AV-Vertrag
Ein AV-Vertrag ist die schriftliche Abmachung mit jedem Dienstleister, der in Ihrem Auftrag mit Daten Ihrer Kundschaft umgeht. Er hält fest, was der Dienstleister mit diesen Daten tun darf und was nicht. Sie bleiben verantwortlich, auch wenn ein anderer die Arbeit macht. Genau deshalb verlangt die DSGVO diesen Vertrag.
Das hier ist keine Rechtsberatung. Wir erklären, wofür der Vertrag da ist und wo Sie ihn bekommen. Ob Ihre Sammlung vollständig ist und ob ein bestimmter Anbieter richtig eingeordnet wurde, beurteilt eine Kanzlei für IT-Recht oder eine Datenschutzberatung. Wir richten Technik ein, wir prüfen keine Verträge.
Was das genau bedeutet
Stellen Sie sich vor, Sie geben Ihre Buchhaltung aus der Hand. Die Ordner verlassen Ihr Haus, aber die Verantwortung dafür bleibt bei Ihnen. Wenn sie im Treppenhaus liegen bleiben, hilft es Ihnen wenig, dass jemand anderes sie getragen hat. Im Datenschutz ist es genauso: Wer Daten für Sie verarbeitet, handelt in Ihrem Auftrag, und Sie bleiben nach außen verantwortlich. Der AV-Vertrag ist das Papier, das diesen Auftrag beschreibt.
Betroffen ist fast jeder Dienstleister, bei dem Daten Ihrer Kundschaft landen, ohne dass er sie für eigene Zwecke braucht. Der Hoster, auf dessen Server Ihre Kontaktformulare eingehen. Das Newsletter-Werkzeug mit Ihrer Adressliste. Die Terminbuchung, in der Namen und Telefonnummern stehen. Der Cloudspeicher, in dem Angebote liegen. Auch die Person, die Ihre Webseite betreut und dafür Zugang zum Server hat, gehört dazu.
Nicht jeder Partner fällt darunter. Ihre Steuerberatung arbeitet nach eigenen Berufspflichten und entscheidet selbst, was sie tut. Eine Bank ebenso. Die Faustregel: Wer nur ausführt, was Sie sagen, braucht einen AV-Vertrag. Wer eigene Regeln hat und eigenverantwortlich entscheidet, nicht. Im Zweifel steht die Einordnung beim Anbieter selbst, meist im Bereich Datenschutz.
Warum das für Ihr Unternehmen zählt
Der praktische Grund ist die Reihenfolge, in der gefragt wird. Kommt eine Beschwerde bei der Aufsichtsbehörde an, folgt selten sofort ein Bußgeldverfahren. Es folgt ein Schreiben mit Fragen und einer Frist. Zwei Dokumente werden dabei fast immer verlangt: das Verzeichnis Ihrer Verarbeitungen und die Verträge mit Ihren Dienstleistern. Wer beides in einem Ordner hat, antwortet an einem Nachmittag. Wer nicht, sucht zwei Wochen lang Zugangsdaten zusammen.
Der zweite Grund ist Ihre eigene Absicherung. Im Vertrag steht, dass der Anbieter Sie informieren muss, wenn bei ihm etwas schiefgeht. Ohne diese Zusage erfahren Sie von einem Einbruch beim Hoster womöglich aus der Zeitung, obwohl Sie derjenige sind, der Ihre Kundschaft benachrichtigen müsste.
Und drittens ist der Aufwand kleiner, als der Name vermuten lässt. Fast alle seriösen Anbieter halten einen fertigen Vertrag bereit, den Sie im Kundenkonto mit einem Klick abschließen oder herunterladen. Sie müssen ihn nicht schreiben, Sie müssen ihn einsammeln.
