Compliance & Regulierung
Auftragsverarbeitungsvertrag (AVV / DPA)
Nach Artikel 28 DSGVO erforderlicher Vertrag zwischen einem Verlag (Verantwortlicher) und jedem Dritten (Auftragsverarbeiter), der in seinem Auftrag personenbezogene Daten verarbeitet – etwa dem Anbieter eines Kommentarsystems.
Ein Auftragsverarbeitungsvertrag (AVV / DPA) ist der nach Artikel 28 DSGVO erforderliche Vertrag, wann immer ein Dritter (ein Auftragsverarbeiter) im Auftrag eines Verantwortlichen (des Verlags) personenbezogene Daten verarbeitet. Bei einem Kommentarsystem sind jeder Kommentar, jedes Leserkonto, jede Abstimmung und jede Moderationsentscheidung personenbezogene Daten. Ein AVV ist daher Pflicht.
Was ein AVV bei Logora regelt
- Gegenstand, Dauer und Zweck der Verarbeitung.
- Kategorien betroffener Personen (Abonnenten, anonyme Leser) und Datenarten (Kontoinformationen, Kommentare, IP, Verhaltensdaten).
- Sicherheitsmaßnahmen (Verschlüsselung bei Speicherung und Übertragung, Zugriffskontrollen, Audits).
- Liste der Unterauftragsverarbeiter mit Vorabinformation und Widerspruchsmöglichkeit vor jeder Änderung (bei Logora: OVH-Hosting, Mistral AI, DeepL).
- Vertraulichkeitspflichten für alle Mitarbeiter mit Datenzugriff.
- Umgang mit Betroffenenrechten: Auskunft, Berichtigung, Löschung, Übertragbarkeit.
- Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.
- Auditrechte für den Verantwortlichen.
- Vertragsende: Rückgabe oder Löschung der personenbezogenen Daten.
Wie Logora mit AVVs umgeht
Logora schließt mit jedem Geschäftskunden standardmäßig einen AVV nach Artikel 28 ab. Die Vorlage haben die Datenschutzbeauftragten des SPIEGEL, von Sud Ouest, Milenio und der Krone geprüft. Individuelle Anpassungen sind möglich, doch die Standardfassung ist sofort einsatzbereit. Das erspart die wochenlangen Abstimmungen, die bei US-Anbietern mit Standardvertragsklauseln üblich sind.
Siehe DSGVO für den übergeordneten Rahmen und Schrems II zur damit verbundenen Frage der Datenübermittlung in die USA.