Beantwortet von Matthias Hinsche Stand
Sobald wir für dich personenbezogene Daten verarbeiten, brauchst du einen Auftragsverarbeitungsvertrag. Den bekommst du von uns, ohne dass du danach fragen musst.
Wann ein AV-Vertrag nötig ist
Immer dann, wenn wir in deinem Auftrag mit Daten arbeiten, die sich auf Personen beziehen. Das ist praktisch bei jedem Website-, Shop- und CRM-Projekt der Fall: Kundendaten im Shop, Kontaktformular-Einträge, Newsletter-Listen, Analytics-Daten, Support-Tickets.
Nicht nötig ist er, wenn wir ausschließlich an Systemen ohne Personenbezug arbeiten, etwa an einer reinen Produktdatenschnittstelle. Im Zweifel schließen wir ihn.
Was drin steht
Der Vertrag benennt Gegenstand und Dauer der Verarbeitung, die Art der Daten, die betroffenen Personengruppen, die technischen und organisatorischen Maßnahmen und die eingesetzten Unterauftragnehmer. Letzteres ist der Punkt, den viele übersehen: Wenn wir für dich ein Tool einsetzen, das Daten verarbeitet, gehört der Anbieter in diese Liste. Bei KI-Diensten sind AV-Verträge mit den relevanten Anbietern für uns Standard.
Zugänge
Wir arbeiten mit personalisierten Zugängen, nicht mit einem geteilten Sammelkonto. Das hat zwei Gründe: Du siehst im Protokoll, wer was gemacht hat, und beim Ausscheiden einer Person wird genau ein Zugang entzogen statt ein Passwort im Team herumgereicht.
Passwörter tauschen wir nicht per E-Mail aus, sondern über einen Passwortmanager oder einen Einweg-Link. Nach Projektende oder Vertragsende werden unsere Zugänge entzogen. Wenn du willst, bestätigen wir das schriftlich.
Was wir nicht tun
Wir nutzen deine Daten nicht für eigene Zwecke, geben sie nicht an Dritte außerhalb der vereinbarten Unterauftragnehmer und legen keine Kopien deiner Datenbestände außerhalb der Projektumgebung an.
Ein Hinweis zur Einordnung: Wir sind keine Rechtsberatung. Für die datenschutzrechtliche Bewertung deines konkreten Falls ist dein Datenschutzbeauftragter oder ein Fachanwalt zuständig. Unsere Datenschutzerklärung steht unter Datenschutz. Für KI-Dienste gilt dasselbe mit einer Besonderheit, siehe Was ist ein AV-Vertrag und brauche ich den für KI?.