Auftragsverarbeitung nach Art. 28 DSGVO: die Checkliste

Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet – wie bei einer SaaS für Mitarbeiterbefragungen – ist ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO Pflicht. Diese Checkliste zeigt, worauf es ankommt.

Das gehört in einen AVV

• Gegenstand, Dauer, Art & Zweck der Verarbeitung.
• Kategorien betroffener Personen und Datenarten.
• Weisungsbindung: Verarbeitung nur nach dokumentierter Weisung.
• Vertraulichkeit: Verpflichtung der eingesetzten Personen.
• TOM: technische und organisatorische Maßnahmen (Art. 32) als Anhang.
• Unterauftragsverarbeiter: Genehmigung, Informationspflicht, Widerspruchsrecht.
• Unterstützungspflichten: bei Betroffenenrechten, Datenschutz-Folgenabschätzung und Meldepflichten (Art. 33/34).
• Löschung/Rückgabe der Daten nach Vertragsende.
• Nachweise/Audit: Kontrollrechte des Verantwortlichen.

Worauf KMU besonders achten sollten

• Serverstandort: idealerweise Deutschland/EU, kein Drittlandtransfer ohne Grundlage.
• Verschlüsselung in Transport und Ablage, sichere Passwort-Verfahren.
• Klares Löschkonzept mit Fristen.
• Data-Breach-Meldung innerhalb definierter Fristen.

Rollenklarheit

Bei Mitarbeiterbefragungen ist in der Regel das Unternehmen der Verantwortliche, der Plattform-Anbieter der Auftragsverarbeiter. Der AVV hält diese Rollen und Pflichten verbindlich fest. Worksonar stellt AVV inkl. TOM bereit – so ist die Zusammenarbeit von Anfang an rechtssicher aufgesetzt.

Dieser Beitrag ersetzt keine Rechtsberatung, gibt aber den praktischen Rahmen vor.