Hosting-Standort und AVV: worauf Sie bei Cloud-Software achten
Ein Auftragsverarbeitungsvertrag ist Pflicht, sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet. Was darin stehen muss und warum der Serverstandort allein nichts entscheidet.
6 Minuten Lesezeit
Sobald ein Softwareanbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, und das tut er, sobald Kundennamen oder Mitarbeitendendaten in seinem System liegen, brauchen Sie einen Vertrag nach Art. 28 DSGVO.
Verantwortlich bleiben Sie. Der Anbieter ist Auftragsverarbeiter. Fehlt der Vertrag, ist das ein eigenständiger Verstoß, unabhängig davon, ob etwas passiert ist.
Was im Vertrag stehen muss
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Die Kategorien betroffener Personen und der Daten
- Technische und organisatorische Maßnahmen, konkret und nicht als Schlagwortliste
- Regelungen zu Unterauftragsverarbeitern, mit Namen und Sitz
- Löschung oder Rückgabe nach Vertragsende
- Unterstützungspflichten bei Auskunftsersuchen und Datenpannen
Warum der Serverstandort nicht alles beantwortet
Ein amerikanischer Anbieter kann Server in Frankfurt betreiben. Der Konzern unterliegt trotzdem amerikanischem Recht, und der Zugriff auf Daten durch Mutterunternehmen oder Behörden ist damit eine eigene Frage.
Der Angemessenheitsbeschluss für das EU-US Data Privacy Framework von 2023 hat die Lage entspannt. Ob er dauerhaft Bestand hat, ist offen; die beiden Vorgängerregelungen wurden vom Europäischen Gerichtshof aufgehoben.
Verfasst von
Daniel Hoffmann
Gründer und redaktionell verantwortlich
Daniel Hoffmann betreibt Softwareblick und ist für redaktionelle Fragen und Korrekturen erreichbar.