Der Auftragsverarbeitungsvertrag (AVV) ist ein nach Art. 28 DSGVO zwingend abzuschließender Vertrag zwischen einem Verantwortlichen (Veranstalter) und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Er regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Sicherheits- und Kontrollpflichten.
Rechtsgrundlage: Art. 28 DSGVO
Form: Schriftlich, auch elektronisch
Sanktionen: Bis zu 10 Mio. € / 2 % Jahresumsatz
Was ist ein Auftragsverarbeitungsvertrag?
Der Auftragsverarbeitungsvertrag (AVV) – auch Data Processing Agreement (DPA) genannt – ist eine Pflichtdokumentation der DSGVO. Sobald ein Veranstalter personenbezogene Daten an einen externen Dienstleister gibt, der diese in seinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor – noch vor dem ersten Datenfluss.
In der Event-Praxis fällt das oft unter den Tisch: Mit dem Druckdienstleister für Namensschilder, dem Hotel für die Zimmerkontingente, dem Catering, dem E-Mail-Versender, dem Lead-Retrieval-Anbieter – mit all diesen Partnern brauchen Veranstalter einen AVV. Wer das übersieht, läuft in Bußgeldrisiken und Reputationsschäden.
Wann ist ein AVV nötig?
Ein AVV ist erforderlich, wenn:
- Personenbezogene Daten im Spiel sind (Name, E-Mail, Kennungen, Zahlungsdaten, etc.)
- Ein Dienstleister im Auftrag des Verantwortlichen verarbeitet (kein gemeinsamer Verantwortlicher, kein eigenständiger Empfänger)
- Die Verarbeitung kein bloßes Anhängsel einer anderen Hauptleistung ist (z. B. ist ein Steuerberater Empfänger, nicht Auftragsverarbeiter)
Klassische Auftragsverarbeitende bei Events:
- Kongressmanagement-Software und SaaS-Anbieter
- E-Mail-Versanddienstleister (z. B. Newsletter-Tools)
- Druckdienstleister für Badges und Programmhefte
- Hotels und Hotelkontingent-Vermittler, soweit sie im Auftrag agieren
- Lead-Retrieval-Anbieter
- Webanalyse- und Tracking-Dienstleister
- Telefondienstleister für Hotlines
- Cloud-Hoster und Backup-Anbieter
Pflichtinhalte
Ein AVV muss laut Art. 28 Abs. 3 DSGVO mindestens enthalten:
- Gegenstand der Verarbeitung: Welche Daten werden wozu verarbeitet?
- Dauer der Verarbeitung: Wie lange läuft der Vertrag?
- Art und Zweck: Konkrete Operationen (Speichern, Versenden, Auswerten)
- Kategorien der betroffenen Personen (Teilnehmende, Speaker, Sponsoren)
- Pflichten und Rechte des Verantwortlichen
- Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugangskontrollen, Backup, Pseudonymisierung
- Weisungsabhängigkeit: Dienstleister darf nur auf Weisung handeln
- Vertraulichkeitsverpflichtung der Mitarbeitenden
- Umgang mit Subauftragsverarbeitern – Liste oder Einzelfreigabe
- Datenübermittlung in Drittländer: Standardvertragsklauseln, Angemessenheitsbeschlüsse
- Mitwirkungs- und Unterstützungspflichten bei Betroffenenrechten
- Meldepflichten bei Datenpannen (innerhalb von Stunden, nicht Tagen)
- Audit-Rechte: Veranstalter darf Dienstleister überprüfen lassen
- Rückgabe oder Löschung der Daten nach Vertragsende
Subauftragsverarbeiter
Ein typischer SaaS-Anbieter arbeitet selbst mit weiteren Dienstleistern (Cloud-Hoster, E-Mail-Versand, Monitoring). Diese sind Subauftragsverarbeiter. Im AVV muss geregelt sein:
- Liste der bestehenden Subauftragsverarbeiter mit Namen, Sitz, Verarbeitungszweck
- Genehmigung weiterer Subauftragnehmer (Generell vs. Einzeln)
- Mitteilungsfrist bei Wechseln
- Widerspruchsrecht des Verantwortlichen
- Vertraglich gleichwertige Pflichten der Subauftragsverarbeiter
Häufige Praxisfehler
- Kein AVV mit dem Druckdienstleister für Namensschilder – häufige Lücke
- „Light"-AVVs ohne klar definierte TOMs
- AVV erst nach Vertragsschluss statt vorher
- Übersicht über Subauftragsverarbeiter wird nicht gepflegt
- Drittland-Datenflüsse nicht ausreichend geregelt (Vorsicht bei US-Cloud-Anbietern!)
- Veraltete Versionen in der Schublade, neue Vertragslagen nicht abgebildet
Best Practices
- AVV-Liste pflegen: Welcher Dienstleister, welcher AVV, welche Version, welches Datum?
- AVV vor dem ersten Datenfluss unterzeichnen, nicht nachträglich
- Standardvorlagen der Branche oder des eigenen Datenschutzbeauftragten nutzen
- Subauftragsverarbeiter-Übersicht des Plattform-Anbieters einsehen
- EU-Hosting bevorzugen, wo möglich – reduziert Drittland-Komplexität
- AVV als Auswahlkriterium für neue Dienstleister behandeln
AVV in Converia
Converia stellt einen aktuellen, juristisch geprüften und mit den Datenschutzbeauftragten deutscher Universitäten abgestimmten Auftragsverarbeitungsvertrag bereit - im Rahmen der Allgemeinen Geschäftsbedingungen und bei Bedarf individuell anpassbar. Inklusive Subauftragsverarbeiter-Übersicht und Übersicht der Technisch-Organisatorischen-Maßnahmen.
AVV out-of-the-box, nicht als Sonderfall
Bei Converia ist der Auftragsverarbeitungsvertrag Standard, nicht Add-on – sauber dokumentiert und jederzeit abrufbar.
- DSGVO bei Events – Compliance & Recht
- Zahlungsmanagement – Ticketing & Registrierung
- Teilnehmermanagement – Ticketing & Registrierung
Juristisch geprüfter AVV im Onboarding-Prozess – inklusive Subauftragsverarbeiter-Übersicht.