AVV-Pflichten-Check

Eine Auftragsverarbeitung ist nur zulässig, wenn ein Vertrag (oder ein anderes Rechtsinstrument nach Unionsrecht oder dem Recht der Mitgliedstaaten) zwischen Verantwortlichem und Auftragsverarbeiter besteht, der die in Art. 28 Abs. 3 DSGVO genannten Mindestinhalte abbildet. Der Vertrag muss nach Art. 28 Abs. 9 DSGVO schriftlich abgefasst sein, was auch elektronisch in Textform erfolgen kann. Der Wizard prüft zehn Pflichtinhalte:

1. Rahmenfestlegung: Gegenstand und Dauer der Verarbeitung.
2. Beschreibung der Verarbeitung: Art und Zweck der Verarbeitung.
3. Datenkategorien: Art der personenbezogenen Daten.
4. Betroffenenkreise: Kategorien betroffener Personen.
5. Pflichten und Rechte des Verantwortlichen: insbesondere Weisungsrecht.
6. Weisungsbindung nach Art. 28 Abs. 3 lit. a (einschließlich Drittlandtransfer).
7. Vertraulichkeit nach lit. b (Verpflichtung der Beschäftigten).
8. Technisch-organisatorische Maßnahmen nach lit. c (Art. 32 DSGVO).
9. Subunternehmerregelung nach lit. d (Genehmigungs- bzw. Informationspflicht, Weiterreichen der AVV-Pflichten).
10. Unterstützungspflichten: Betroffenenrechte (lit. e), Art. 32–36 (lit. f), Löschung/Rückgabe (lit. g) und Nachweise/Audits (lit. h).

1. AVV-Vorlage beschreiben: Tragen Sie Vertragsgegenstand und Vertragspartner ein. Diese Angaben erscheinen im Workpaper.
2. Pflichtinhalte markieren: Ordnen Sie jedem der zehn Pflichtinhalte den Status „vorhanden", „fehlt" oder „unklar" zu und ergänzen Sie eine Notiz mit der jeweiligen Vertragsklausel oder Ziffer.
3. EDSA-Hinweise lesen: Pro Pflichtinhalt blendet der Wizard den einschlägigen Hinweis aus den EDSA-Guidelines 07/2020 ein, insbesondere zur Subunternehmerregelung und zur Reichweite der Weisungsbindung.
4. Lückenliste erzeugen: Der Wizard listet fehlende und unklare Pflichtinhalte sortiert nach Priorität auf und schlägt Formulierungsbausteine aus dem Muster-AVV des LfDI Baden-Württemberg vor.
5. Workpaper drucken: Klick auf „Druckansicht" erzeugt ein zweispaltiges Workpaper, das als Anlage zur Vertragsakte oder zur Lieferantenprüfung geeignet ist.

Datenverarbeitung: Sämtliche Eingaben werden ausschließlich lokal im Browser verarbeitet (localStorage für Wiederaufnahme, kein Server-Roundtrip). Es findet keine Übermittlung an Anbieter, Tracker oder Analyse-Dienste statt.

• Art. 28 Abs. 3 und Abs. 9 DSGVO (Verordnung (EU) 2016/679)
• EDSA-Guidelines 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter", Version 2.0 vom 07.07.2021
• Muster-Auftragsverarbeitungsvertrag des LfDI Baden-Württemberg
• Vertiefende Themenseite: Auftragsverarbeitungsvertrag