AVV (Auftrags­verarbeitungs­vertrag)

Was ist ein Auftragsverarbeitungs­vertrag?

Der Auftragsverarbeitungs­vertrag (AVV) – auch Data Processing Agreement (DPA) genannt – ist eine Pflichtdokumentation der DSGVO. Sobald ein Veranstalter personenbezogene Daten an einen externen Dienstleister gibt, der diese in seinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor – noch vor dem ersten Datenfluss.

In der Event-Praxis fällt das oft unter den Tisch: Mit dem Druckdienstleister für Namensschilder, dem Hotel für die Zimmerkontingente, dem Catering, dem E-Mail-Versender, dem Lead-Retrieval-Anbieter – mit all diesen Partnern brauchen Veranstalter einen AVV. Wer das übersieht, läuft in Bußgeld­risiken und Reputationsschäden.

Wann ist ein AVV nötig?

Ein AVV ist erforderlich, wenn:

• Personenbezogene Daten im Spiel sind (Name, E-Mail, Kennungen, Zahlungsdaten, etc.)
• Ein Dienstleister im Auftrag des Verantwortlichen verarbeitet (kein gemeinsamer Verantwortlicher, kein eigenständiger Empfänger)
• Die Verarbeitung kein bloßes Anhängsel einer anderen Hauptleistung ist (z. B. ist ein Steuerberater Empfänger, nicht Auftragsverarbeiter)

Klassische Auftragsverarbeitende bei Events:

• Kongressmanagement-Software und SaaS-Anbieter
• E-Mail-Versanddienstleister (z. B. Newsletter-Tools)
• Druckdienstleister für Badges und Programmhefte
• Hotels und Hotelkontingent-Vermittler, soweit sie im Auftrag agieren
• Lead-Retrieval-Anbieter
• Webanalyse- und Tracking-Dienstleister
• Telefon­dienstleister für Hotlines
• Cloud-Hoster und Backup-Anbieter

Pflichtinhalte

Ein AVV muss laut Art. 28 Abs. 3 DSGVO mindestens enthalten:

• Gegenstand der Verarbeitung: Welche Daten werden wozu verarbeitet?
• Dauer der Verarbeitung: Wie lange läuft der Vertrag?
• Art und Zweck: Konkrete Operationen (Speichern, Versenden, Auswerten)
• Kategorien der betroffenen Personen (Teilnehmende, Speaker, Sponsoren)
• Pflichten und Rechte des Verantwortlichen
• Technische und organisatorische Maßnahmen (TOMs): Verschlüsselung, Zugangskontrollen, Backup, Pseudonymisierung
• Weisungsabhängigkeit: Dienstleister darf nur auf Weisung handeln
• Vertraulichkeitsverpflichtung der Mitarbeitenden
• Umgang mit Subauftragsverarbeitern – Liste oder Einzelfreigabe
• Datenübermittlung in Drittländer: Standardvertrags­klauseln, Angemessenheits­beschlüsse
• Mitwirkungs- und Unterstützungs­pflichten bei Betroffenenrechten
• Meldepflichten bei Datenpannen (innerhalb von Stunden, nicht Tagen)
• Audit-Rechte: Veranstalter darf Dienstleister überprüfen lassen
• Rückgabe oder Löschung der Daten nach Vertragsende

Subauftragsverarbeiter

Ein typischer SaaS-Anbieter arbeitet selbst mit weiteren Dienstleistern (Cloud-Hoster, E-Mail-Versand, Monitoring). Diese sind Subauftragsverarbeiter. Im AVV muss geregelt sein:

• Liste der bestehenden Subauftragsverarbeiter mit Namen, Sitz, Verarbeitungszweck
• Genehmigung weiterer Subauftragnehmer (Generell vs. Einzeln)
• Mitteilungsfrist bei Wechseln
• Widerspruchsrecht des Verantwortlichen
• Vertraglich gleichwertige Pflichten der Subauftragsverarbeiter

Häufige Praxisfehler

• Kein AVV mit dem Druckdienstleister für Namensschilder – häufige Lücke
• „Light"-AVVs ohne klar definierte TOMs
• AVV erst nach Vertragsschluss statt vorher
• Übersicht über Subauftragsverarbeiter wird nicht gepflegt
• Drittland-Datenflüsse nicht ausreichend geregelt (Vorsicht bei US-Cloud-Anbietern!)
• Veraltete Versionen in der Schublade, neue Vertragslagen nicht abgebildet

Best Practices

• AVV-Liste pflegen: Welcher Dienstleister, welcher AVV, welche Version, welches Datum?
• AVV vor dem ersten Datenfluss unterzeichnen, nicht nachträglich
• Standardvorlagen der Branche oder des eigenen Datenschutzbeauftragten nutzen
• Subauftragsverarbeiter-Übersicht des Plattform-Anbieters einsehen
• EU-Hosting bevorzugen, wo möglich – reduziert Drittland-Komplexität
• AVV als Auswahlkriterium für neue Dienstleister behandeln

Verwandte Begriffe