AVV / Auftragsverarbeitungsvertrag

Der Auftragsverarbeitungsvertrag (AVV) ist die nach Art. 28 DSGVO vorgeschriebene Vereinbarung zwischen einem Verantwortlichen (z. B. Maklerbüro) und einem Auftragsverarbeiter (z. B. CRM-Anbieter). Er regelt, wer die Daten in wessen Auftrag verarbeitet, wofür, wie lange, mit welchen technischen und organisatorischen Maßnahmen.

Warum braucht jedes Maklerbüro AVVs?

Sobald ein externer Dienstleister Zugriff auf personenbezogene Daten Deiner Kontakte, Eigentümer oder Interessenten hat — sei es CRM-Anbieter, Mail-Server, Bewertungs-Tool, Termin-Buchungssystem — ist ohne AVV die Datenverarbeitung im DSGVO-Sinn nicht zulässig. Das Maklerbüro ist die verantwortliche Stelle und haftet für Verstöße, selbst wenn der Dienstleister sie verursacht.

Was muss im AVV stehen?

Art. 28 Abs. 3 DSGVO listet die Mindestinhalte: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und Daten, Pflichten und Rechte des Verantwortlichen, technische und organisatorische Maßnahmen (TOMs), Regelungen zu Unterauftragnehmern, Löschung/Rückgabe der Daten nach Vertragsende, Audit-Rechte des Verantwortlichen.

Was sind die typischen Anlagen zum AVV?

Drei Anlagen sind Standard: Anlage A beschreibt die Datenverarbeitung im Detail (Art, Zweck, Kategorien personenbezogener Daten, betroffene Personen). Anlage B listet die genehmigten Unterauftragnehmer (Hosting, KI-Anbieter, Mail-Provider). Anlage C dokumentiert die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Worauf bei Vertragsabschluss achten?

Vier Punkte: Wird der AVV automatisch mit Vertragsabschluss bereitgestellt (statt erst „auf Nachfrage")? Ist die Sub-Verarbeiter-Liste öffentlich oder konkret im AVV gelistet? Welche Drittland-Übermittlungen finden statt und mit welchen Schutzmechanismen (SCCs, DPF)? Wie sind die Audit-Rechte ausgestaltet (jährlicher Zugang, Beauftragung Dritter, Kostenträgerschaft)?

So setzt propgen das um

propgen stellt den AVV mit Vertragsabschluss automatisch bereit — als geprüfte deutsche Vorlage, keine Eigenrecherche. Die Liste der Sub-Auftragsverarbeiter (Anlage B) ist öffentlich einsehbar unter /auftragsverarbeiter. Drittland-Übermittlungen sind dort dokumentiert (SCCs, DPF, UK-Adäquanz). Mehr zu Compliance unter DSGVO-konformes Makler-CRM.