AVV-Dokument

Stellt den Auftragsverarbeitungsvertrag mit Firmendaten bereit und verwaltet die Zustimmung. Gedacht für kleine Unternehmen, Freiberufler und Gründerinnen und Gründer.

Wo das hingehört

Diese Funktion gehört zum Bereich Firmen & Schnittstellen — Fin3000. Dort steht, wie sie mit den übrigen Funktionen zusammenspielt.

Wer personenbezogene Daten in einer fremden Anwendung verarbeitet, braucht dafür einen Vertrag mit dem Anbieter — den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Spätestens wenn ein Kunde danach fragt oder eine Aufsichtsbehörde prüft, muss er vorliegen. Wer den AVV erstellen will, füllt in Fin3000 ein Formular aus und erhält das fertige AVV-Dokument als PDF.

Schritt für Schritt

1. Firma wählen; Name und Anschrift des Auftraggebers sind aus den Firmendaten vorbelegt und bleiben bis zur Zustimmung änderbar.
2. Datenarten ankreuzen — acht Kategorien stehen zur Auswahl, von Stammdaten über Bankverbindungen bis zu hochgeladenen Dokumenten. Eigene Formulierungen lassen sich als Freitext ergänzen.
3. Kategorien betroffener Personen wählen: Mitarbeitende, Kunden und Geschäftspartner, Ansprechpartner bei Lieferanten oder sonstige Personen.
4. Zustimmung bestätigen. Der Zeitpunkt wird festgehalten und im Dokument ausgewiesen.
5. PDF erzeugen und herunterladen. Es enthält die Vertragsparagrafen, die drei Anlagen und die Unterschrift des Auftragnehmers.

Das Dokument ist kein Musterformular zum Selbstausfüllen, sondern wird bei jeder Erzeugung aus den eingetragenen Angaben neu gesetzt. Es umfasst zwölf Paragrafen — Gegenstand und Dauer, Art und Zweck der Verarbeitung, Drittlandtransfer, technische und organisatorische Maßnahmen, Pflichten beider Seiten, Unterauftragnehmer, Kontrollrechte, Weisungsbefugnis sowie Löschung und Rückgabe.

Anlage 1 übernimmt die gewählten Datenarten und Personengruppen wörtlich; Freitexte werden vor der Übernahme von Auszeichnungen bereinigt und auf 500 Zeichen je Eintrag begrenzt. Anlage 2 listet die technischen und organisatorischen Maßnahmen in zehn Abschnitten. Anlage 3 nennt die eingesetzten Unterauftragnehmer mit Zweck und Sitz: den Hostinganbieter mit Rechenzentren in Nürnberg und Falkenstein, den Anbieter des Sprachmodells in Paris und den Dienstleister für Kontoinformationen in München.

Beim Erzeugen wird das PDF unveränderlich abgelegt: mit Prüfsumme, Belegdatum und Aufbewahrung bis zum 31. Dezember des sechsten Folgejahres. Wird es später neu erzeugt — etwa weil weitere Datenarten dazukommen —, entsteht eine zweite Datei, die auf die vorherige verweist. Die alte Fassung bleibt erhalten und belegt, welcher Stand wann galt.

Was die Funktion nicht tut

Unterschrieben ist das Dokument nur auf einer Seite: Die Unterschrift des Auftragnehmers ist als Bild eingebettet, die Zustimmung des Auftraggebers wird elektronisch mit Datum vermerkt. Eine qualifizierte elektronische Signatur, eine Gegenzeichnung oder ein Freigabeumlauf sind nicht vorgesehen.

Die Liste der Unterauftragnehmer und die Maßnahmen der Anlage 2 stehen fest im Dokument und lassen sich nicht selbst pflegen; eine automatische Mitteilung bei einer Änderung nach Art. 28 Abs. 2 DSGVO gehört nicht dazu. Es gibt genau einen Datensatz je Zugang, keine Zustimmung je Teammitglied und keinen Vergleich zweier Fassungen. Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine andere Pflicht und entsteht hier nicht.