Recht und Abrechnung
Verantwortlicher, Auftragsverarbeiter und der AVV
Nach der DSGVO ist der Kunde, der entscheidet, was mit personenbezogenen Daten geschieht, der Verantwortliche; der Hoster, der sie in seinem Auftrag speichert, ist der Auftragsverarbeiter; der AVV ist der Vertrag zwischen beiden.
Die DSGVO verteilt Rollen. Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden: das Unternehmen, das eine Website oder ein Postfach betreibt. Der Auftragsverarbeiter verarbeitet die Daten nach Weisung des Verantwortlichen: der Hosting-Anbieter, der sie speichert. Beide haben Pflichten; die des Verantwortlichen sind umfassender, die des Auftragsverarbeiters betreffen vor allem Sicherheit, Vertraulichkeit und die Beschränkung auf das, was ihm aufgetragen wurde.
Artikel 28 verlangt einen schriftlichen Vertrag zwischen beiden, den Auftragsverarbeitungsvertrag (AVV). Er legt fest, was verarbeitet wird, wie lange, welche Sicherheitsmaßnahmen gelten, was am Ende geschieht und welche Unterauftragsverarbeiter der Auftragsverarbeiter einsetzen darf. Der AVV eines Hosters sollte veröffentlicht sein und seine Unterauftragsverarbeiter aufführen, denn jeder davon ist ein Unternehmen, das mit Ihren Daten in Berührung kommen kann.
Für einen Kunden sind die praktischen Prüfpunkte: Gibt es einen AVV, wer steht auf der Liste der Unterauftragsverarbeiter, wo werden die Daten verarbeitet, und nach welchem Recht. Eine kurze Liste und eine einzige Gerichtsbarkeit machen den Eintrag im Verarbeitungsverzeichnis kurz.