Welche Voraussetzungen machen einen Auftragsverarbeitungsvertrag (AV-Vertrag) erforderlich?

Question

Welche Voraussetzungen machen einen Auftragsverarbeitungsvertrag (AV-Vertrag) erforderlich?

Antwort

Verwandte Fragen

Sollte ein Vertrag bei Verstoß des Dienstleisters mit Freistellungsklausel gekündigt werden?

Ist die Leihe von Medizingeräten ohne Wartung oder Reparatur eine Auftragsverarbeitung, wenn bei Rückgabe Patientendaten anfallen?

Gilt die zeitweise Überlassung von Medizingeräten mit Patientendaten ohne Wartung als Auftragsverarbeitung?

Dürfen externe Freelancer aus Datenschutzgründen an Vorstellungsgesprächen teilnehmen, wenn ein zukünftiges Zusammenarbeiten mit dem Bewerber vorgesehen ist?

Muss ein rechtsverbindlicher Vertrag immer schriftlich abgeschlossen werden?

Was besagt das Verbot der automatisierten Entscheidungsfindung bei Personen?

Ist Tracking ohne Einwilligung für den Betrieb einer Webseite zulässig?

Wie komme ich aus einem bestehenden Schulvertrag heraus?

Worum geht es in der DSGVO?

Müssen vertraglich vereinbarte Baunebenkosten bei der Berechnung von Verzugszinsen abgezogen werden?

Accepted Answer

Die wichtigsten Merkmale, die die Notwendigkeit eines Auftragsverarbeitungsvertrags (AV-Vertrag) gemäß Art. 28 DSGVO begründen, sind: 1. **Verarbeitung personenbezogener Daten im Auftrag**: Ein AV-Vertrag ist erforderlich, wenn ein Unternehmen (der Verantwortliche) einen externen Dienstleister (den Auftragsverarbeiter) damit beauftragt, personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen zu verarbeiten. 2. **Keine eigene Entscheidungsbefugnis des Dienstleisters**: Der Dienstleister darf die Daten nicht zu eigenen Zwecken nutzen, sondern verarbeitet sie ausschließlich im Rahmen der Weisungen des Verantwortlichen. 3. **Typische Beispiele**: Klassische Fälle sind IT-Dienstleister, Cloud-Anbieter, Lohnbuchhaltungsfirmen oder Aktenvernichter, die personenbezogene Daten im Auftrag verarbeiten. 4. **Keine gemeinsame Verantwortlichkeit**: Liegt eine gemeinsame Verantwortlichkeit vor (beide Parteien entscheiden gemeinsam über Zwecke und Mittel der Verarbeitung), ist stattdessen eine Vereinbarung nach Art. 26 DSGVO erforderlich. 5. **Rechtliche Grundlage**: Die Notwendigkeit eines AV-Vertrags ergibt sich aus Art. 28 DSGVO, sobald eine Auftragsverarbeitung vorliegt. **Fazit:** Ein AV-Vertrag ist immer dann notwendig, wenn ein externer Dienstleister personenbezogene Daten ausschließlich im Auftrag und nach Weisung eines Verantwortlichen verarbeitet und keine eigenen Zwecke verfolgt. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auftragsverarbeitung.pdf) oder beim [BfDI](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitung/Verarbeitung-AV/Verarbeitung-AV_node.html).

Accepted Answer

Ob ein Vertrag gekündigt werden sollte, wenn der Dienstleister gegen den Vertrag verstoßen hat und eine Freistellungsklausel enthalten ist, hängt von mehreren Faktoren ab: 1. **Art un... [mehr]

