Übersicht zu AVV & technischen und organisatorischen Maßnahmen
Wenn EDV-Fix Kundensysteme betreut, können Zugriffe auf personenbezogene Daten nicht immer ausgeschlossen werden. Diese Seite beschreibt mögliche AVV-Regelungsbausteine und TOM als unverbindliche Grundlage für die Abstimmung im konkreten Auftrag.
Auftragsverarbeitung
Vereinbarung nach Art. 28 DSGVO, wenn EDV-Fix personenbezogene Daten im Auftrag verarbeitet oder Zugriff darauf erhält.
Schutzmaßnahmen
Technische und organisatorische Maßnahmen zu Zugriff, Protokollierung, Backup, Verschlüsselung und Löschung.
Nachvollziehbarkeit
Klare Weisungen, dokumentierte Arbeiten und sichere Übergabe von Zugangsdaten.
1. Wann ist ein AVV sinnvoll oder erforderlich?
Ein AVV ist insbesondere dann relevant, wenn EDV-Fix im Rahmen von IT-Support, Wartung, Administration, Backup-Prüfung oder Migration Zugriff auf Systeme erhält, auf denen personenbezogene Daten verarbeitet werden. Beispiele: Benutzerkonten, E-Mail-Postfächer, Logdaten, Kundendatenbanken, Nextcloud-Instanzen oder CRM-/ERP-Systeme.
Kein AVV ersetzt die fachliche Prüfung im Einzelfall. Die Rollenverteilung kann je Projekt unterschiedlich sein: Auftragsverarbeitung, gemeinsame Verantwortlichkeit oder eigenständige Verantwortlichkeit.
2. Regelungsbausteine für einen individuellen AVV
Der konkrete AVV wird als Anlage zum Rahmenvertrag oder Einzelauftrag geschlossen und enthält mindestens folgende Punkte:
- Gegenstand und Dauer: Art der IT-Leistung, Zeitraum, Wartungsfenster, Beendigung.
- Art und Zweck der Verarbeitung: Administration, Fehleranalyse, Backup-/Restore-Prüfung, Migration, Monitoring.
- Kategorien betroffener Personen: Mitarbeitende, Kunden, Lieferanten, Nutzer des Auftraggebers.
- Kategorien personenbezogener Daten: Kontaktdaten, Nutzungsdaten, Logdaten, Kommunikationsdaten, Zugangsdaten soweit erforderlich.
- Weisungsbindung: EDV-Fix verarbeitet Daten nur nach dokumentierter Weisung des Auftraggebers.
- Vertraulichkeit: Verpflichtung auf Vertraulichkeit und Zugriff nur nach Need-to-know-Prinzip.
- Unterauftragnehmer: Einsatz nur nach vereinbarter Freigabe oder Widerspruchsmöglichkeit.
- Betroffenenrechte: Unterstützung des Auftraggebers bei Auskunft, Löschung, Berichtigung oder Einschränkung.
- Rückgabe und Löschung: Rückgabe oder Löschung von Daten und Zugangsdaten nach Auftragsende, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.
Ein AVV kommt erst durch individuelle Vereinbarung mit dem jeweiligen Auftraggeber zustande. Diese Übersicht enthält nicht alle nach Art. 28 DSGVO im Einzelfall erforderlichen Angaben und ersetzt insbesondere keine ausgefüllte Vereinbarung mit konkretem Gegenstand, Dauer, Datenarten, Weisungen, Unterauftragnehmern und Kontrollrechten.
3. Technische und organisatorische Maßnahmen (TOM)
Die folgende Tabelle beschreibt einen Maßnahmenkatalog. Welche Maßnahmen tatsächlich erforderlich, verfügbar und vertraglich geschuldet sind, wird risikobezogen für den jeweiligen Auftrag dokumentiert.
| Bereich | Mögliche Maßnahmen |
|---|---|
| Zugriffskontrolle | Personenbezogene Accounts, starke Passwörter, 2FA wo möglich, kein Teilen administrativer Konten. |
| Zugangsdaten | Übergabe bevorzugt über Passwortmanager oder verschlüsselten Kanal; keine Passwörter im Klartext per E-Mail. |
| Berechtigungen | Least-Privilege-Prinzip, zeitlich begrenzte Adminrechte, Rücknahme von Zugängen nach Projektende. |
| Fernwartung | Remote-Zugriff nur nach Freigabe, nur für erforderliche Arbeiten, Sitzung kann durch Auftraggeber beendet werden. |
| Protokollierung | Wesentliche Änderungen werden dokumentiert; Logdaten werden nur zweckgebunden ausgewertet. |
| Übertragung | Verschlüsselte Übertragung per TLS, VPN, SSH oder vergleichbar; keine unsicheren Klartext-Protokolle für Administration. |
| Backups | Backup-Status wird dokumentiert; Restore-Tests nach Vereinbarung; 3-2-1-Strategie als Zielbild. |
| Löschung | Nicht mehr erforderliche Arbeitskopien, Exportdateien und Zugangsdaten werden nach Auftragserfüllung gelöscht. |
| Verfügbarkeit | Wartungsfenster, Rollback-Planung und vorherige Sicherung vor größeren Eingriffen. |
| Incident Response | Sicherheitsrelevante Ereignisse werden unverzüglich gemeldet; weitere Schritte erfolgen abgestimmt mit dem Auftraggeber. |
4. Praktische Regeln für Kundenzugänge
- Keine produktiven Passwörter über unsichere Kanäle übermitteln.
- Wenn möglich: temporäre Konten statt dauerhafter Master-Zugänge.
- 2FA für administrative Zugänge aktivieren.
- Zugänge nach Abschluss eines Projekts prüfen, entziehen oder rotieren.
- Änderungen an Produktivsystemen nur nach Abstimmung und, soweit möglich, mit aktueller Sicherung.
5. Einbindung in Rahmenvertrag und AGB
Bei fortlaufender IT-Betreuung werden AVV, TOM-Anlage und Service-Level als Anlagen zum Rahmenvertrag geführt. Bei Einzelprojekten werden sie dem jeweiligen Angebot oder Leistungsschein beigefügt.
Unterauftragnehmer und technische Dienstleister werden, soweit sie personenbezogene Daten im Auftrag verarbeiten, nur auf Grundlage geeigneter vertraglicher Vereinbarungen eingesetzt. Änderungen bei Unterauftragnehmern werden im jeweiligen AVV geregelt.