Was ist eine Auftragsverarbeitung bei SaaS?

Verantwortlicher (Art. 4 Nr. 7 DSGVO) ist, wer Zwecke und Mittel der Verarbeitung bestimmt. Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) ist, wer in dessen Auftrag und nach Weisung verarbeitet, ohne eigenständig über Zwecke zu entscheiden.

Klassische SaaS-Anwendungsfälle sind Auftragsverarbeitung: Zeiterfassung, CRM, E-Mail-Marketing, Helpdesk, Cloud-Speicher, Buchhaltungs-SaaS, überall dort, wo der Anbieter Kundendaten technisch verarbeitet, aber inhaltlich nicht über sie verfügt.

Art. 28 Abs. 3 DSGVO listet die Mindestinhalte des Vertrags:

- Gegenstand, Dauer, Art und Zweck der Verarbeitung,
- Art der Daten und Kategorien der betroffenen Personen,
- Pflicht zur Vertraulichkeit der Mitarbeitenden des Auftragsverarbeiters,
- technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO,
- Regelung zu Subauftragsverarbeitern (Genehmigungs- oder Informationspflicht),
- Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten,
- Löschung oder Rückgabe nach Vertragsende, Nachweis- und Auditrechte.

Manche Konstellationen sind keine Auftragsverarbeitung:

- Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): mehrere Parteien legen gemeinsam Zwecke und Mittel fest, z.B. Joint-Controller-Vereinbarungen bei Social-Media-Plug-ins.
- Eigenverantwortliche Verarbeitung: Steuerberater, Banken oder Rechtsanwälte verarbeiten Daten ihrer Mandanten in der Regel eigenverantwortlich, kein AVV nötig.

Die Einordnung hängt von der tatsächlichen Rollenverteilung ab, nicht vom Etikett auf dem Vertrag.

Vor dem Einsatz eines neuen SaaS-Tools: AVV einholen, TOMs prüfen, Subdienstleister-Liste anschauen, Drittlandtransfers prüfen (Standardvertragsklauseln nach Art. 46 DSGVO?). Die Tätigkeit ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) eintragen. Ohne diese Schritte droht ein Verstoß gegen die DSGVO unabhängig davon, ob der SaaS-Anbieter selbst sauber arbeitet.