Wird geladen…
Data Processing Agreement · Art. 28 DSGVO AVV · GDPR DPA
Ein Auftragsverarbeitungsvertrag (AVV, englisch Data Processing Agreement / DPA) ist ein Vertrag zwischen Verantwortlichem und Auftragsverarbeiter, der regelt, wie personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden dürfen. Nach Art. 28 DSGVO ist ein AVV verpflichtend, sobald ein Verantwortlicher einen Auftragsverarbeiter einsetzt, und muss Gegenstand, Dauer, Umfang und Pflichten des Verarbeiters regeln.
Ein AVV übersetzt die abstrakten Verarbeiterpflichten der DSGVO in konkrete vertragliche Zusagen. Er legt fest, welche Daten verarbeitet werden und warum, wie lange, wer als Unterauftragsverarbeiter gilt und wie er freigegeben wird, welche Sicherheitsmaßnahmen gelten, wie Datenpannen gemeldet werden, wie Auditrechte funktionieren, was bei Vertragsende geschieht und wie internationale Übermittlungen gehandhabt werden. Für jeden SaaS-Anbieter, der personenbezogene Daten für EU-Kunden speichert oder verarbeitet, ist ein konformer AVV eine Vertriebsvoraussetzung — Einkaufsteams unterschreiben sonst nicht. Für Kunden macht der AVV den Anbieter rechtlich verantwortlich für die Sicherheitsversprechen, die die Marketing-Seiten geben.
DSGVO-Bußgelder werden als Prozentsatz des globalen Umsatzes berechnet, und AVVs sind der vertragliche Haupthebel, mit dem Verantwortliche Compliance-Risiko allokieren. Ein schwacher AVV lässt den Verantwortlichen ungeschützt, wenn der Verarbeiter Daten falsch behandelt; ein starker AVV erzwingt konkrete Sicherheitszusagen, Auditrechte und schnelle Meldung. Für Anbieter ist AVV-Qualität ein Prädiktor der Dealgröße: Enterprise-Kunden fordern ausgereifte AVVs mit konkreter Subunternehmerliste, Auditrechten und definierten Meldefristen. Eine generische Vorlage besteht den Enterprise-Einkauf nicht mehr.
Attorly liefert einen Art.-28-DSGVO-konformen AVV mit Verschlüsselung im Ruhezustand und bei Übertragung, Bring-Your-Own-Key auf Enterprise und Meldung innerhalb von 72 Stunden.
Attorlys AVV ansehen