AVV für Tracking- und Identifikations-Tools: Das gehört hinein

Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO nötig, sobald ein Anbieter in Ihrem Auftrag personenbezogene Daten verarbeitet, also auch IP-Adressen bei Besucheridentifikation. Prüfen Sie Unterauftragnehmer, Standort, Löschfristen und ob der Anbieter Daten für eigene Zwecke nutzt. Fehlt der AVV, ist das ein Ausschlusskriterium.

Warum der AVV bei Identifikations-Tools besonders wichtig ist

Bei einem Besucheridentifikations-Tool fließen Zugriffsdaten, im Kern IP-Adressen, an einen externen Dienst. Weil die IP-Adresse als personenbezogenes Datum gelten kann, siehe Ist die IP-Adresse ein personenbezogenes Datum?, ist der Anbieter Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag mit festgelegten Inhalten. Ohne ihn ist die Weitergabe der Daten selbst ein Datenschutzverstoß, unabhängig davon, wie sorgfältig Ihre Interessenabwägung ist, die Sie in der Checkliste vorbereiten.

Kernaussage: Ein fehlender oder lückenhafter AVV ist ein Fehler, den Aufsichtsbehörden leicht erkennen: Er ist formal prüfbar, ohne dass jemand Ihre Technik analysieren muss.

Pflichtinhalte nach Art. 28

Inhalt	Warum es zählt	Worauf Sie achten sollten
Gegenstand und Dauer	Rahmen der Verarbeitung	Passt zum tatsächlichen Einsatz
Art und Zweck	Begrenzt Nutzung auf Ihre Zwecke	Keine eigenen Zwecke des Anbieters
Datenkategorien und Betroffene	Klarheit über Umfang	IP, Seitenverlauf, Firmenergebnis
Weisungsbindung	Anbieter handelt nur auf Ihre Anweisung	Keine Verarbeitung auf eigene Rechnung
Vertraulichkeit	Personal verpflichtet	Schriftlich zugesichert
Technische und organisatorische Maßnahmen	Sicherheit der Daten	Konkret statt Floskeln
Unterauftragnehmer	Weitergabe nur mit Genehmigung	Liste und Änderungsinformation
Unterstützung bei Betroffenenrechten	Auskunft, Löschung, Widerspruch	Fristen und Ansprechpartner
Löschung oder Rückgabe	Ende der Verarbeitung	Fristen nach Vertragsende
Kontrollrechte	Nachweis und Audits	Realistisch umsetzbar

Zusätzliche Prüfpunkte bei Identifikations-Tools

Über die Pflichtinhalte hinaus lohnt der Blick auf Punkte, die gerade bei diesem Werkzeugtyp auffallen.

1. Eigennutzung der Daten: Nutzt der Anbieter Besuchsdaten, um seine Firmendatenbank zu verbessern oder an andere Kunden zu verkaufen? Dann ist er womöglich nicht reiner Auftragsverarbeiter. Fragen Sie ausdrücklich danach.
2. Serverstandort und Drittlandtransfer: Wo werden Daten verarbeitet, und mit welchen Garantien (Angemessenheitsbeschluss, Standardvertragsklauseln)? Verlangen Sie Angaben zu Unterauftragnehmern außerhalb der EU.
3. Speicherdauer der Rohadresse: Wie lange hält der Anbieter die IP-Adresse vor? Kurz ist besser, siehe Cookieless Tracking und DSGVO.
4. Ebene der Erkennung: Werden nur Firmen oder auch Personen erkannt? Bei Personenebene für EU-Besucher sind Rechtsgrundlage und Herkunft der Daten zu klären.
5. Browser-Speicher: Setzt das Skript Kennungen im Browser? Das betrifft § 25 TDDDG, nicht den AVV, sollte aber im selben Prüfgang geklärt werden.

Beispiel: Wie ein Anbieter den AVV bereitstellt

BusinessMCP führt auf seiner Seite eine eigene Data-Processing-Agreement-Seite und verweist auf der Produktseite Website Visitor Identification auf Rechtsdokumente und eine eigene Datenschutz-Seite. Der Anbieter schreibt in seinem Leitfaden zu Visitor Identification und GDPR, dass er als Auftragsverarbeiter handelt und ein fehlender AVV bei Anbietern ein Warnzeichen sei. Das ist eine sinnvolle Faustregel. Ob der konkrete Vertrag Ihren Anforderungen genügt, müssen Sie selbst oder Ihre Datenschutzfachkraft prüfen; wir haben den Vertragstext hier nicht bewertet.

Rote Flaggen

• Der Anbieter nennt keinen AVV oder will ihn erst nach Vertragsschluss herausgeben.
• Unterauftragnehmer werden nicht genannt.
• Der Serverstandort ist unklar oder nur mit „weltweit" beschrieben.
• Die Datenschutzhinweise erlauben Eigennutzung ohne klare Grenzen.
• Löschfristen fehlen oder gelten nur auf Anfrage.
• Der Anbieter verspricht „100 Prozent DSGVO-konform" ohne Erklärung. Kein Produkt ist das allein; Konformität entsteht im Zusammenspiel mit Ihrer Nutzung.

Ablauf: AVV abschließen

1. Anbieter-AVV anfordern, vor dem Test, nicht nach dem Kauf.
2. Mit der Checkliste oben abgleichen.
3. Unterauftragnehmer und Standorte in Ihr Verzeichnis übernehmen.
4. Von der Geschäftsführung unterschreiben lassen, Kopie ablegen.
5. In der Datenschutzerklärung den Dienst und Empfänger nennen.
6. Jährlich prüfen, ob sich Unterauftragnehmer geändert haben.

