Der Vertrag, den fast jeder vergisst — und warum er über Ihre Cloud-Tools entscheidet

Eine Steuerberaterin rief mich neulich an. Sie hatte gerade eine Anfrage von einem Mandanten bekommen: Wo genau liegen meine Daten eigentlich? Wer kommt da dran? Und sie merkte in dem Moment, dass sie es selbst nicht sicher beantworten konnte. Buchhaltungssoftware in der Cloud, ein Newsletter-Tool, der Kalender vom großen Anbieter, dazu ein Chat fürs Team. Alles läuft. Aber für welches dieser Tools gab es eigentlich einen Vertrag? Sie wusste es nicht. Und das ist völlig normal.

Genau darum geht es beim Auftragsverarbeitungsvertrag, kurz AVV. Das Wort klingt nach Aktenordner. Dahinter steckt aber etwas sehr Praktisches.

Was ein AVV überhaupt regelt

Immer wenn ein externer Dienstleister personenbezogene Daten für Sie verarbeitet, statt sie für eigene Zwecke zu nutzen, brauchen Sie mit ihm einen AVV. Der Dienstleister handelt dann in Ihrem Auftrag, nach Ihren Weisungen. Der Vertrag legt fest, was er mit den Daten darf, was nicht, wie er sie schützt und was passiert, wenn etwas schiefgeht. Sie bleiben verantwortlich, aber Sie haben es schriftlich, dass der andere sich an die Regeln hält.

Das Entscheidende: Personenbezogene Daten sind nicht nur die Ihrer Kunden. Es sind auch die Ihrer Mitarbeiter, Ihrer Bewerber, Ihrer Lieferanten. Fast jedes Tool, in das Sie einen Namen oder eine E-Mail-Adresse eintragen, verarbeitet solche Daten.

Für welche Tools Sie fast sicher einen brauchen

Gehen Sie einmal gedanklich durch Ihren Arbeitstag. Die Kandidaten sind fast immer dieselben:

Cloud-Speicher und Office-Pakete, in denen Dokumente mit Namen liegen. E-Mail- und Newsletter-Dienste. Ihre Buchhaltungs- oder Lohnsoftware, wenn sie in der Cloud läuft. CRM-Systeme und Kontaktverwaltungen. Der Webshop und das Bezahlsystem. Terminbuchungs-Tools. Chat- und Videokonferenz-Programme fürs Team. Und der oft übersehene Klassiker: die IT-Firma, die Ihre Server oder Rechner fernwartet und dabei theoretisch an alles herankommt.

Ein Handwerksbetrieb, mit dem ich gearbeitet habe, war überzeugt, kaum Datenschutz-Themen zu haben. Am Ende standen fünfzehn Dienstleister auf der Liste. Vom Online-Terminkalender bis zur Backup-Firma. Das ist keine Ausnahme. Das ist die Regel.

Gute Nachricht: In den allermeisten Fällen müssen Sie den Vertrag nicht selbst aufsetzen. Seriöse Anbieter stellen einen fertigen AVV bereit. Bei manchen bestätigen Sie ihn mit einem Klick in den Einstellungen, bei anderen finden Sie ihn im Kundenkonto zum Download. Ihre Aufgabe ist nicht, Verträge zu schreiben. Ihre Aufgabe ist, keinen zu vergessen.

Wie Sie keinen übersehen

Der einfachste Weg ist eine simple Liste. Nehmen Sie ein Blatt oder eine Tabelle und schreiben Sie jedes Tool auf, das Daten für Sie verarbeitet. Drei Spalten reichen für den Anfang: Welches Tool. Welche Daten laufen da durch. AVV vorhanden, ja oder nein.

Damit die Liste vollständig wird, hilft ein Trick: Schauen Sie in Ihre Kontoauszüge und in die Kreditkartenabrechnung der Firma. Jede monatliche Abbuchung an einen Software-Anbieter ist ein Kandidat. Software, die niemand mehr auf dem Schirm hat, taucht dort trotzdem zuverlässig auf. So finden Sie auch die Tools, die eine einzelne Abteilung mal eben selbst abonniert hat.

Diese Liste ist übrigens kein reiner Datenschutz-Selbstzweck. Sie ist gleichzeitig ein Teil Ihres Verzeichnisses der Verarbeitungstätigkeiten, das ohnehin fast jeder Betrieb führen muss. Sie erledigen also zwei Dinge auf einmal.

Was es kostet, das liegen zu lassen

Ein fehlender AVV ist ein eigenständiger Verstoß. Nicht erst, wenn Daten abhandenkommen, sondern schon, weil der Vertrag fehlt. Die Aufsichtsbehörden fragen bei einer Prüfung sehr konkret danach, und es ist eines der Dinge, die sich nicht wegdiskutieren lassen: Der Vertrag ist da, oder er ist es nicht.

Der teurere Fall ist ein anderer. Wenn bei Ihrem Dienstleister etwas passiert, ein Datenleck, ein Hackerangriff, dann ist der AVV das Papier, das Ihre Rolle sauber von seiner trennt. Ohne diesen Vertrag stehen Sie schnell allein da für einen Fehler, den ein anderer gemacht hat. Und dann wird aus einer halben Stunde Aufräumarbeit ein echtes Problem.

Was ich Ihnen raten würde

Setzen Sie sich einmal eine ruhige Stunde hin und machen Sie diese Liste. Nur die Liste, mehr nicht. Sie werden überrascht sein, wie viele Tools zusammenkommen, und Sie werden bei den meisten feststellen, dass der AVV mit ein paar Klicks vorhanden ist. Die zwei, drei Lücken, die übrig bleiben, sind dann genau die, um die es sich zu kümmern lohnt.

Wenn Sie unsicher sind, ob Ihre Liste vollständig ist oder ob ein bestimmtes Tool wirklich einen AVV braucht, schauen wir da gern gemeinsam drauf. Das kostenlose Erstgespräch ist genau dafür da.