AVV / DPA (Auftragsverarbeitungsvertrag)

Ein Auftragsverarbeitungsvertrag (AVV) – englisch Data Processing Agreement (DPA) – ist eine schriftliche Vereinbarung, die die DSGVO immer dann vorschreibt, wenn ein externer Dienstleister weisungsgebunden personenbezogene Daten für dich verarbeitet. Du bist in dieser Konstellation der "Verantwortliche", die Kursplattform der "Auftragsverarbeiter". Der AVV regelt Zweck und Umfang der Verarbeitung, technische und organisatorische Sicherheitsmaßnahmen, den Umgang mit Unterauftragnehmern sowie die Löschung der Daten nach Vertragsende.

Für Kursanbieter ist das kein Formalismus, den man ignorieren kann: Sobald deine Plattform Teilnehmerdaten – Namen, E-Mail-Adressen, Kaufhistorie, Lernfortschritt – im Auftrag verarbeitet, ist ein AVV Pflicht. Fehlt er, liegt ein Datenschutzverstoß vor, der abgemahnt oder behördlich sanktioniert werden kann. In der Praxis ist der wichtigste Schritt daher, zu prüfen, ob der Anbieter einen AVV bereitstellt und wie leicht er abzuschließen ist.

Hier zeigt sich ein handfester Vorteil deutscher beziehungsweise EU-basierter Anbieter: Memberspot etwa stellt den AVV direkt bereit, sodass der Abschluss unkompliziert und ohne juristische Eigenkonstruktion möglich ist. Bei außereuropäischen Anbietern ist zusätzlich zu prüfen, ob Daten in Drittländer übermittelt werden und welche zusätzlichen Garantien dafür nötig sind – ein Aspekt, der den AVV allein nicht abdeckt. Der AVV ist damit ein zentraler Baustein einer DSGVO-konformen Kursplattform, aber nicht der einzige: Er greift ineinander mit Serverstandort, Datenschutzerklärung und der grundsätzlichen Rechtmäßigkeit der Datenverarbeitung. Im Zweifel lohnt eine anwaltliche Prüfung der eigenen Datenschutz-Dokumente.