Auftragsverarbeitung im SaaS: Wann ein AVV Pflicht ist

Einführung

Der Auftragsverarbeitungsvertrag (AVV) ist eines der wichtigsten Instrumente der DSGVO im B2B-SaaS-Kontext. Viele Unternehmen sind sich jedoch unsicher, wann ein AVV tatsächlich erforderlich ist und welche Inhalte er enthalten muss. Dieser Artikel klärt die wichtigsten Fragen zur Auftragsverarbeitung im SaaS und erklärt, wann ein AVV gesetzlich zwingend vorgeschrieben ist.

Dieser Artikel ist ein Supporting-Artikel zum PILLAR-Artikel "DSGVO im B2B-SaaS – Pflichten, Rollen und praktische Umsetzung", der die grundlegenden Aspekte der DSGVO im B2B-Kontext ausführlich behandelt. Für einen rechtlichen Überblick verweisen wir auf unsere Legal Overview.

Was ist Auftragsverarbeitung?

Auftragsverarbeitung liegt vor, wenn eine natürliche oder juristische Person (Auftragsverarbeiter) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8, Art. 28 DSGVO).

Die drei entscheidenden Kriterien für Auftragsverarbeitung sind:

1. Verarbeitung im Auftrag: Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene Zwecke, sondern im Auftrag des Verantwortlichen
2. Weisungsbindung: Der Auftragsverarbeiter handelt nach Weisung des Verantwortlichen und hat keine eigene Entscheidungsbefugnis über Zweck und Mittel der Verarbeitung
3. Personenbezogene Daten: Es werden personenbezogene Daten verarbeitet (nicht reine Unternehmensdaten)

Wichtig: Auftragsverarbeitung ist nicht dasselbe wie eine Dienstleistung. Nicht jede Dienstleistung, die mit Daten zu tun hat, ist automatisch Auftragsverarbeitung. Entscheidend ist, ob der Dienstleister die Daten im Auftrag des Kunden verarbeitet oder für eigene Zwecke nutzt.

Wann ist ein SaaS-Anbieter Auftragsverarbeiter?

Im SaaS-Kontext ist der SaaS-Anbieter typischerweise Auftragsverarbeiter, wenn er personenbezogene Daten im Auftrag des Kunden (Verantwortlichen) verarbeitet. Dies ist in den meisten Fällen gegeben:

Typische SaaS-Szenarien

Die folgenden Szenarien sind klassische Auftragsverarbeitung:

• CRM-Systeme: Ein CRM-System wie CrmLogical verwaltet Kundendaten im Auftrag des Kunden. Der Kunde entscheidet, welche Daten gespeichert werden, zu welchem Zweck und wie lange. Der SaaS-Anbieter verarbeitet die Daten nach diesen Weisungen.
• Security-Monitoring: Ein Security-System wie SecureLogical verarbeitet Log-Daten im Auftrag des Kunden. Der Kunde entscheidet, welche Logs erfasst werden sollen. Der SaaS-Anbieter verarbeitet die Daten nach diesen Weisungen.
• E-Mail-Marketing-Tools: Ein E-Mail-Marketing-Tool verwaltet Kontaktlisten im Auftrag des Kunden. Der Kunde entscheidet, wer kontaktiert wird. Der SaaS-Anbieter versendet die E-Mails nach diesen Weisungen.
• Cloud-Speicher: Ein Cloud-Speicher-Dienst speichert Dateien im Auftrag des Kunden. Der Kunde entscheidet, welche Dateien gespeichert werden. Der SaaS-Anbieter speichert die Dateien nach diesen Weisungen.

Abgrenzung: Wann ist ein SaaS-Anbieter kein Auftragsverarbeiter?

Ein SaaS-Anbieter ist kein Auftragsverarbeiter, wenn er die Daten für eigene Zwecke nutzt:

• Eigene Zwecke: Der SaaS-Anbieter nutzt die Daten für eigene Geschäftszwecke (z.B. Werbung, Produktentwicklung, Datenanalyse)
• Eigene Entscheidungsbefugnis: Der SaaS-Anbieter entscheidet selbst über Zweck und Mittel der Verarbeitung
• Gemeinsame Verantwortlichkeit: Kunde und SaaS-Anbieter entscheiden gemeinsam über Zweck und Mittel (dann liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor, nicht Auftragsverarbeitung)

Beispiel: Ein Analytics-Tool, das Website-Daten für eigene Zwecke analysiert und die Ergebnisse an Dritte verkauft, ist kein Auftragsverarbeiter, sondern Verantwortlicher oder gemeinsam Verantwortlicher.

