Auftragsverarbeitung

Auftragsverarbeitung heißt: Ein Dienstleister verarbeitet personenbezogene Daten für dich, nach deiner Weisung, ohne eigenen Zweck. Dafür braucht es einen Vertrag, den AV-Vertrag.

Die Abgrenzung ist wichtiger als die Definition, weil hier fast immer dasselbe durcheinandergeht. Die Faustregel: Entscheidet der Dienstleister selbst über den Zweck, ist er eigenständig verantwortlich. Führt er nur aus, ist er Auftragsverarbeiter.

Ein Beispiel aus meinem Alltag. Shopify speichert Kundendaten nach meiner Weisung, das ist Auftragsverarbeitung. Genauso der Hoster und das Newsletter-Tool. Der Paketdienst dagegen entscheidet selbst, wie er zustellt, und verfolgt einen eigenen Zweck. Er ist eigenständig verantwortlich, und dafür braucht es keinen AV-Vertrag. Dasselbe gilt, wenn ich bei einer Druckerei bestelle und die Lieferadresse meines Kunden angebe.

Und dann der Teil, der mich selbst betrifft: Sobald ich für einen Kunden Zugriff auf dessen Shop- oder Newsletterdaten habe, bin ich sein Auftragsverarbeiter. In der Pflicht ist dabei rechtlich der Kunde, nicht ich. In der Praxis kommt darauf fast nie jemand von selbst.

Deshalb der ehrliche Teil: Dieses Thema wird in kleinen Unternehmen weitgehend nicht gelebt, obwohl es Pflicht ist. Wer den Vertrag von sich aus mitbringt, statt darauf zu warten, macht es beiden Seiten leichter.

Ein Hinweis, den ich mir nicht spare: Das ist meine Einordnung aus der Praxis, keine Rechtsberatung. Bevor du eine Vorlage in Umlauf bringst, lass sie einmal von jemandem prüfen, der dafür haftet.