Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht, sobald deine Agentur im Auftrag eines Kunden personenbezogene Daten verarbeitet (Art. 28 Abs. 3 DSGVO). Das ist bei Agenturen häufiger, als man denkt: Hosting, Wartung mit Zugriff auf die Produktionsdatenbank, Support, Backups, Datenmigrationen. Der Vertrag muss schriftlich vorliegen, elektronisch genügt (Art. 28 Abs. 9 DSGVO).
Der Kunde bleibt Verantwortlicher, deine Agentur ist Auftragsverarbeiter. Du darfst die Daten nur nach seinen dokumentierten Weisungen verarbeiten. Wer Zwecke und Mittel selbst bestimmt, wird selbst Verantwortlicher, mit allen Folgen (Art. 28 Abs. 10 DSGVO).
Wann ist deine Agentur Auftragsverarbeiter?
| Tätigkeit | Auftragsverarbeitung? |
|---|---|
| Website bauen und übergeben, nur mit Testdaten | Nein |
| Hosting und Betrieb der Website oder App | Ja |
| Wartungsvertrag mit Zugriff auf Produktivsystem | Ja |
| Support, bei dem Kundendaten eingesehen werden | Ja |
| Datenmigration aus einem Altsystem | Ja |
| Newsletter-Versand oder Tracking im Auftrag des Kunden | Ja |
| Eigene Kundendaten der Agentur, etwa im CRM | Nein, da ist die Agentur selbst Verantwortliche |
Was muss im AVV stehen?
Art. 28 Abs. 3 DSGVO schreibt den Inhalt vor. Der Vertrag legt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Kunden fest. Dazu kommen die Pflichten deiner Agentur:
- Verarbeitung nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer.
- Vertraulichkeit aller Personen, die Zugriff haben.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
- Subunternehmer nur unter den Bedingungen von Art. 28 Abs. 2 und 4.
- Unterstützung des Kunden bei Anfragen betroffener Personen.
- Unterstützung bei Sicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzung (Art. 32 bis 36 DSGVO).
- Löschung oder Rückgabe der Daten nach Vertragsende.
- Nachweise und Kontrollen, auch Inspektionen durch den Kunden.
Die meisten Kunden haben eigene Muster. Lies sie trotzdem, weil darin oft Haftungsregeln und Kontrollrechte stehen, die weit über Art. 28 DSGVO hinausgehen.
Wie gehst du mit Subunternehmern um?
Freelancer, Hoster, Monitoring-Dienste, ein Nearshoring-Team: Alles, was Zugriff auf Kundendaten hat, ist ein weiterer Auftragsverarbeiter. Die Regeln:
- Genehmigung: Du brauchst eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Kunden (Art. 28 Abs. 2 DSGVO).
- Information: Bei allgemeiner Genehmigung informierst du über jeden neuen Subunternehmer, der Kunde kann widersprechen.
- Weitergabe der Pflichten: Der Subunternehmer bekommt dieselben Datenschutzpflichten per Vertrag (Art. 28 Abs. 4 DSGVO).
- Haftung: Erfüllt der Subunternehmer seine Pflichten nicht, haftest du gegenüber dem Kunden für ihn (Art. 28 Abs. 4 Satz 2 DSGVO).
Was gilt für Teams und Dienste außerhalb der EU?
Ein Zugriff aus einem Drittland ist eine Übermittlung personenbezogener Daten. Erlaubt ist sie nur unter den Bedingungen von Art. 44 bis 49 DSGVO:
| Lage im Zielland | Was du brauchst |
|---|---|
| Angemessenheitsbeschluss der EU-Kommission, etwa Schweiz, Vereinigtes Königreich, Japan, USA für zertifizierte Unternehmen | Keine zusätzlichen Garantien für die Übermittlung (Art. 45 DSGVO) |
| Kein Angemessenheitsbeschluss, etwa Ukraine, Serbien, Indien | Geeignete Garantien, meist Standarddatenschutzklauseln (Art. 46 DSGVO) |
Für Agenturen mit Nearshoring ist das der wichtigste Punkt im AVV. Was dort sonst noch zu klären ist, steht in Nearshoring.
Was riskierst du bei Verstößen?
Für Verstöße gegen die Pflichten aus Art. 28 sieht Art. 83 Abs. 4 Buchst. a DSGVO Geldbußen vor: bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Dazu kommt die zivilrechtliche Haftung gegenüber Betroffenen nach Art. 82 Abs. 2 DSGVO. Ein Auftragsverarbeiter haftet dort, wenn er seine Pflichten aus der DSGVO verletzt oder gegen rechtmäßige Weisungen handelt.
Was bedeutet Datenschutz für Code, der deiner Agentur gehört?
Wenn du eigenen Code lizenzierst oder verkaufst, wird Datenschutz an zwei Stellen wichtig:
- Repos ohne personenbezogene Daten. Solche Daten gehören nicht in Repos, auch nicht in Testdaten, Fixtures oder alte Commits. Ein Käufer oder Lizenznehmer bekommt alles, was drinsteckt.
- Datenschutzfreundliche Bausteine. Code mit Löschfunktionen, Protokollierung, Rollenrechten und Export für Auskunftsanfragen hilft Lizenznehmern, ihre Pflichten zu erfüllen. Das erhöht den Wert.
Lizenzierst du dein Produkt als SaaS und betreibst es selbst, bist du für die Daten deiner Lizenznehmer wieder Auftragsverarbeiter und brauchst mit jedem einen AVV. Wie Lizenzmodelle aussehen, steht in Softwarelizenz. Was dein Code wert ist, steht in Was ist Code wert?.