Accepted Answer

Ob ein Vertrag gekündigt werden sollte, wenn der Dienstleister gegen den Vertrag verstoßen hat und eine Freistellungsklausel enthalten ist, hängt von mehreren Faktoren ab: 1. **Art und Schwere des Verstoßes:** Handelt es sich um einen erheblichen Vertragsverstoß, der das Vertrauensverhältnis nachhaltig stört, kann eine Kündigung sinnvoll oder sogar notwendig sein. 2. **Freistellungsklausel:** Eine Freistellungsklausel verpflichtet den Dienstleister, dich von bestimmten Ansprüchen Dritter freizustellen, falls diese im Zusammenhang mit der Vertragserfüllung entstehen. Die Inanspruchnahme der Freistellung ist unabhängig von einer Kündigung möglich, sofern die Voraussetzungen der Klausel erfüllt sind. 3. **Zielsetzung:** Wenn du die Freistellung in Anspruch nehmen möchtest, musst du den Vertrag nicht zwingend kündigen. Die Freistellungspflicht besteht grundsätzlich auch während des laufenden Vertragsverhältnisses. 4. **Vertragliche und rechtliche Vorgaben:** Prüfe, ob der Vertrag besondere Regelungen zur Kündigung bei Pflichtverletzungen enthält (z.B. Abmahnungspflicht, Fristen) und ob eine außerordentliche Kündigung rechtlich zulässig ist. **Fazit:** Die Inanspruchnahme einer Freistellungsklausel setzt keine Kündigung voraus. Eine Kündigung kann aber sinnvoll sein, wenn das Vertrauensverhältnis nachhaltig gestört ist oder der Verstoß schwerwiegend ist. Es empfiehlt sich, die Situation rechtlich prüfen zu lassen, um die beste Vorgehensweise zu wählen und keine Ansprüche zu verlieren. Weitere Informationen zu Freistellungsklauseln findest du z.B. bei [Haufe](https://www.haufe.de/recht/deutsches-anwalt-office-premium/freistellung-arbeitsrecht_idesk_PI17574_HI1078586.html) oder [IHK](https://www.ihk.de/).

Accepted Answer

Die bloße Leihe von Medizingeräten stellt in der Regel **keine Auftragsverarbeitung** im Sinne der DSGVO dar, solange der Verleiher keine personenbezogenen Daten im Auftrag des Entleihers v... [mehr]

Accepted Answer

Die bloße Leihe von Medizingeräten stellt in der Regel **keine Auftragsverarbeitung** im Sinne der DSGVO dar, solange der Verleiher keine personenbezogenen Daten im Auftrag des Entleihers verarbeitet. Entscheidend ist, ob der Verleiher im Rahmen der Leihe Zugriff auf personenbezogene Daten (z. B. Patientendaten) erhält und diese im Auftrag des Entleihers verarbeitet. **Im beschriebenen Fall:** - Der Verleiher führt keine Wartung oder Reparatur durch, verarbeitet also während der Leihe keine Daten im Auftrag. - Erst bei Rückgabe befinden sich Patientendaten auf dem Gerät. **Bewertung:** - Wenn der Verleiher bei Rückgabe des Geräts Zugriff auf die Patientendaten erhält (z. B. weil die Daten nicht gelöscht wurden), verarbeitet er diese Daten nicht im Auftrag des Entleihers, sondern erhält sie faktisch als „Dritter“. - Das ist **keine Auftragsverarbeitung**, sondern ein Datenschutzverstoß, da Patientendaten nicht an unbefugte Dritte weitergegeben werden dürfen. **Fazit:** Die Leihe selbst ist keine Auftragsverarbeitung. Der Entleiher ist verpflichtet, vor Rückgabe des Geräts alle Patientendaten zu löschen. Geschieht das nicht und der Verleiher erhält Zugriff auf die Daten, liegt ein Datenschutzverstoß vor, aber keine Auftragsverarbeitung. Weitere Informationen zur Auftragsverarbeitung findest du z. B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/media/dskb/2018_12_05_auslegung_auftragsverarbeitung.pdf).