Praktische Prüfung

Um zu prüfen, ob ein SaaS-Anbieter Auftragsverarbeiter ist, sollten Sie folgende Fragen stellen:

• Wer entscheidet über Zweck und Mittel der Verarbeitung? (Kunde = Verantwortlicher, SaaS-Anbieter = Auftragsverarbeiter)
• Wer hat die Kontrolle über die Daten? (Kunde = Verantwortlicher, SaaS-Anbieter = Auftragsverarbeiter)
• Wer trägt die rechtliche Verantwortung? (Kunde = Verantwortlicher, SaaS-Anbieter = Auftragsverarbeiter)
• Wer nutzt die Daten für eigene Zwecke? (Wenn SaaS-Anbieter = kein Auftragsverarbeiter)

Wann ist ein AVV gesetzlich zwingend?

Ein AVV ist nach Art. 28 Abs. 3 DSGVO gesetzlich zwingend vorgeschrieben, wenn:

1. Auftragsverarbeitung vorliegt (siehe oben)
2. Personenbezogene Daten verarbeitet werden
3. Der Auftragsverarbeiter eine natürliche oder juristische Person ist

Wichtig: Ein AVV muss vor Beginn der Datenverarbeitung geschlossen werden. Eine nachträgliche Vereinbarung ist rechtlich problematisch und kann zu Bußgeldern führen.

Kein AVV erforderlich: Ein AVV ist nicht erforderlich, wenn:

• Nur reine Unternehmensdaten ohne Personenbezug verarbeitet werden
• Keine Auftragsverarbeitung vorliegt (z.B. gemeinsame Verantwortlichkeit)
• Der Dienstleister eine Behörde ist (dann gelten andere Regelungen)

Typische Inhalte eines AVV

Ein AVV muss nach Art. 28 Abs. 3 DSGVO mindestens folgende Inhalte enthalten:

Gegenstand und Dauer der Verarbeitung

Der AVV muss klar definieren:

• Welche Daten werden verarbeitet? (Datenkategorien)
• Zu welchem Zweck werden die Daten verarbeitet? (Verarbeitungszweck)
• Wie lange werden die Daten verarbeitet? (Dauer der Verarbeitung)
• Welche Verarbeitungstätigkeiten werden durchgeführt? (Speicherung, Löschung, Übermittlung, etc.)

Art der personenbezogenen Daten und Kategorien betroffener Personen

Der AVV muss beschreiben:

• Welche Arten von personenbezogenen Daten werden verarbeitet? (z.B. Kontaktdaten, Nutzungsdaten, Log-Daten)
• Welche Kategorien betroffener Personen sind betroffen? (z.B. Kunden, Mitarbeiter, Interessenten)
• Gibt es besonders schützenswerte Daten? (z.B. Gesundheitsdaten nach Art. 9 DSGVO)

Weisungsbindung

Der AVV muss klarstellen, dass der Auftragsverarbeiter:

• Die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet
• Keine eigenen Entscheidungen über Zweck und Mittel der Verarbeitung trifft
• Bei gesetzlichen Verpflichtungen den Verantwortlichen informiert

Vertraulichkeit

Der AVV muss sicherstellen, dass:

• Alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind
• Eine angemessene gesetzliche Verschwiegenheitspflicht besteht
• Die Vertraulichkeit auch nach Beendigung des Vertragsverhältnisses fortbesteht

Technische und organisatorische Maßnahmen (TOM)

Der AVV muss die technischen und organisatorischen Maßnahmen beschreiben, die der Auftragsverarbeiter umsetzt, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Typische TOM umfassen:

• Verschlüsselung (Datenübertragung und Datenspeicherung)
• Zugriffskontrolle (Rollen, Berechtigungen, Multi-Faktor-Authentifizierung)
• Backups und Wiederherstellungsverfahren
• Monitoring und Logging
• Incident-Response-Verfahren
• Regelmäßige Sicherheitsprüfungen

Unterstützung bei Betroffenenrechten

Der AVV muss regeln, wie der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von Betroffenenrechten unterstützt (Art. 15-22 DSGVO):

• Auskunftsersuchen (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

Datenpannen

Der AVV muss regeln:

• Meldepflicht des Auftragsverarbeiters an den Verantwortlichen (ohne unangemessene Verzögerung)
• Informationspflichten bei Datenpannen
• Zusammenarbeit bei der Meldung an Aufsichtsbehörden (Art. 33 DSGVO)
• Zusammenarbeit bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO)

Löschung und Rückgabe von Daten

Der AVV muss regeln, was nach Beendigung des Vertragsverhältnisses mit den Daten passiert:

• Löschung aller personenbezogenen Daten (sofern keine gesetzliche Aufbewahrungspflicht besteht)
• Rückgabe der Daten auf Wunsch des Verantwortlichen
• Fristen für Löschung oder Rückgabe
• Nachweis der Löschung

Sub-Auftragsverarbeiter

Viele SaaS-Anbieter setzen Sub-Auftragsverarbeiter ein (z.B. Hosting-Provider, CDN, E-Mail-Dienstleister). Die Regelungen zu Sub-Auftragsverarbeitern sind in Art. 28 Abs. 2, 4 DSGVO festgelegt.

Zulässigkeit von Sub-Auftragsverarbeitern

Ein Auftragsverarbeiter darf Sub-Auftragsverarbeiter nur mit ausdrücklicher schriftlicher Genehmigung des Verantwortlichen einsetzen. Die Genehmigung kann:

• Allgemein erteilt werden (z.B. für bestimmte Kategorien von Sub-Auftragsverarbeitern)
• Einzelfallbezogen erteilt werden (z.B. für einen spezifischen Sub-Auftragsverarbeiter)
• Im AVV geregelt werden (z.B. Liste zulässiger Sub-Auftragsverarbeiter)

Pflichten bei Sub-Auftragsverarbeitern

Der Auftragsverarbeiter muss sicherstellen, dass:

• Sub-Auftragsverarbeiter die gleichen Pflichten erfüllen wie der Haupt-Auftragsverarbeiter
• Ein AVV zwischen Auftragsverarbeiter und Sub-Auftragsverarbeiter geschlossen wird
• Der Verantwortliche über geplante Änderungen bei Sub-Auftragsverarbeitern informiert wird
• Der Verantwortliche aus wichtigem datenschutzrechtlichem Grund widersprechen kann

Typische Sub-Auftragsverarbeiter im SaaS

Typische Sub-Auftragsverarbeiter im SaaS-Kontext sind:

• Hosting-Provider: Rechenzentren, Cloud-Infrastruktur (z.B. AWS, Azure, Google Cloud)
• CDN-Anbieter: Content Delivery Networks für schnelle Datenübertragung
• E-Mail-Dienstleister: E-Mail-Versand, E-Mail-Marketing
• Backup-Dienstleister: Externe Backup-Lösungen
• Monitoring-Dienstleister: System-Monitoring, Log-Analyse
• Support-Dienstleister: Externe Support-Teams mit Zugriff auf Kundendaten

Wichtig: Alle Sub-Auftragsverarbeiter müssen im AVV aufgeführt werden, und der Verantwortliche muss über Änderungen informiert werden.

