Braucht man eine AVV mit dem Anwalt? (Art. 28 DSGVO, § 203 StGB)

Kurz beantwortet: Nein. Ihr Anwalt ist datenschutzrechtlich kein Auftragsverarbeiter, sondern ein eigener Verantwortlicher, weil er die überlassenen Daten in fachlicher Unabhängigkeit verarbeitet. Eine AVV nach Art. 28 DSGVO ist deshalb nicht der richtige Rahmen für das Mandatsverhältnis. Geschützt sind Ihre Daten stattdessen über die strafbewehrte anwaltliche Verschwiegenheit (§ 43a BRAO, § 203 StGB), die strenger wirkt als jede AVV.

Datenschutzbeauftragte in Unternehmen stellen ihrer Rechtsabteilung oft eine reflexartige Frage: „Haben wir mit unserem Anwalt eigentlich eine Auftragsverarbeitungsvereinbarung?“ Die intuitive Antwort, „Der verarbeitet ja unsere Daten, also brauchen wir eine AVV“, ist in aller Regel falsch, und zwar aus einem guten Grund, der zugleich zeigt, warum die anwaltliche Beratung datenschutzrechtlich eine Sonderstellung hat.

Ist der Anwalt datenschutzrechtlich ein Auftragsverarbeiter?

Eine Auftragsverarbeitung nach Art. 28 DSGVO setzt voraus, dass der Dienstleister die Daten weisungsgebunden für die Zwecke des Verantwortlichen verarbeitet: Er bestimmt nicht selbst über Zweck und Mittel. Genau das trifft auf den Anwalt nicht zu. Der Anwalt verarbeitet die überlassenen Daten in fachlicher Unabhängigkeit, nach eigenem juristischem Ermessen und eigenen berufsrechtlichen Pflichten. Er ist damit datenschutzrechtlich ein eigener Verantwortlicher, nicht Ihr Auftragsverarbeiter. Eine AVV nach Art. 28 DSGVO ist deshalb nicht der richtige, und meist gar kein zulässiger, Rahmen für das Mandatsverhältnis. Das entspricht der ganz überwiegenden Auffassung der Aufsichtsbehörden.

Warum wirkt die Verschwiegenheit hier stärker als eine AVV?

Der Schutz der überlassenen Daten läuft beim Anwalt nicht über die AVV, sondern über die anwaltliche Verschwiegenheit, und die ist strenger. Sie ist berufsrechtlich verankert (§ 43a Abs. 2 BRAO) und strafbewehrt: Das unbefugte Offenbaren eines fremden Geheimnisses durch den Anwalt ist nach § 203 Abs. 1 Nr. 3 StGB strafbar. Bindet der Anwalt Hilfspersonen oder Dienstleister ein, ist das nach § 203 Abs. 3 StGB nur zulässig, soweit erforderlich und unter Verpflichtung dieser Personen zur Geheimhaltung. Dieser Schutz übertrifft das, was eine AVV leisten könnte.

Was bedeutet das praktisch?

• Keine AVV mit dem Anwalt: verlangen Sie keine Auftragsverarbeitungsvereinbarung; sie passt nicht auf das Mandat;
• Rechtsgrundlage klären: die Übermittlung Ihrer Daten an den Anwalt stützt sich regelmäßig auf das berechtigte Interesse oder die Vertragserfüllung, nicht auf eine AVV;
• Verschwiegenheit als Schutz: der eigentliche Datenschutz ergibt sich aus der strafbewehrten anwaltlichen Verschwiegenheit;
• Im Verarbeitungsverzeichnis abbilden: die Weitergabe an rechtliche Berater gehört als Empfängerkategorie ins Verzeichnis, nicht in eine AVV-Liste.

Gibt es eine Ausnahme, in der doch eine Auftragsverarbeitung vorliegt?

Anders liegt es, wenn ein Dienstleister ausschließlich technisch-unterstützend und weisungsgebunden tätig wird, ohne eigene fachliche Verantwortung. Dann kann eine Auftragsverarbeitung vorliegen. Für die anwaltliche Beratung selbst gilt das aber gerade nicht. Wer diese Abgrenzung kennt, verlangt vom Anwalt nicht das falsche Dokument und dokumentiert die Zusammenarbeit datenschutzrechtlich richtig.