Accepted Answer

Die zeitweise Überlassung von Medizingeräten, auf denen sich Patientendaten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne von Art. 28 DSGVO dar, **sofern** der Empf&a... [mehr]

Accepted Answer

Die zeitweise Überlassung von Medizingeräten, auf denen sich Patientendaten befinden, stellt in der Regel **keine Auftragsverarbeitung** im Sinne von Art. 28 DSGVO dar, **sofern** der Empfänger der Geräte (z.B. ein anderes Krankenhaus oder eine Arztpraxis) die Daten **eigenverantwortlich** verarbeitet und **keine Weisungen** vom ursprünglichen Verantwortlichen erhält. **Wichtige Aspekte:** - **Auftragsverarbeitung** liegt vor, wenn ein Dienstleister personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet (z.B. Wartung, Reparatur, Fernwartung). - **Keine Auftragsverarbeitung** liegt vor, wenn der Empfänger die Daten für eigene Zwecke verarbeitet oder eigenverantwortlich handelt. **Beispiel:** - Wird ein Medizingerät samt Patientendaten an eine andere Praxis verliehen, und diese nutzt das Gerät eigenständig, ist sie für die Datenverarbeitung selbst verantwortlich. Es handelt sich dann um eine Übermittlung von Daten an einen anderen Verantwortlichen, nicht um eine Auftragsverarbeitung. - Wird das Gerät nur zur Wartung oder Reparatur an einen Dienstleister gegeben, der dabei Zugriff auf Patientendaten erhält, ist dies eine Auftragsverarbeitung. **Fazit:** Ohne Wartung, Reparatur oder eine sonstige weisungsgebundene Dienstleistung ist die bloße Überlassung eines Medizingeräts mit Patientendaten **keine Auftragsverarbeitung**, sondern eine Datenübermittlung an einen anderen Verantwortlichen. In diesem Fall sind die Vorgaben für die Übermittlung personenbezogener Daten (z.B. Rechtsgrundlage, Informationspflichten) zu beachten. **Quellen und weitere Informationen:** - [Art. 4 Nr. 8 und Art. 28 DSGVO](https://dsgvo-gesetz.de/art-28-dsgvo/) - [BayLDA: Auftragsverarbeitung und gemeinsame Verantwortlichkeit](https://www.lda.bayern.de/de/thema_auftragsverarbeitung.html) - [BfDI: Auftragsverarbeitung nach DSGVO](https://www.bfdi.bund.de/DE/Datenschutz/Themen/Verarbeitung-und-Weitergabe/Auftragsverarbeitung/auftragsverarbeitung-node.html)

Accepted Answer

Grundsätzlich ist es aus datenschutzrechtlicher Sicht möglich, dass externe Freelancer an Vorstellungsgesprächen teilnehmen, wenn sie später mit dem Bewerber zusammenarbeiten w&uum... [mehr]

Accepted Answer

Grundsätzlich ist es aus datenschutzrechtlicher Sicht möglich, dass externe Freelancer an Vorstellungsgesprächen teilnehmen, wenn sie später mit dem Bewerber zusammenarbeiten würden. Allerdings müssen dabei bestimmte Voraussetzungen beachtet werden: 1. **Vertraulichkeit und Zweckbindung:** Der Freelancer darf die im Gespräch erhaltenen Informationen ausschließlich für den Zweck der Bewerberauswahl verwenden. Es sollte sichergestellt werden, dass der Freelancer zur Vertraulichkeit verpflichtet ist, idealerweise durch eine entsprechende Verschwiegenheitserklärung oder eine Regelung im Vertrag. 2. **Rechtsgrundlage:** Die Teilnahme des Freelancers muss auf einer rechtlichen Grundlage beruhen. In der Regel ist dies das berechtigte Interesse des Unternehmens an einer fundierten Auswahlentscheidung (§ 26 BDSG, Art. 6 Abs. 1 lit. f DSGVO). Das Interesse des Bewerbers am Schutz seiner Daten muss dabei gegen das Interesse des Unternehmens abgewogen werden. 3. **Transparenz:** Der Bewerber muss vorab darüber informiert werden, dass ein externer Freelancer am Gespräch teilnimmt und zu welchem Zweck. Idealerweise wird die Einwilligung des Bewerbers eingeholt, auch wenn sie nicht zwingend erforderlich ist, erhöht dies die Rechtssicherheit. 4. **Datenminimierung:** Es sollten nur die für das Gespräch und die Auswahlentscheidung notwendigen Informationen geteilt werden. **Fazit:** Die Teilnahme externer Freelancer an Vorstellungsgesprächen ist datenschutzrechtlich zulässig, wenn Vertraulichkeit sichergestellt, der Bewerber informiert und die Daten nur zweckgebunden verwendet werden. Eine vorherige Information und ggf. Einwilligung des Bewerbers ist empfehlenswert, um Transparenz und Vertrauen zu gewährleisten. Weitere Informationen findest du z.B. bei der [Datenschutzkonferenz](https://www.datenschutzkonferenz-online.de/) oder beim [BfDI](https://www.bfdi.bund.de/).

