu-overlay tatsu-section-overlay\"><\/div><style>.tatsu-H1bqGAKAAd .tatsu-section-pad{padding: 30px 0px 60px 0px;}.tatsu-H1bqGAKAAd .tatsu-section-offset-wrap{transform: translateY(-0px);}.tatsu-H1bqGAKAAd > .tatsu-bottom-divider{z-index: 9999;}.tatsu-H1bqGAKAAd > .tatsu-top-divider{z-index: 9999;}.tatsu-H1bqGAKAAd .tatsu-section-overlay{mix-blend-mode: normal;}<\/style><\/div><div  class=\"tatsu-Bk0wRKAAu tatsu-section  tatsu-bg-overlay   tatsu-clearfix\" data-title=\"\"  data-headerscheme=\"background--dark\"><div class='tatsu-section-pad clearfix' data-padding='{\"d\":\"0px 0px 0px 0px\"}' data-padding-top='0px'><div class=\"tatsu-row-wrap  tatsu-wrap tatsu-row-has-two-cols tatsu-medium-gutter tatsu-reg-cols  tatsu-clearfix tatsu-S1eRvAKRA_\" ><div  class=\"tatsu-row \" ><div  class=\"tatsu-column  tatsu-bg-overlay tatsu-two-third tatsu-column-align-top tatsu-column-image-none tatsu-column-effect-none  tatsu-r1b0w0tC0_\"  data-parallax-speed=\"0\" style=\"\"><div class=\"tatsu-column-inner \" ><div class=\"tatsu-column-pad-wrap\"><div class=\"tatsu-column-pad\" ><div  class=\"tatsu-module tatsu-text-block-wrap tatsu-HkG0DCFRAu  \"><div class=\"tatsu-text-inner   clearfix\" ><style>.tatsu-HkG0DCFRAu.tatsu-text-block-wrap .tatsu-text-inner{width: 100%;text-align: left;padding: 30px 0px 30px 0px;}<\/style>\n<p><span style=\"color: #ffffff;\">Ben\u00f6tigen Sie Unterst\u00fctzung bei der Pr\u00fcfung Ihrer Prozesse und Datenverarbeitungen? <strong>Kontaktieren Sie uns gerne!<\/strong> Unsere Datenschutzexperten begleiten Sie unkompliziert auch in st\u00fcrmischen Zeiten.<\/span><\/p>\n<\/div><\/div><\/div><\/div><div class = \"tatsu-column-bg-image-wrap\"><div class = \"tatsu-column-bg-image tatsu-bg-lazyload\" data-src = \"\"><\/div><\/div><div class=\"tatsu-overlay tatsu-column-overlay tatsu-animate-none\" ><\/div><\/div><style>.tatsu-row > .tatsu-r1b0w0tC0_.tatsu-column{width: 66.67%;}.tatsu-r1b0w0tC0_.tatsu-column > .tatsu-column-inner > .tatsu-column-overlay{mix-blend-mode: normal;}.tatsu-r1b0w0tC0_ > .tatsu-column-inner > .tatsu-top-divider{z-index: 9999;}.tatsu-r1b0w0tC0_ > .tatsu-column-inner > .tatsu-bottom-divider{z-index: 9999;}.tatsu-r1b0w0tC0_ > .tatsu-column-inner > .tatsu-left-divider{z-index: 9999;}.tatsu-r1b0w0tC0_ > .tatsu-column-inner > .tatsu-right-divider{z-index: 9999;}@media only screen and (max-width:1377px) {.tatsu-row > .tatsu-r1b0w0tC0_.tatsu-column{width: 66.67%;}}@media only screen and (min-width:768px) and (max-width: 1024px) {.tatsu-row > .tatsu-r1b0w0tC0_.tatsu-column{width: 66.67%;}}@media only screen and (max-width: 767px) {.tatsu-row > .tatsu-r1b0w0tC0_.tatsu-column{width: 100%;}}<\/style><\/div><div  class=\"tatsu-column  tatsu-bg-overlay tatsu-one-third tatsu-column-align-middle tatsu-column-image-none tatsu-column-effect-none  tatsu-By70DCK00O\"  data-parallax-speed=\"0\" style=\"\"><div class=\"tatsu-column-inner \" ><div class=\"tatsu-column-pad-wrap\"><div class=\"tatsu-column-pad\" ><div  class=\"tatsu-module tatsu-normal-button tatsu-button-wrap align-block block-center  tatsu-By4RD0K0Au   \"><a class=\"tatsu-shortcode mediumbtn tatsu-button left-icon rounded   bg-animation-none  \" href=\"https:\/\/frachtwerk.de\/kontakt\/\" style= \"\"  aria-label=\"Kontakt\" data-gdpr-atts={} >Kontakt<\/a><style>.tatsu-By4RD0K0Au .tatsu-button{background-color: rgba(0,181,214,1);color: #ffffff ;border-width: 1px;border-color: rgba(255,255,255,1); }.tatsu-By4RD0K0Au .tatsu-button:hover{background-color: #ffffff;color: rgba(0,181,214,1) ;}<\/style><\/div><\/div><\/div><div class = \"tatsu-column-bg-image-wrap\"><div class = \"tatsu-column-bg-image tatsu-bg-lazyload\" data-src = \"\"><\/div><\/div><div class=\"tatsu-overlay tatsu-column-overlay tatsu-animate-none\" ><\/div><\/div><style>.tatsu-row > .tatsu-By70DCK00O.tatsu-column{width: 33.33%;}.tatsu-By70DCK00O.tatsu-column > .tatsu-column-inner > .tatsu-column-overlay{mix-blend-mode: normal;}.tatsu-By70DCK00O > .tatsu-column-inner > .tatsu-top-divider{z-index: 9999;}.tatsu-By70DCK00O > .tatsu-column-inner > .tatsu-bottom-divider{z-index: 9999;}.tatsu-By70DCK00O > .tatsu-column-inner > .tatsu-left-divider{z-index: 9999;}.tatsu-By70DCK00O > .tatsu-column-inner > .tatsu-right-divider{z-index: 9999;}@media only screen and (max-width:1377px) {.tatsu-row > .tatsu-By70DCK00O.tatsu-column{width: 33.33%;}}@media only screen and (min-width:768px) and (max-width: 1024px) {.tatsu-row > .tatsu-By70DCK00O.tatsu-column{width: 33.33%;}}@media only screen and (max-width: 767px) {.tatsu-row > .tatsu-By70DCK00O.tatsu-column{width: 100%;}}<\/style><\/div><\/div><\/div><\/div><div class=\"tatsu-section-background-wrap\"><div class = \"tatsu-section-background tatsu-bg-lazyload\" data-src = \"\"><\/div><\/div><div class=\"tatsu-overlay tatsu-section-overlay\"><\/div><style>.tatsu-Bk0wRKAAu.tatsu-section{background-color: rgba(0,181,214,1);}.tatsu-Bk0wRKAAu .tatsu-section-offset-wrap{transform: translateY(-0px);}.tatsu-Bk0wRKAAu > .tatsu-bottom-divider{z-index: 9999;}.tatsu-Bk0wRKAAu > .tatsu-top-divider{z-index: 9999;}.tatsu-Bk0wRKAAu .tatsu-section-overlay{mix-blend-mode: normal;}<\/style><\/div>\n","protected":false},"excerpt":{"rendered":"<div><a href=\"https:\/\/prototype.staging.dev.frachtwerk.de\/allgemein\/wann-brauche-ich-einen-av-vertrag\/\" class=\"exp-read-more exp-read-more-underlined\">Read More<\/a><\/div>\n","protected":false},"author":1,"featured_media":8072,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_vp_format_video_url":"","_vp_image_focal_point":[]},"categories":[1,47],"tags":[],"_links":{"self":[{"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/posts\/8065"}],"collection":[{"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/comments?post=8065"}],"version-history":[{"count":16,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/posts\/8065\/revisions"}],"predecessor-version":[{"id":9752,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/posts\/8065\/revisions\/9752"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/media\/8072"}],"wp:attachment":[{"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/media?parent=8065"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/categories?post=8065"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prototype.staging.dev.frachtwerk.de\/wp-json\/wp\/v2\/tags?post=8065"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}