Auftragsverarbeitung (AVV)
Die Auftragsverarbeitung (AVV) ist die Verarbeitung personenbezogener Daten durch einen weisungsgebundenen Dienstleister im Auftrag eines Verantwortlichen. Art. 28 DSGVO schreibt dafür einen schriftlichen oder elektronischen Vertrag mit festen Pflichtinhalten vor.
Sobald du als Webdesigner auf personenbezogene Daten deiner Kunden zugreifst, bist du in der Regel Auftragsverarbeiter und brauchst einen AVV. Das ist schneller der Fall, als viele denken: CMS-Zugang mit Kontaktformular-Einträgen, ein Onlineshop-Relaunch, Wartung mit Backup-Zugriff oder Tracking-Setup reichen aus. Der Vertrag nach Art. 28 DSGVO muss schriftlich oder elektronisch vorliegen und Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien sowie die technischen und organisatorischen Maßnahmen festhalten. Fehlt er, droht nicht deinem Kunden allein, sondern auch dir ein Bußgeldrisiko, das die DSGVO bei bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes ansetzt.
Praktisch landest du dabei fast immer in einer Doppelrolle. Gegenüber deinem Kunden bist du Auftragsverarbeiter, gegenüber deinem Hoster oder Tool-Anbieter brauchst du selbst einen AVV, und der Hoster wird dann als Unterauftragsverarbeiter geführt. Setzt du einen solchen Subprozessor ein, musst du dir die Genehmigung deines Kunden holen, entweder einzeln oder als allgemeine Genehmigung mit Widerspruchsrecht bei jeder Änderung. Für die Akquise ist das ein konkreter Aufhänger: Wer mit veralteter Website auch keinen sauberen AVV mit seiner alten Agentur hat, hat eine offene Flanke, die du im Erstgespräch ansprechen kannst, ohne Panik zu schüren.