Accepted Answer

Nein, ein rechtsverbindlicher Vertrag bedarf grundsätzlich nicht zwingend der Schriftform. Nach deutschem Recht (§ 311 BGB) können Verträge grundsätzlich formfrei, also auch m... [mehr]

Accepted Answer

Nein, ein rechtsverbindlicher Vertrag bedarf grundsätzlich nicht zwingend der Schriftform. Nach deutschem Recht (§ 311 BGB) können Verträge grundsätzlich formfrei, also auch mündlich oder durch schlüssiges Handeln (konkludent), geschlossen werden. Die Schriftform ist nur dann erforderlich, wenn das Gesetz dies ausdrücklich vorschreibt, zum Beispiel bei Grundstückskaufverträgen (§ 311b BGB), Bürgschaften (§ 766 BGB) oder bestimmten Mietverträgen (§ 550 BGB). In allen anderen Fällen ist auch ein mündlicher Vertrag rechtsverbindlich. Allerdings kann die Schriftform aus Beweisgründen sinnvoll sein.

Accepted Answer

Das Verbot automatisierter Entscheidungsfindung bei Personen bezieht sich vor allem auf Regelungen im Datenschutzrecht, insbesondere in der Datenschutz-Grundverordnung (DSGVO) der EU. Hier sind die wi... [mehr]

Accepted Answer

Das Verbot automatisierter Entscheidungsfindung bei Personen bezieht sich vor allem auf Regelungen im Datenschutzrecht, insbesondere in der Datenschutz-Grundverordnung (DSGVO) der EU. Hier sind die wichtigsten Punkte dazu: **1. Definition:** Automatisierte Entscheidungsfindung bedeutet, dass Entscheidungen, die rechtliche Wirkung entfalten oder die betroffene Person erheblich beeinträchtigen, ausschließlich auf einer automatisierten Verarbeitung – also ohne menschliches Eingreifen – beruhen. **2. Grundsatz:** Nach Art. 22 DSGVO hat jede betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. **3. Ausnahmen:** Automatisierte Entscheidungen sind nur zulässig, wenn: - sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich sind, - sie auf einer gesetzlichen Grundlage beruhen, die auch geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person vorsieht, - sie mit ausdrücklicher Einwilligung der betroffenen Person erfolgen. **4. Schutzmaßnahmen:** In den Ausnahmefällen müssen geeignete Maßnahmen zum Schutz der Rechte und Freiheiten sowie der berechtigten Interessen der betroffenen Person getroffen werden. Dazu gehören mindestens das Recht auf: - Eingreifen einer Person seitens des Verantwortlichen, - Darlegung des eigenen Standpunkts, - Anfechtung der Entscheidung. **5. Beispiele:** Typische Anwendungsfälle sind automatisierte Kreditwürdigkeitsprüfungen, Online-Bewerbungsverfahren oder Versicherungsentscheidungen, die ohne menschliches Zutun getroffen werden. **6. Ziel:** Das Verbot soll verhindern, dass Menschen durch undurchsichtige Algorithmen benachteiligt werden, ohne dass sie Einfluss nehmen oder die Entscheidung nachvollziehen können. **7. Aktuelle Diskussion:** Mit dem Aufkommen von KI-Systemen und immer komplexeren Algorithmen gewinnt das Thema weiter an Bedeutung. Es wird diskutiert, wie Transparenz, Nachvollziehbarkeit und Fairness bei automatisierten Entscheidungen sichergestellt werden können. Weitere Informationen findest du direkt im Gesetzestext der [DSGVO, Art. 22](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679) und bei Datenschutzaufsichtsbehörden.

