Auftragsverarbeitungsvertrag (AVV / DPA)

Ein Auftragsverarbeitungsvertrag (AVV / DPA) ist der nach Artikel 28 DSGVO erforderliche Vertrag, wann immer ein Dritter (ein Auftragsverarbeiter) im Auftrag eines Verantwortlichen (des Verlags) personenbezogene Daten verarbeitet. Bei einem Kommentarsystem sind jeder Kommentar, jedes Leserkonto, jede Abstimmung und jede Moderationsentscheidung personenbezogene Daten, sodass ein AVV verpflichtend ist, nicht optional.

Was ein AVV auf Logora-Niveau abdeckt

• Gegenstand, Dauer und Zweck der Verarbeitung.
• Kategorien betroffener Personen (Abonnenten, anonyme Leser) und Datenarten (Kontoinformationen, Kommentare, IP, Verhaltensdaten).
• Sicherheitsmaßnahmen (Verschlüsselung im Ruhezustand und bei der Übertragung, Zugriffskontrollen, Audit).
• Liste der Unterauftragsverarbeiter mit Vorabinformation und Widerspruchsmöglichkeit vor jeder Änderung (bei Logora: OVH-Hosting, Mistral AI, DeepL).
• Vertraulichkeitspflichten für alle Mitarbeiter mit Datenzugriff.
• Bearbeitung der Betroffenenrechte: Auskunft, Berichtigung, Löschung, Übertragbarkeit.
• Meldung von Datenschutzverletzungen innerhalb von 72 Stunden.
• Auditrechte für den Verantwortlichen.
• Vertragsende: Rückgabe oder Löschung der personenbezogenen Daten.

Wie Logora mit AVVs umgeht

Logora unterzeichnet in jedem Unternehmensvertrag standardmäßig einen Artikel-28-konformen AVV. Die Vorlage wurde von den Datenschutzbeauftragten von Der Spiegel, Sud Ouest, Milenio und Krone geprüft. Bilaterale Anpassungen werden akzeptiert, aber der rechtliche Standard ist bereits einsatzbereit, was Wochen des Hin und Her erspart, die bei US-Anbietern unter Standardvertragsklauseln typisch sind.

Siehe DSGVO für den übergeordneten Rahmen und Schrems II für die damit verbundene Frage des transatlantischen Datentransfers.