AV-Vertrag Aktenvernichtung: 7 Klauseln nachverhandeln

Ein AV-Vertrag für die Aktenvernichtung muss die Pflichtpunkte aus Art. 28 Abs. 3 DSGVO enthalten. Das tun die Musterverträge der Anbieter fast immer. Den Unterschied machen die Stellen, an denen ein Muster „zeitnah“, „angemessen“ oder „nach Absprache“ schreibt. Dort entscheidet sich, ob Sie im Streitfall etwas in der Hand haben. Dieser Ratgeber zeigt die sieben Klauseln, bei denen es sich lohnt nachzuverhandeln, und die Lücken bei Subunternehmern und Transport.

Die Grundlagen – warum Vernichtung Auftragsverarbeitung ist und welche Pflichtinhalte Art. 28 aufzählt – stehen auf der Seite Auftragsverarbeitung bei der Aktenvernichtung. Hier geht es um die Formulierung.

Gibt es einen amtlichen Mustervertrag?

Ja. Die EU-Kommission hat Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter erlassen (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021). Art. 28 Abs. 7 DSGVO erlaubt, sie ganz oder teilweise als Vertrag zu verwenden. Für die Aktenvernichtung sind sie ein guter Maßstab: Wo ein Anbietermuster hinter ihnen zurückbleibt, sollten Sie nachfragen. Die Klauseln lassen aber Lücken, die Sie selbst füllen müssen, etwa Fristen und die Beschreibung der Maßnahmen in den Anhängen.

Welche Klauseln sollten Sie nachverhandeln?

Thema	schwache Fassung im Muster	belastbare Fassung	Anknüpfung
Frist bis zur Vernichtung	„zeitnah nach Abholung“	Vernichtung spätestens nach einer bestimmten Zahl von Werktagen; bis dahin verschlossene Lagerung in einem Raum mit Zutrittskontrolle	Art. 28 Abs. 3 lit. a (dokumentierte Weisung)
Sicherheitsstufe	„nach DIN 66399“	Schutzklasse und Sicherheitsstufe je Materialart, etwa P-4 für Papier, eigene Stufe für Datenträger	Art. 28 Abs. 3 lit. a und c
Subunternehmer	„der Auftragnehmer darf Dritte einsetzen“	Liste mit Name, Anschrift und Tätigkeit jedes Subunternehmers; Änderungen mit Vorlauf schriftlich ankündigen, Widerspruchsrecht	Art. 28 Abs. 2 und 4; Klausel 7.7 der Standardklauseln
Meldung von Pannen	„unverzüglich“ ohne Ansprechpartner	Meldung in einer bestimmten Stundenzahl an eine benannte Stelle, mit den Angaben aus Art. 33 Abs. 3	Art. 28 Abs. 3 lit. f; Art. 33 Abs. 2; Klausel 9.2
Nachweis	„auf Wunsch Bestätigung“	Vernichtungsnachweis je Auftrag mit Datum, Menge, Stufe und Anlage, ohne gesonderte Anforderung	Art. 28 Abs. 3 lit. g und h; Klausel 10 lit. d
Kontrollen	„nach vorheriger Vereinbarung“	Vor-Ort-Prüfung mit angemessener Vorankündigung; anlassbezogen auch kurzfristig	Art. 28 Abs. 3 lit. h; Klausel 7.6
Geheimhaltung	allgemeine Vertraulichkeitsklausel	bei Berufsgeheimnisträgern: ausdrückliche Verpflichtung auf § 203 StGB, die der Anbieter an seine Subunternehmer weitergibt	§ 203 Abs. 4 Satz 2 StGB

Konkrete Zahlen für Fristen gibt das Gesetz nicht vor. Sie sind Verhandlungssache und sollten zu Ihrem Risiko passen: Für Personalakten oder Patientenunterlagen ist eine kürzere Lagerzeit beim Dienstleister angemessener als für Rechnungskopien.

Wo liegen die Lücken bei Subunternehmern?