Accepted Answer

Tracking ohne Consent (Einwilligung) ist in der EU und Deutschland grundsätzlich nur in sehr engen Grenzen zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Te... [mehr]

Accepted Answer

Tracking ohne Consent (Einwilligung) ist in der EU und Deutschland grundsätzlich nur in sehr engen Grenzen zulässig. Nach der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) ist für das Setzen und Auslesen von Cookies und ähnlichen Technologien grundsätzlich eine vorherige, informierte Einwilligung der Nutzer:innen erforderlich. **Ausnahme:** Eine Einwilligung ist nur dann nicht erforderlich, wenn das Tracking technisch unbedingt erforderlich ist, um den vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TTDSG). Das betrifft z.B.: - Warenkorb-Cookies im Online-Shop - Session-Cookies für Login-Funktionen - Sicherheitsrelevante Cookies (z.B. zur Betrugsprävention) **Nicht erlaubt ohne Consent:** Tracking zu Analyse-, Marketing- oder Werbezwecken (z.B. Google Analytics, Facebook Pixel) ist ohne Einwilligung nicht zulässig. **Fazit:** Tracking ohne Einwilligung ist nur für technisch notwendige Zwecke erlaubt, die für den Betrieb und die Funktionalität der Webseite zwingend erforderlich sind. Für alles andere ist eine aktive Einwilligung der Nutzer:innen erforderlich. Weitere Informationen: - [Datenschutzkonferenz: Orientierungshilfe Telemedien 2021 (PDF)](https://www.datenschutzkonferenz-online.de/media/oh/20211220_oh_ttdsg.pdf) - [Bundesbeauftragter für den Datenschutz: Cookies und Tracking](https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Technischer-Datenschutz/Cookies/cookies_node.html)

Accepted Answer

Um aus einem bestehenden Schulvertrag herauszukommen, solltest du folgende Schritte beachten: 1. **Vertrag prüfen:** Schau dir den Schulvertrag genau an. Achte besonders auf die Kündigungsf... [mehr]

Accepted Answer

Um aus einem bestehenden Schulvertrag herauszukommen, solltest du folgende Schritte beachten: 1. **Vertrag prüfen:** Schau dir den Schulvertrag genau an. Achte besonders auf die Kündigungsfristen, Kündigungsbedingungen und eventuelle Sonderregelungen (z.B. bei Umzug, Krankheit). 2. **Kündigungsfrist einhalten:** In den meisten Schulverträgen gibt es festgelegte Fristen, zu denen du kündigen kannst (z.B. zum Schuljahresende mit einer Frist von drei Monaten). 3. **Kündigung schriftlich einreichen:** Reiche die Kündigung immer schriftlich ein (per Brief oder E-Mail, je nach Vertragsvorgabe). Gib dabei deine persönlichen Daten, das Kündigungsdatum und den Grund (falls erforderlich) an. 4. **Sonderkündigungsrecht prüfen:** In bestimmten Fällen (z.B. Umzug, schwere Krankheit, Schulwechsel) kann ein Sonderkündigungsrecht bestehen. Auch hier lohnt sich ein Blick in den Vertrag oder eine Nachfrage bei der Schule. 5. **Bestätigung verlangen:** Bitte die Schule um eine schriftliche Bestätigung der Kündigung. 6. **Beratung einholen:** Bei Unsicherheiten kann eine Beratung durch die Verbraucherzentrale oder einen Anwalt für Vertragsrecht hilfreich sein. Wichtig: Manche Schulen verlangen bei vorzeitiger Kündigung eine Gebühr oder das Bezahlen der restlichen Vertragslaufzeit. Die genauen Bedingungen findest du im Vertrag. Weitere Informationen findest du z.B. bei der [Verbraucherzentrale](https://www.verbraucherzentrale.de/wissen/vertraege-reklamation/kundenrechte/kuendigung-von-vertraegen-so-gehts-12813).