Audit- und Kontrollrechte

Der Verantwortliche hat nach Art. 28 Abs. 3 lit. h DSGVO das Recht, die Einhaltung der DSGVO durch den Auftragsverarbeiter zu prüfen. Dies umfasst:

Audit-Rechte

Der Verantwortliche kann:

• Vor-Ort-Audits durchführen (nach vorheriger Ankündigung)
• Dokumentationen anfordern (TOM-Listen, Verzeichnis der Verarbeitungstätigkeiten)
• Zertifizierungen und Bescheinigungen prüfen (z.B. ISO 27001, SOC 2 Type II)
• Fragen zur Datenverarbeitung stellen

Praktische Umsetzung: Audits erfolgen typischerweise:

• Während der üblichen Geschäftszeiten
• Nach vorheriger Ankündigung (z.B. 5 Werktage Vorlauf)
• Ohne unangemessene Beeinträchtigung des Geschäftsbetriebs
• Häufig: 1x pro Jahr

Kontrollrechte

Der Verantwortliche kann:

• Die Einhaltung der TOM kontrollieren
• Die Einhaltung der Weisungen kontrollieren
• Die Einhaltung der Lösch- und Rückgabepflichten kontrollieren
• Die Einhaltung der Regelungen zu Sub-Auftragsverarbeitern kontrollieren

Nachweispflichten

Der Auftragsverarbeiter muss:

• Die Einhaltung der DSGVO nachweisen können (Art. 5 Abs. 2 DSGVO – Rechenschaftspflicht)
• Dokumentationen bereitstellen (TOM-Listen, Verzeichnis der Verarbeitungstätigkeiten)
• Zertifizierungen und Bescheinigungen vorlegen
• Auskunft über Sub-Auftragsverarbeiter geben

Praktische Umsetzung

Für die praktische Umsetzung eines AVV sollten Sie folgende Schritte beachten:

Schritt 1: Prüfung der Auftragsverarbeitung

Prüfen Sie, ob tatsächlich Auftragsverarbeitung vorliegt:

• Wer entscheidet über Zweck und Mittel der Verarbeitung?
• Werden personenbezogene Daten verarbeitet?
• Verarbeitet der SaaS-Anbieter die Daten im Auftrag des Kunden?

Schritt 2: AVV vor Vertragsbeginn

Schließen Sie den AVV vor Beginn der Datenverarbeitung:

• Als eigener Vertrag
• Als Anlage zu den AGB oder zum SLA
• Als Online-Akzeptanz im Rahmen der Registrierung

Schritt 3: Vollständigkeit prüfen

Stellen Sie sicher, dass der AVV alle in Art. 28 Abs. 3 DSGVO geforderten Punkte enthält:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Weisungsbindung
• Vertraulichkeit
• TOM
• Unterstützung bei Betroffenenrechten
• Datenpannen
• Löschung und Rückgabe
• Sub-Auftragsverarbeiter
• Audit-Rechte

Schritt 4: Dokumentation

Dokumentieren Sie:

• Den Abschluss des AVV
• Die Inhalte des AVV
• Änderungen am AVV
• Sub-Auftragsverarbeiter

Fazit

Ein AVV ist im B2B-SaaS-Kontext gesetzlich zwingend vorgeschrieben, sobald Auftragsverarbeitung vorliegt. Die wichtigsten Erkenntnisse:

• Auftragsverarbeitung liegt vor, wenn: Ein SaaS-Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet und nach dessen Weisung handelt
• Ein AVV ist zwingend: Wenn Auftragsverarbeitung vorliegt, muss ein AVV vor Beginn der Datenverarbeitung geschlossen werden
• Ein AVV muss vollständig sein: Alle in Art. 28 Abs. 3 DSGVO geforderten Punkte müssen enthalten sein
• Sub-Auftragsverarbeiter müssen geregelt werden: Der Einsatz von Sub-Auftragsverarbeitern muss im AVV geregelt werden, und der Verantwortliche muss informiert werden
• Audit-Rechte sind wichtig: Der Verantwortliche hat das Recht, die Einhaltung der DSGVO durch den Auftragsverarbeiter zu prüfen

Für eine vertiefte Behandlung der DSGVO-Pflichten im B2B-SaaS-Kontext verweisen wir auf unseren PILLAR-Artikel "DSGVO im B2B-SaaS – Pflichten, Rollen und praktische Umsetzung", der die Rollen (Verantwortlicher vs. Auftragsverarbeiter), die Pflichten beider Parteien und die praktische Umsetzung ausführlich behandelt. Für einen rechtlichen Überblick verweisen wir auf unsere Legal Overview.

Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Bei spezifischen rechtlichen Fragen sollten Sie einen qualifizierten Datenschutzberater oder Rechtsanwalt konsultieren.