Auftragsverarbeitungsvertrag (AVV): Mit wem muss ein Betreuungsdienst einen schließen?

Was ist ein AVV?

Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO regelt die Datenverarbeitung durch Dritte im Auftrag des Verantwortlichen (Sie). Sobald ein externer Dienstleister mit personenbezogenen Daten Ihrer Klienten oder Mitarbeiter in Berührung kommt, ist ein AVV Pflicht.

Mit wem brauchen Sie einen AVV?

Pflicht-Fälle

• Pflegesoftware-Anbieter (z.B. Alltagora, Medifox, snap)
• Cloud-Speicher (Dropbox, OneDrive, etc. — falls genutzt)
• Buchhaltungssoftware mit Klientendaten
• E-Mail-Anbieter, der Mails mit Klientendaten verarbeitet
• Newsletter-Tool (für Klienten/Angehörige)
• Telefonanlagen-Provider mit Aufzeichnung

KEIN AVV nötig

• Steuerberater oder Anwalt (eigenständige Verantwortliche, andere Rechtsgrundlage)
• Anbieter, die nur eigene Daten verarbeiten (z.B. allgemeine Bürosoftware ohne Klientenbezug)

Pflichtinhalte eines AVV

Art. 28 Abs. 3 DSGVO listet die Mindestinhalte:

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung
3. Art der personenbezogenen Daten
4. Kategorien betroffener Personen
5. Pflichten und Rechte des Verantwortlichen
6. Weisungsbindung des Auftragsverarbeiters
7. Vertraulichkeitsverpflichtung
8. Technische und organisatorische Maßnahmen (TOM)
9. Unterauftragsverhältnisse
10. Unterstützung bei DSGVO-Anfragen (Art. 32-36)
11. Lösch- oder Rückgabe-Pflicht
12. Audit-Rechte

Praktische Umsetzung

Die meisten seriösen Anbieter haben fertige AVV-Vorlagen — Sie müssen oft nur prüfen und unterschreiben.

Was beim AVV-Check schiefgeht

• Veraltete Vorlagen (vor DSGVO-Anpassung 2018)
• Unklare TOMs (Technische und organisatorische Maßnahmen)
• Drittlandsübermittlung außerhalb EU/EWR ohne ausreichende Schutzgarantien
• Unterauftragnehmer ohne Listing

Verzeichnis der Verarbeitungstätigkeiten

Zusätzlich zum AVV: Sie müssen ein eigenes Verarbeitungsverzeichnis nach Art. 30 DSGVO führen. Darin: alle Datenverarbeitungen, Zweck, Rechtsgrundlage, Empfänger, Lösch-Fristen.