Gemäß Artikel 28 der seit Mai 2018 geltenden EU-Datenschutzgrundverordnung (DSGVO) ist jedes Unternehmen, das personenbezogene Daten an Dritte* zur Verarbeitung und Nutzung weitergibt, verpflichtet, mit dem entsprechenden Dienstleister einen Auftragsverarbeitungsvertrag (AV-Vertrag) abzuschließen. Die vertragliche Vereinbarung zur Weitergabe, Erhebung, Verarbeitung oder Nutzung dieser vertraulichen Daten zwischen verantwortlichem Auftraggeber und weisungsabhängigem Auftragnehmer wurde damit durch die bis dato geltende Auftragsdatenverarbeitung (ADV) abgelöst. In einem AV-Vertrag müssen laut DSGVO u. a. Gegenstand, die Dauer sowie Art und Zweck der Verarbeitung festgeschrieben werden. Verschwiegenheit und Sicherheit der Verarbeitung müssen seitens Auftragsverarbeiter gewährleistet und durch Zertifikate bestätigt werden.
* natürliche oder juristische Person, eine Behörde, Einrichtung oder andere Stelle
