Auftragsverarbeitung (AVV): was geregelt ist

Warum es diesen Vertrag gibt

Sobald du Mitarbeiterdaten in einer fremden Software verarbeiten lässt, verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag — kurz AVV. Er muss vor Beginn der Verarbeitung geschlossen sein. Die Rollenverteilung darin ist der eigentliche Punkt: du bist der Verantwortliche und entscheidest über Zwecke und Mittel, wir sind der Auftragsverarbeiter und handeln auf deine Weisung. Der AVV verschiebt keine Verantwortung zu uns; er hält fest, was wir für dich tun und wie.

Was der Vertrag regelt

• Gegenstand, Dauer, Art und Zweck der Verarbeitung.
• Die Datenarten: Stammdaten, Vertragsdaten, Zeitdaten samt Korrekturen, Abwesenheiten, Dokumente der Personalakte, Geräte-Token für Benachrichtigungen.
• Die besonderen Kategorien nach Art. 9 Abs. 1 DSGVO — Gesundheitsdaten in Dokumenten der Akte — samt der Zugriffsbeschränkung, die dafür die geforderte Garantie ist.
• Dein Weisungsrecht, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Unterauftragsverarbeiter, deine Kontrollrechte.
• Die Unterstützung bei Betroffenenrechten und die Meldung von Datenschutzverletzungen.
• Löschung und Rückgabe nach Vertragsende.

Was am Ende passiert

Endet der Vertrag, verlangt Art. 28 Abs. 3 lit. g DSGVO Löschung oder Rückgabe — soweit keine Aufbewahrungspflicht entgegensteht. Genau die besteht bei dir, aus § 147 AO, § 17 MiLoG, § 16 Abs. 2 ArbZG und den GoBD. Der Vertrag löst das in drei Schritten: erst ein vollständiger, maschinenlesbarer Export deiner Daten und Dokumente, dann ein eingefrorener Zustand ohne Anmeldung und ohne weitere Verarbeitung, zuletzt die endgültige Löschung nach Ablauf der jeweiligen Frist. Die Frist wird je Dokument bestimmt, nicht pauschal für den ganzen Betrieb.

Der Stand des Dokuments

Die Fassung in der App trägt einen Hinweis am Kopf: sie ist die Gliederung des Vertrags, der verbindliche Text folgt vor dem ersten kostenpflichtigen Vertragsschluss. Solange dieser Hinweis dort steht, ist das Dokument kein geschlossener Vertrag. Wir schreiben das lieber hin, als eine Zusage zu machen, die noch nicht trägt. Frag im Zweifel nach dem aktuellen Stand, bevor du produktiv mit echten Mitarbeiterdaten startest.

Was auf deiner Seite bleibt

Der AVV erledigt deine eigenen Pflichten nicht: das Verzeichnis von Verarbeitungstätigkeiten, die Information deiner Mitarbeiter nach Art. 13 DSGVO, die Beteiligung des Betriebsrats, falls es einen gibt, und die Verfahrensdokumentation nach den GoBD. Ob dein Betrieb einen Datenschutzbeauftragten braucht und wie diese Unterlagen aussehen müssen, ist eine Frage an einen Fachkundigen — dieser Artikel beantwortet sie nicht.