Was ist ein AVV (Auftragsverarbeitungsvertrag) und brauche ich einen?

Ein Auftragsverarbeitungsvertrag (AVV), auf Englisch Data Processing Agreement (DPA), ist eine schriftliche Vereinbarung nach Artikel 28 DSGVO. Sie wird zwischen dir als Verantwortlichem und einem Dienstleister geschlossen, der weisungsgebunden personenbezogene Daten in deinem Auftrag verarbeitet. Der Vertrag regelt Zweck, Umfang, Dauer, technische und organisatorische Sicherheitsmaßnahmen sowie den Umgang mit Löschung und Unterauftragnehmern.

Ob du einen AVV brauchst, ist schnell beantwortet: Sobald ein externer Dienst Teilnehmerdaten für dich verarbeitet, ist er Pflicht. Genau das trifft auf Kursplattformen zu – sie speichern und verarbeiten Namen, E-Mail-Adressen, Kursfortschritte und weitere personenbezogene Daten deiner Mitglieder. Ohne abgeschlossenen AVV wäre diese Verarbeitung datenschutzrechtlich angreifbar, und im Ernstfall drohen Bußgelder. Der AVV ist damit kein optionales Extra, sondern ein Grundbaustein rechtssicherer Kursanbieter.

Die gute Nachricht: Seriöse deutsche Anbieter machen dir diesen Schritt leicht. Memberspot etwa stellt den AVV direkt zur Verfügung, sodass du ihn nicht individuell verhandeln musst. In Kombination mit EU-Hosting reduziert das den Datenschutzaufwand erheblich. Denk aber daran, dass du für jeden Dienstleister, der Daten verarbeitet, einen eigenen AVV benötigst – also gegebenenfalls auch für angebundene Zahlungsanbieter, E-Mail-Marketing-Tools oder Analyse-Dienste. Ein sauberes Verzeichnis deiner Auftragsverarbeiter gehört zur DSGVO-Dokumentation dazu.