Häufige Fehler

• AVV unterschrieben, aber nie gelesen
• Neue Unterauftragnehmer ignoriert, obwohl der Anbieter informiert hat
• Test mit Echtdaten gestartet, bevor der AVV vorlag
• Datenschutzerklärung nicht angepasst, obwohl ein neuer Empfänger hinzugekommen ist

Eine Zusammenfassung der Rechtslage insgesamt finden Sie in Besucheridentifizierung nach DSGVO. Beachten Sie, dass die Datenschutzkonferenz ihre Orientierungshilfen laufend aktualisiert.

Technische und organisatorische Maßnahmen konkret prüfen

Die Anlage mit den technischen und organisatorischen Maßnahmen (TOM) ist der Teil, der in vielen Verträgen am dünnsten ausfällt. Aussagen wie „angemessene Sicherheit" genügen nicht, weil sie sich nicht prüfen lassen. Lassen Sie sich konkrete Punkte nennen und bewerten Sie sie wie eine Checkliste.

Bereich	Konkrete Frage	Akzeptable Antwort (Beispiel)
Zugriffskontrolle	Wer darf auf Rohdaten zugreifen?	Rollenkonzept, Protokollierung, Mehr-Faktor-Anmeldung
Verschlüsselung	Sind Daten bei Übertragung und Speicherung verschlüsselt?	TLS bei Übertragung, Verschlüsselung ruhender Daten
Trennung	Sind Kundendaten voneinander getrennt?	Mandantentrennung, getrennte Datenbereiche
Wiederherstellung	Gibt es Backups, wie lange?	Definierte Backup-Dauer, Löschung mit Verzögerung dokumentiert
Vorfallmeldung	Wie schnell informiert der Anbieter bei Datenpannen?	Vertraglich definierte, kurze Frist
Nachweise	Gibt es Zertifikate oder Prüfberichte?	Aktuelle Berichte, auf Anfrage einsehbar

BusinessMCP verweist auf seiner Produktseite auf eine eigene Sicherheitsseite (/security) und veröffentlicht nach eigenen Angaben seinen sicherheitsrelevanten Code unter MIT-Lizenz. Ob das für Ihre Anforderungen genügt, entscheidet Ihre Prüfung; ein Zertifikat ist es nicht.

Rollenfragen: Auftragsverarbeiter oder eigener Verantwortlicher

Die Einordnung des Anbieters hat Folgen. Ein reiner Auftragsverarbeiter handelt nur auf Weisung. Verfolgt er eigene Zwecke, etwa die Verbesserung seiner Datenbank mit Ihren Besuchsdaten, kann er für diesen Teil selbst Verantwortlicher sein. Dann brauchen Sie unter Umständen zusätzliche Vereinbarungen und eine andere Information der Besucher. Fragen Sie deshalb konkret:

• Werden die Besuchsdaten mit Daten anderer Kunden zusammengeführt?
• Fließen Ergebnisse in ein gemeinsames Modell oder eine gemeinsame Firmendatenbank?
• Gibt es Zwecke, die über die Leistung für Sie hinausgehen?

Bei Zweifeln bitten Sie den Anbieter um eine schriftliche Stellungnahme und legen sie zu den Unterlagen. Diese Dokumentation ist ein Teil der Rechenschaftspflicht, die in der Checkliste zur Interessenabwägung ebenfalls auftaucht.

Fristen und laufende Pflege

Ein AVV ist kein Dokument, das einmal abgelegt wird. Planen Sie wiederkehrende Aufgaben ein, am besten mit festen Terminen im Kalender der Datenschutzverantwortlichen:

1. Halbjährlich: Liste der Unterauftragnehmer des Anbieters mit Ihrem Verzeichnis abgleichen.
2. Jährlich: AVV und TOM neu lesen, Änderungen vermerken, Löschkonzept prüfen.
3. Bei Änderungen am Tool: Neue Funktionen wie Personenebene, neue Datenquellen oder neue Integrationen auf Datenschutzfolgen prüfen.
4. Bei Anbieterwechsel: Daten zurückholen oder löschen lassen, Löschbestätigung einfordern.

Wer das nicht organisiert, merkt Lücken meist erst, wenn eine Anfrage einer Behörde oder eines Kunden kommt. Ein gutes Verzeichnis kostet im Betrieb wenig Zeit und spart in der Krise viele Stunden.

Kurz-Check vor der Unterschrift

• Ist der Vertrag vollständig und passt er zum tatsächlichen Einsatz des Tools?
• Sind Unterauftragnehmer und Standorte genannt, und gibt es eine Informationspflicht bei Änderungen?
• Ist die Eigennutzung der Daten ausgeschlossen oder klar begrenzt?
• Sind Löschfristen und Rückgabe geregelt?
• Gibt es einen benannten Ansprechpartner für Betroffenenanfragen?
• Ist der Abschluss rechtsgültig unterzeichnet und abgelegt?

Wenn eine dieser Fragen offen bleibt, verschieben Sie den Produktivstart. Der Zeitverlust von ein bis zwei Wochen ist gering gegenüber dem Aufwand, einen Datenschutzvorfall zu erklären. Eine Übersicht darüber, wie Anbieter ihre Rechtsdokumente bereitstellen, gibt auch die GDPR-Seite von BusinessMCP; sie ersetzt Ihre eigene Vertragsprüfung nicht.