AVV für Eventsoftware: die Checkliste vor der Unterschrift
Der Auftragsverarbeitungsvertrag ist das Dokument, das am häufigsten unterschrieben und am seltensten gelesen wird. Dabei entscheidet er darüber, was mit Ihren Teilnehmerdaten passieren darf und was Sie im Ernstfall in der Hand haben. Diese Checkliste geht ihn Punkt für Punkt durch, mit den Stellen, an denen sich Nachverhandeln lohnt.
Warum der AVV vor die Softwareauswahl gehört
Die übliche Reihenfolge lautet: Software auswählen, Vertrag schließen, dann den Auftragsverarbeitungsvertrag hinterherschieben. Das ist die falsche Reihenfolge, denn im AVV stehen genau die Angaben, an denen eine Auswahl scheitern kann: Serverstandort, Unterauftragnehmer, Löschregeln. Wer ihn erst nach der Entscheidung liest, hat keinen Verhandlungsspielraum mehr.
Für öffentliche Träger gilt das doppelt. Verlangen Sie den AVV als Anlage zum Angebot, nicht nach Zuschlag. Ein Anbieter, der ihn erst danach herausgibt, verschiebt eine Prüfung, die zur Auswahl gehört. Wie sich das in einer Leistungsbeschreibung formulieren lässt, steht unter Datenschutz in der Leistungsbeschreibung.
Die Pflichtinhalte nach Artikel 28
Artikel 28 DSGVO gibt vor, was ein AVV enthalten muss. Fehlt einer dieser Punkte, ist er unvollständig, und die Verantwortung dafür liegt bei Ihnen als Verantwortlichem, nicht beim Anbieter.
Die Checkliste
Gehen Sie das Dokument mit diesen Fragen durch. Jede lässt sich mit Ja oder Nein beantworten.
- Gegenstand und Dauer: Steht dort, worum es geht und wie lange? Ein AVV ohne Laufzeitregelung läuft ins Leere, sobald der Hauptvertrag endet.
- Art und Zweck: Ist beschrieben, welche Verarbeitungen der Anbieter vornimmt, oder steht dort nur „Bereitstellung der Software“?
- Datenkategorien und Betroffenengruppen: Sind Teilnehmende, Aussteller und Referierende einzeln genannt? Bei Veranstaltungen sind das drei Gruppen mit verschiedenen Datensätzen.
- Weisungsbindung: Steht dort ausdrücklich, dass der Anbieter nur auf Ihre Weisung verarbeitet?
- Vertraulichkeit: Sind die Mitarbeitenden des Anbieters zur Vertraulichkeit verpflichtet?
- Technische Maßnahmen: Gibt es eine TOM-Anlage, und enthält sie prüfbare Angaben statt Schlagworten?
- Unterauftragnehmer: Sind sie namentlich aufgeführt, mit Sitz und Leistung?
- Unterstützungspflicht: Sagt der Vertrag zu, dass der Anbieter Sie bei Betroffenenanfragen unterstützt, und in welcher Frist?
- Meldung von Vorfällen: Innerhalb welcher Zeit informiert der Anbieter Sie über eine Datenschutzverletzung? Sie selbst haben 72 Stunden gegenüber der Aufsichtsbehörde, also brauchen Sie deutlich weniger.
- Ende der Verarbeitung: Was geschieht mit den Daten nach Vertragsende, und innerhalb welcher Frist?
- Kontrollrechte: Dürfen Sie prüfen, und wie? Ein Zertifikat oder ein Prüfbericht kann eine Vor-Ort-Kontrolle ersetzen, wenn das so vereinbart ist.
Drei Klauseln, bei denen Nachverhandeln lohnt
Die Pauschalzustimmung zu Unterauftragnehmern. Häufig steht dort, dass der Anbieter jederzeit weitere hinzuziehen darf und Sie nur informiert werden. Verlangen Sie eine Vorankündigung mit Widerspruchsmöglichkeit und einer Frist. Ohne sie können Ihre Daten von heute auf morgen in einer Jurisdiktion liegen, die Sie ausgeschlossen hätten.
Die offene Löschregel. „Nach Beendigung werden die Daten gelöscht oder zurückgegeben“ überlässt dem Anbieter die Wahl und nennt keine Frist. Setzen Sie beides fest: Ihr Wahlrecht und eine konkrete Zahl von Tagen. Das gehört zu Ihrem Löschkonzept.
Die Meldefrist bei Vorfällen. Formulierungen wie „unverzüglich“ sind auslegungsfähig. Eine Zahl ist besser: 24 Stunden nach Kenntnis ist üblich und lässt Ihnen genug Zeit für Ihre eigene 72-Stunden-Frist.
Serverstandort ist mehr als der Serverstandort
Die Frage „Wo stehen die Server?“ wird oft mit „Deutschland“ beantwortet, und das stimmt dann auch, für die Datenbank. Entscheidend ist die ganze Kette. Fragen Sie gezielt nach: dem Versand von Bestätigungs- und Erinnerungsmails, dem Fehler- und Absturz-Tracking, der Suchfunktion, dem Support-Werkzeug, in dem Ihre Tickets landen, und den Sicherungskopien.
In der Praxis ist der Mailversand der häufigste Bruch in der Kette. Wenn er über einen US-Dienst läuft, verlassen E-Mail-Adresse und Name Ihrer Teilnehmenden die EU, unabhängig davon, wo die Datenbank steht.
Wer unterschreibt, und wie lange es dauert
Unterschreiben muss die Organisation, vertreten durch eine bevollmächtigte Stelle. Bei Hochschulen ist das in der Regel die Verwaltung, nicht die Fakultät oder der Career Service. Ziehen Sie die Datenschutzbeauftragung früh hinzu, weil deren Rückfragen den Zeitplan bestimmen und nicht das Ausfüllen des Vertrags.
Realistisch sind zwei bis sechs Wochen von der ersten Vorlage bis zur Unterschrift, bei öffentlichen Trägern eher am oberen Ende. Wer den AVV erst vier Wochen vor der Veranstaltung anfasst, hat ein Terminproblem und keinen Verhandlungsspielraum mehr.
Den größeren Zusammenhang, von der Rechtsgrundlage bis zur Ausschreibung, beschreibt der Leitfaden Datenschutz bei Veranstaltungen.
Dieser Text gibt einen Überblick und ersetzt keine Rechtsberatung. Lassen Sie Vertragsentwürfe im Zweifel juristisch prüfen.
