Auftragsverarbeitungsvertrag (AVV)
Ein Auftragsverarbeitungsvertrag regelt, was ein Dienstleister mit personenbezogenen Daten tun darf, die er im Auftrag verarbeitet. Wer eine Eventsoftware einsetzt, braucht ihn zwingend: Der Anbieter speichert Teilnehmerdaten, entscheidet aber nicht über deren Zweck. Diese Verantwortung bleibt beim Veranstalter.
Wann ein AVV nötig ist und wann nicht
Maßgeblich ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Der Veranstalter legt fest, welche Daten er erhebt und wofür. Der Softwareanbieter speichert sie nur und führt aus, was das System vorsieht. Genau diese Konstellation nennt Artikel 28 DSGVO Auftragsverarbeitung, und sie verlangt einen schriftlichen Vertrag.
Ein AVV ist also fällig bei jedem Dienst, der Teilnehmerdaten technisch verarbeitet: die Eventplattform selbst, der Newsletter-Versender, der Cloud-Speicher, in dem die Teilnehmerliste liegt, der Zahlungsdienstleister beim Ticketing. Nicht nötig ist er dort, wo der Partner eigenverantwortlich handelt. Ein Steuerberater oder ein Rechtsanwalt entscheidet selbst über seine Verarbeitung und ist deshalb kein Auftragsverarbeiter. Ein Caterer, der nur eine Namensliste für die Sitzordnung bekommt, liegt dazwischen und wird in der Praxis meist als Auftragsverarbeiter behandelt.
Was nach Artikel 28 drinstehen muss
Der Gesetzestext gibt den Inhalt ziemlich genau vor. Ein Vertrag, dem einer dieser Punkte fehlt, ist unvollständig: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen, die Weisungsbindung des Auftragnehmers, die Vertraulichkeitsverpflichtung der eingesetzten Mitarbeitenden, die technischen und organisatorischen Maßnahmen nach Artikel 32, die Regeln für Unterauftragnehmer, die Unterstützung bei Betroffenenrechten, das Vorgehen nach Vertragsende und die Duldung von Kontrollen.
Den vollständigen Katalog finden Sie in Artikel 28 DSGVO. Wer ein Angebot prüft, geht ihn am besten Punkt für Punkt durch, statt auf das Wort AVV im Betreff zu vertrauen.
Die Kette hinter dem Anbieter
Kaum ein Anbieter betreibt alles selbst. Hinter der Eventplattform stehen ein Rechenzentrum, ein Mailversender, oft ein Fehler-Tracking. Jeder davon ist ein Unterauftragsverarbeiter, und jeder muss im AVV benannt sein. Wichtig ist die Regel für Änderungen: Sie sollten über neue Unterauftragnehmer informiert werden und widersprechen können, bevor sie eingesetzt werden.
Hier entscheidet sich auch die Frage des Serverstandorts. Ein deutscher Anbieter, dessen Rechenzentrum in Deutschland steht, dessen Mailversand aber über einen US-Dienst läuft, verarbeitet Teilnehmerdaten trotzdem teilweise in den USA. Für Hochschulen und öffentliche Träger ist das oft der Punkt, an dem eine Beschaffung scheitert.
Woran man einen schlechten AVV erkennt
Drei Warnzeichen tauchen immer wieder auf. Erstens eine Pauschalzustimmung zu künftigen Unterauftragnehmern ohne Widerspruchsmöglichkeit. Zweitens technische Maßnahmen, die nur aus Schlagworten bestehen statt aus prüfbaren Angaben; wie ein brauchbarer Abschnitt aussieht, steht unter TOM. Drittens eine Löschregel, die dem Anbieter die Wahl lässt zwischen Löschen und Rückgabe, ohne Frist. Die Frist gehört zu Ihrem Löschkonzept, nicht in sein Ermessen.
Wer unterschreibt
Verantwortlicher ist die Organisation, nicht die Person, die das Event plant. Bei einer Hochschule ist das die Hochschule, vertreten durch die Leitung oder eine bevollmächtigte Stelle, nicht der Career Service. Wer den AVV unterschreibt, ohne dazu bevollmächtigt zu sein, schafft keine Rechtssicherheit, sondern nur ein Dokument. Ziehen Sie die oder den Datenschutzbeauftragten früh hinzu, gerade weil deren Rückfragen erfahrungsgemäß länger dauern als das Ausfüllen des Vertrags.
Wie sich AVV, Rechtsgrundlage und Löschkonzept zusammenfügen, steht im Überblickseintrag DSGVO im Eventkontext.
Häufige Fragen
Reicht es, wenn der Anbieter einen AVV auf seiner Website bereitstellt?
Bereitstellen genügt nicht, er muss geschlossen werden. Üblich ist ein Abschluss im Kundenkonto oder per Unterschrift. Entscheidend ist, dass Sie den Abschluss belegen können, wenn die Aufsichtsbehörde fragt.
Brauche ich einen AVV mit dem Caterer?
Wenn er nur Essen liefert, nein. Sobald er eine Teilnehmerliste bekommt, etwa für Unverträglichkeiten oder die Sitzordnung, verarbeitet er personenbezogene Daten in Ihrem Auftrag, und dann ja.
Was passiert, wenn kein AVV vorliegt?
Der Verstoß liegt bei Ihnen, nicht beim Anbieter. Die Pflicht trifft den Verantwortlichen. Ein fehlender AVV ist einer der Punkte, die bei einer Prüfung zuerst auffallen, weil er sich in zwei Minuten feststellen lässt.
Gilt ein AVV auch für kostenlose Tools?
Ja. Ob Sie zahlen, spielt keine Rolle. Viele kostenlose Umfrage- und Formulardienste bieten gar keinen AVV an, und genau das macht sie für Veranstaltungen mit Teilnehmerdaten unbrauchbar.