So gehen Sie vor
- Listen Sie auf, wer Zugang zu Daten Ihrer Kundschaft hat. Hoster, E-Mail-Anbieter, Newsletter-Werkzeug, Terminbuchung, Cloudspeicher, Buchhaltungsprogramm, Chatfenster auf der Webseite, Betreuung Ihrer Webseite. Wenn Sie das Verzeichnis Ihrer Verarbeitungen schon haben, steht die halbe Liste dort bereits.
- Suchen Sie beim Anbieter unter Datenschutz oder AVV. Bei den meisten liegt der Vertrag im Kundenkonto zum Herunterladen oder wird mit einem Häkchen abgeschlossen. Manche schicken ihn auf Anfrage per E-Mail. Wenn ein Anbieter gar nichts anzubieten hat, ist das ein Warnsignal.
- Prüfen Sie, wo die Daten liegen. Server in Deutschland oder in der EU sind der unkomplizierte Fall. Bei Anbietern außerhalb kommen zusätzliche Anforderungen dazu. Die Angabe steht in der Regel im Vertrag selbst oder in der Datenschutzinformation des Anbieters.
- Legen Sie alles an einer Stelle ab. Ein Ordner, digital oder auf Papier, mit einem Blatt vorne drauf: Anbieter, wofür, seit wann, wo abgelegt. Dieses Blatt ist im Ernstfall mehr wert als der dickste Vertrag, den niemand findet.
- Gehen Sie die Liste einmal im Jahr durch. Dienste kommen und gehen. Ein Werkzeug, das Sie vor zwei Jahren getestet und nie gekündigt haben, hat Ihre Daten möglicherweise immer noch. Was Sie nicht mehr nutzen, kündigen Sie und lassen die Daten löschen.
Typische Fehler
Vier Missverständnisse, die uns in Gesprächen mit kleinen Betrieben regelmäßig begegnen.
Mein Hoster ist doch seriös, reicht das nicht?
Seriosität ersetzt kein Dokument. Der Vertrag ist gerade deshalb einfach zu bekommen, weil seriöse Anbieter ihn längst vorbereitet haben. Es dauert meist zwei Minuten im Kundenkonto. Wer darauf verzichtet, spart nichts und hat im Ernstfall nichts vorzuweisen.
Ich verarbeite doch selbst gar keine Daten.
Sobald ein Kontaktformular auf Ihrer Seite steht, verarbeiten Sie Daten, und Ihr Hoster tut es für Sie mit. Auch ein Postfach bei einem E-Mail-Anbieter gehört dazu. Der Punkt ist nicht die Menge, sondern dass überhaupt Daten anderer Menschen durch fremde Hände gehen.
Wir haben das mündlich besprochen.
Die DSGVO verlangt ausdrücklich Textform. Eine mündliche Absprache mag im Alltag tragen, im Prüfungsfall zählt sie nicht. Eine E-Mail mit angehängtem Vertrag genügt und ist in fünf Minuten erledigt.
Das gilt nur für große Anbieter wie Google.
Es gilt für jeden, auch für die Nachbarin, die Ihre Webseite pflegt und dafür ein Zugangskonto hat. Gerade bei kleinen, gewachsenen Beziehungen fehlt der Vertrag am häufigsten, weil man sich kennt und nie darüber gesprochen hat.
Verwandte Begriffe
Wie wir damit umgehen
Wir sind Ihr Dienstleister für die Webseite und damit selbst ein Fall für diesen Vertrag. Sie bekommen von uns eine Übersicht darüber, welche Dienste Ihre Seite überhaupt einbindet und wohin dabei Daten fließen, in Klartext und nicht in Fachsprache. Diese Liste ist der Ausgangspunkt für Ihre Sammlung. Den Vertrag selbst schließen Sie mit jedem Anbieter direkt ab, wir sagen Ihnen nur, wen Sie fragen müssen.
Wissen Sie, wer alles an Ihre Daten kommt?
Die DSGVO-Checkliste geht Ihre Webseite Schritt für Schritt durch: welche Dienste eingebunden sind, welche Daten sie sehen und welcher Vertrag dazugehört. Eine rechtliche Prüfung ersetzt sie nicht.