AVV art 28 dsgvo Pflichtinhalte — avv kostenlos online prüfen

Bis zu €10.000.000 Bußgeld riskieren Webagenturen, Hoster und SaaS-Anbieter in Deutschland, wenn ihr Auftragsverarbeitungsvertrag die Pflichtinhalte aus Art. 28 Abs. 3 DSGVO nicht enthält — so steht es in Art. 83 Abs. 4 lit. a DSGVO, alternativ 2 % des weltweiten Jahresumsatzes. Der AVV-Prüfer findet in unserem Beispiel-AVV 11 Befunde.

Der Vertrag, den niemand mehr liest

Wer für Kunden hostet, Shops wartet oder eine SaaS betreibt, verarbeitet personenbezogene Daten im Auftrag. Dafür braucht es einen Vertrag nach Art. 28 DSGVO. Genau dort stehen Sätze, die heute falsch sind.

Der Beispiel-AVV, der dem Werkzeug beiliegt, liefert 11 Befunde. Acht davon hängen an einer konkreten Zeile:

• „Die Auftragsdatenverarbeitung erfolgt gemäß § 11 BDSG sowie den Vorgaben des TTDSG.“ § 11 BDSG gilt seit dem 25.05.2018 nicht mehr, und TTDSG und TMG heißen seit dem 14.05.2024 TDDDG bzw. DDG. Das sind zwei Befunde in einer Zeile.
• „Weisungen können auch mündlich erteilt werden.“ Art. 28 Abs. 3 lit. a DSGVO verlangt dokumentierte Weisungen.
• „Der Auftraggeber erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter.“ Ohne Einspruchsrecht bei jeder Änderung reicht das nicht (Art. 28 Abs. 2 S. 2 DSGVO).
• „Der Auftragnehmer darf Subunternehmer ohne vorherige Zustimmung des Auftraggebers austauschen.“ Art. 28 Abs. 2 S. 1 DSGVO verlangt eine vorherige Genehmigung.
• „Für die US-Rechenzentren gilt das EU-US Privacy Shield; ergänzend gelten die Standardvertragsklauseln 2010/87/EU.“ Privacy Shield ist seit EuGH C-311/18 vom 16.07.2020 ungültig. Standardvertragsklauseln 2010/87/EU: aufgehoben mit Wirkung zum 27.09.2021, Altverträge galten nur bis 27.12.2022. Das sind wieder zwei Befunde.
• „Der Auftragnehmer informiert den Auftraggeber innerhalb von 72 Stunden.“ Der Auftragsverarbeiter meldet Verletzungen unverzüglich (Art. 33 Abs. 2 DSGVO); die 72 Stunden sind die Frist des Verantwortlichen (Art. 33 Abs. 1 DSGVO).

Die übrigen drei Befunde sind fehlende Pflichtinhalte: keine Vertraulichkeit (lit. b), keine Unterstützung bei Betroffenenrechten (lit. e) und keine Kontrollrechte (lit. h).

Wie das Werkzeug prüft

Der AVV-Prüfer ist eine VS-Code-Erweiterung, und dieselbe Prüfung läuft als Webseite im Browser. 20 Regeln lesen die Markdown-Datei. Zwölf Regeln suchen die Pflichtinhalte aus Art. 28 Abs. 3 DSGVO im ganzen Text: Gegenstand und Dauer, Zweck, Datenarten, Betroffene und lit. a bis h. Acht Regeln prüfen einzelne Zeilen: veraltete Verweise, mündliche Weisungen, Subunternehmer ohne Genehmigung, allgemeine Genehmigung ohne Einspruchsrecht und Meldefristen von 48, 72 oder 96 Stunden. Jeder Befund nennt die Grundlage. Die korrigierte Fassung des Beispiel-AVV liefert 0 Befunde.

Warum nicht einfach eine Vorlage

Eine Mustervorlage erklärt, was drinstehen sollte. Sie liest aber nicht deine Datei. Sie sieht nicht, dass im Abschnitt zu US-Rechenzentren noch Privacy Shield steht oder dass jemand die 72 Stunden des Verantwortlichen in die Pflicht des Auftragsverarbeiters kopiert hat.

Was es kostet

Die Prüfung jeder offenen Datei ist kostenlos, mit allen 20 Regeln und ohne Key. Wer alle AVVs eines Ordners in einem Prüfbericht für ein Kunden-Audit braucht, nimmt die Vollversion. Zum Vergleich: Anwalt nach RVG: 1,3 Geschäftsgebühr (Nr. 2300 VV) bei €5.000 Gegenstandswert = €480,85 netto (Tabelle § 13 RVG).

Der AVV-Prüfer ersetzt keine Rechtsberatung. Er sorgt dafür, dass der Vertrag vollständig und aktuell ist, bevor der Kunde oder die Aufsichtsbehörde ihn liest.