Sobald ein externer Dienstleister – etwa ein Cloud-Anbieter oder ein Newsletter-Tool – personenbezogene Daten im Auftrag des Unternehmens verarbeitet, schreibt die DSGVO einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) vor.

Zentrale Bestandteile

Ein vollständiger AV-Vertrag regelt unter anderem Gegenstand und Dauer der Verarbeitung, technische und organisatorische Sicherheitsmaßnahmen des Dienstleisters sowie Melde- und Unterstützungspflichten im Fall einer Datenschutzverletzung.

Viele größere Anbieter stellen Standard-AV-Verträge bereit – diese sollten dennoch geprüft und nicht ungelesen unterschrieben werden.