Ein AVV ist immer dann erforderlich, wenn ihr personenbezogene Daten an einen Dienstleister übermittelt, der unter euren Anweisungen für die von euch festgelegten Zwecke handelt – ein so genannter Auftragsverarbeiter. Die gleiche Notwendigkeit ergibt sich, wenn ihr als Dienstleister für ein anderes Unternehmen tätig seid.

Die DSGVO regelt bestimmte Themen, die in einem AVV abgedeckt werden müssen. Diese sind in Art. 28 DSGVO definiert und umfassen unter anderem den Zweck, die Dauer und die Art der Verarbeitung, die Verpflichtung der Angestellten und des Personals des Auftragsverarbeiters zur Vertraulichkeit und die Verpflichtung des Auftragsverarbeiters, nur auf Anweisung des Verantwortlichen zu handeln, den Verantwortlichen bei der Erfüllung der Rechte der betroffenen Personen zu unterstützen, die Sicherheit der personenbezogenen Daten und allgemein die in der DSGVO verankerten Verpflichtungen einzuhalten.

Nach Schweizer Datenschutzrecht muss der Verantwortliche sicherstellen, dass der Auftragsverarbeiter die Sicherheit und Integrität der an ihn übermittelten personenbezogenen Daten gewährleisten kann. Darüber hinaus ist in der Vereinbarung festzulegen, dass der Auftragsverarbeiter einen Unterauftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen einsetzen kann und dass die Verantwortlichen im Falle von Datenschutzverletzungen informiert werden müssen.

Das kann er, aber er muss die Genehmigung des Verantwortlichen einholen. Dies kann auf Einzelfallbasis geschehen, indem der Auftragsverarbeiter jedes Mal die Genehmigung des Verantwortlichen einholt, wenn er einen neuen Unterauftragsverarbeiter beauftragen möchte. Es gibt aber auch die Möglichkeit einer allgemeinen Genehmigung, bei der der Verantwortliche dem Auftragsverarbeiter erlaubt, generell mit neuen Unterauftragsverarbeitern für die Zukunft zusammenzuarbeiten, solange kein Widerspruch eingelegt wird.

In bestimmten Fällen werden personenbezogene Daten nicht an einen Auftragsverarbeiter (d. h. einen Dienstleister, der auf Anweisung des Verantwortlichen handelt), sondern an ein anderes Unternehmen übermittelt, das gemeinsam mit dem Verantwortlichen über die Zwecke und Mittel der Verarbeitung entscheidet. In diesen Fällen muss diese Beziehung im Rahmen der DSGVO ebenfalls vertraglich geregelt werden, in dem die gemeinsam Verantwortlichen ihre jeweiligen Aufgaben festlegen und insbesondere regeln, wie sie die Rechte der betroffenen Personen einhalten und ihnen die entsprechenden Datenschutzinformationen zur Verfügung stellen werden.