Wobei hilft die anwaltliche Begleitung dann beim AVV-Prozess?

Dass Sie mit Ihrem eigenen Anwalt keine AVV schließen, heißt nicht, dass das AVV-Thema damit für die externe Rechtsabteilung erledigt ist, im Gegenteil. Die AVVs, die Sie mit Ihren eigenen Dienstleistern und Geschäftskunden schließen, sind ein laufendes Arbeitsfeld. Dazu gehört die Prüfung vorgelegter Vorlagen auf Vollständigkeit, die Verhandlung einzelner Klauseln, wenn ein Großkunde ein eigenes, strengeres Papier mitbringt, und die Anpassung Ihrer eigenen AVV-Vorlage, wenn sich Produkt oder Subprozessoren-Kette ändern. Darin liegt die eigentliche Wertschöpfung, nicht in der AVV mit dem Anwalt selbst, sondern in der laufenden Begleitung der AVVs, die Ihr Geschäft tatsächlich trägt.

Wie eine AVV nach Art. 28 DSGVO inhaltlich vollständig aufgesetzt wird, zeigt der Beitrag zum AVV-Abschluss. Wird Ihnen eine AVV vorgelegt und wollen Sie sie selbst gegenprüfen, führt die 10-Punkte-Checkliste zur AVV-Prüfung durch die Punkte, die aus Anbieter- wie aus Kundensicht zählen. Warum diese Verschwiegenheit strenger ist als bei anderen Dienstleistern, ordnet der Beitrag zur anwaltlichen Verschwiegenheit ein. Den Gesamtüberblick zum Datenschutz im SaaS-Geschäft liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen, den Gesamtüberblick zur laufenden rechtlichen Begleitung der Leitfaden zur externen Rechtsabteilung, den konkreten Einstieg die externe Rechtsabteilung für Softwareunternehmen und die Seite für Software-, SaaS- und KI-Unternehmen.

Häufige Fragen

Brauche ich mit meinem Anwalt eine AVV?

Nein. Ihr Anwalt ist datenschutzrechtlich ein eigener Verantwortlicher und nicht Ihr Auftragsverarbeiter, sodass eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO nicht der richtige und meist gar kein zulässiger Rahmen für das Mandatsverhältnis ist.

Warum ist der Anwalt kein Auftragsverarbeiter?

Eine Auftragsverarbeitung setzt voraus, dass der Dienstleister die Daten weisungsgebunden für die Zwecke des Verantwortlichen verarbeitet. Der Anwalt verarbeitet die überlassenen Daten dagegen in fachlicher Unabhängigkeit, nach eigenem juristischem Ermessen und eigenen berufsrechtlichen Pflichten, und ist damit selbst Verantwortlicher.

Wie sind meine Daten dann geschützt?

Der Schutz läuft beim Anwalt nicht über die AVV, sondern über die anwaltliche Verschwiegenheit. Sie ist berufsrechtlich verankert (§ 43a Abs. 2 BRAO) und strafbewehrt, weil das unbefugte Offenbaren eines fremden Geheimnisses nach § 203 Abs. 1 Nr. 3 StGB strafbar ist. Dieser Schutz übertrifft das, was eine AVV leisten könnte.

Gibt es Fälle, in denen doch eine Auftragsverarbeitung vorliegt?

Ja. Wird ein Dienstleister ausschließlich technisch-unterstützend und weisungsgebunden tätig, ohne eigene fachliche Verantwortung, kann eine Auftragsverarbeitung vorliegen. Für die anwaltliche Beratung selbst gilt das gerade nicht.

Anders als bei der anwaltlichen Beratung liegt bei technischen Dienstleistern regelmäßig eine echte Auftragsverarbeitung vor. Wie Sie deren AVV-Kette datenschutzsicher aufstellen, zeigt der Beitrag zu Subprozessoren im SaaS-Vertrag, und wie Sie die oft verschärfte DPA eines Großkunden verhandeln, der Beitrag zur DPA-Verhandlung mit Enterprise-Kunden.

Sie wollen die AVVs Ihrer eigenen Dienstleister und Kunden prüfen, verhandeln oder anpassen lassen? In einem 30-minütigen Erstgespräch klären wir, wo Ihre AVV-Landschaft heute steht und was als Nächstes ansteht.

→ Erstgespräch anfragen