AVV (Auftragsverarbeitung)
Ein AVV (Auftragsverarbeitungsvertrag) ist die nach Art. 28 DSGVO vorgeschriebene Vereinbarung zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag und nach dessen Weisung verarbeitet. Er regelt Gegenstand, Zweck, Datenarten und die Pflichten des Auftragsverarbeiters.
Für dich als Webdesigner ist der AVV kein abstraktes Jura-Thema, sondern ein Vertrag, den du gleich in zwei Richtungen brauchst. Sobald du eine Kundenwebsite hostest, wartest, Backups ziehst oder ein Kontaktformular betreust, verarbeitest du personenbezogene Daten im Auftrag deines Kunden. Dein Kunde bleibt der Verantwortliche, der entscheidet, wofür die Daten genutzt werden, du bist weisungsgebunden und damit Auftragsverarbeiter. Genau dann verlangt Art. 28 DSGVO einen schriftlichen (oder elektronischen) Vertrag. Inhaltlich legt der AVV unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, die betroffenen Datenkategorien, deine Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, den Umgang mit Unterauftragsverarbeitern und die Löschung oder Rückgabe der Daten nach Projektende fest.
Die zweite Richtung wird im Akquisegespräch gern vergessen: Den Hoster, den du für deinen Kunden einsetzt, schaltest du als Unterauftragsverarbeiter ein, also brauchst du auch mit ihm einen AVV. Seriöse Anbieter stellen den per Klick im Kundenkonto bereit. Für deine Positionierung ist das sogar ein Verkaufsargument. Wenn du dem Kunden beim Onboarding einen fertigen AVV mitlieferst und erklärst, dass sein Hoster vertraglich sauber eingebunden ist, wirkst du wie der Profi, der Verantwortung abnimmt, statt sie beim Kunden zu lassen. Fehlt der Vertrag, haftet im Zweifel der Verantwortliche, und Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes stehen im Raum, ein Risiko, das du in deinem Angebot bewusst entschärfst.