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die den Schutz personenbezogener Daten regelt. Sie gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten. Ziel... [mehr]

Accepted Answer

Die Datenschutz-Grundverordnung (DSGVO) ist eine Verordnung der Europäischen Union, die den Schutz personenbezogener Daten regelt. Sie gilt seit dem 25. Mai 2018 in allen EU-Mitgliedstaaten. Ziel der DSGVO ist es, die Privatsphäre und die Rechte von Personen bei der Verarbeitung ihrer Daten zu stärken und zu vereinheitlichen. Kernpunkte der DSGVO sind: - **Transparenz:** Unternehmen und Organisationen müssen offenlegen, welche Daten sie erheben, wie sie diese verwenden und wie lange sie gespeichert werden. - **Rechte der Betroffenen:** Personen haben das Recht auf Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung ihrer Daten. - **Einwilligung:** Die Verarbeitung personenbezogener Daten ist in der Regel nur mit ausdrücklicher Zustimmung der betroffenen Person erlaubt. - **Datensicherheit:** Es müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um die Daten zu schützen. - **Meldepflichten:** Bei Datenschutzverletzungen müssen Unternehmen diese innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde melden. - **Strafen:** Verstöße gegen die DSGVO können mit hohen Geldbußen geahndet werden. Weitere Informationen findest du auf der offiziellen Seite der Europäischen Kommission: https://ec.europa.eu/info/law/law-topic/data-protection_de

Accepted Answer

Ob du bei der Berechnung von Verzugszinsen die vertraglich vereinbarten Baunebenkosten abziehen musst, hängt davon ab, auf welchen Betrag sich der Verzug bezieht. **Grundsätzliches:** Verzu... [mehr]

Accepted Answer

Ob du bei der Berechnung von Verzugszinsen die vertraglich vereinbarten Baunebenkosten abziehen musst, hängt davon ab, auf welchen Betrag sich der Verzug bezieht. **Grundsätzliches:** Verzugszinsen werden auf den Betrag berechnet, mit dessen Zahlung der Schuldner in Verzug ist (§ 288 BGB). Das ist in der Regel der offene Rechnungsbetrag, der fällig und nicht bezahlt wurde. **Baunebenkosten:** Wenn die Baunebenkosten Teil der offenen Forderung sind (also im Rechnungsbetrag enthalten und fällig), werden sie bei der Berechnung der Verzugszinsen mit einbezogen. Sind die Baunebenkosten hingegen noch nicht fällig, strittig oder separat zu zahlen, dürfen sie nicht in die Berechnung der Verzugszinsen einfließen. **Beispiel:** - Gesamtrechnung: 100.000 € (inkl. 10.000 € Baunebenkosten) - Alles ist fällig und unbezahlt → Verzugszinsen auf 100.000 € - Nur 90.000 € (ohne Baunebenkosten) sind fällig, 10.000 € noch nicht → Verzugszinsen nur auf 90.000 € **Fazit:** Du musst die Baunebenkosten nur dann abziehen, wenn sie nicht Teil des fälligen und offenen Betrags sind, auf den sich der Verzug bezieht. Andernfalls werden sie mitverzinst. Weitere Infos findest du z.B. bei [IHK](https://www.ihk.de/) oder [Handwerkskammern](https://www.handwerkskammer.de/).