Viele Anbieter vernichten nicht selbst. Einer holt ab, ein zweiter schreddert, ein dritter übernimmt Lastspitzen. Jeder dieser Betriebe ist ein weiterer Auftragsverarbeiter und darf nur mit Ihrer vorherigen schriftlichen Genehmigung eingesetzt werden (Art. 28 Abs. 2 DSGVO). Typische Fallstricke:

Allgemeine Genehmigung ohne Liste. Eine allgemeine Genehmigung ist zulässig, aber nur mit Informationspflicht bei Änderungen und Widerspruchsrecht. Die Standardklauseln sehen dafür eine Vorlauffrist vor, die die Parteien festlegen (Klausel 7.7, Option 2). Ohne Liste wissen Sie nicht, wem Sie zugestimmt haben.
Pflichten, die nicht weitergegeben werden. Der Subunternehmer muss dieselben Pflichten übernehmen wie Ihr Vertragspartner; für seine Fehler haftet Ihr Vertragspartner Ihnen gegenüber (Art. 28 Abs. 4).
Geheimhaltungskette bei Berufsgeheimnisträgern. Setzt der Dienstleister weitere Personen ein, muss er auch sie zur Geheimhaltung verpflichten; sonst macht er sich unter Umständen selbst strafbar (§ 203 Abs. 4 Satz 2 Nr. 2 StGB). Lassen Sie sich bestätigen, dass das geschieht.
Zertifikat des falschen Betriebs. Das Zertifikat auf der Website gilt oft für den Standort des Vertragspartners, nicht für die Anlage des Subunternehmers. Wie Sie das prüfen, steht im Ratgeber Zertifizierungen prüfen.

Was muss für den Transport geregelt sein?

Die Strecke zwischen Ihrem Büro und dem Schredder ist der Abschnitt, den Sie am wenigsten sehen. Ein Muster, das nur „sicherer Transport“ verspricht, beschreibt keine Maßnahme im Sinne von Art. 32. Fragen Sie nach diesen Punkten und lassen Sie die Antworten in die Anlage zu den technischen und organisatorischen Maßnahmen schreiben:

Behälter bleiben vom Abholort bis zur Anlage verschlossen; wer hat Schlüssel?
Fahrzeug geschlossen und bei Abwesenheit des Fahrers verriegelt
direkte Fahrt zur Anlage oder Zwischenlager mit Zutrittskontrolle; kein Umladen auf Fahrzeuge Dritter ohne Genehmigung
Übergabe mit Beleg: Zahl der Behälter oder Gewicht bei Abholung, damit fehlende Behälter auffallen
fremde Speditionen nur als genehmigte Subunternehmer

Welche Transportanforderungen die Norm für die einzelnen Schutzklassen vorsieht, ist in Teil 3 von DIN 66399 beziehungsweise ISO/IEC 21964 geregelt.

Checkliste: Was prüfen Sie vor der Unterschrift?

Checkliste für den AV-Vertrag bei der Aktenvernichtung

Enthält der Vertrag alle Punkte aus Art. 28 Abs. 3 DSGVO, einschließlich Anlage zu den technischen und organisatorischen Maßnahmen?
Sind Sicherheitsstufe und Schutzklasse je Materialart genannt?
Steht eine konkrete Höchstfrist zwischen Abholung und Vernichtung darin?
Liegt eine Liste aller Subunternehmer mit Anschrift und Aufgabe bei?
Ist geregelt, wie früh Sie über neue Subunternehmer informiert werden und wie Sie widersprechen?
Gibt es eine Meldefrist in Stunden und einen benannten Ansprechpartner für Pannen?
Kommt der Vernichtungsnachweis automatisch mit jedem Auftrag?
Dürfen Sie vor Ort prüfen?
Sind Sie Berufsgeheimnisträger: Ist die Verpflichtung nach § 203 StGB enthalten und wird sie an Subunternehmer weitergegeben?
Liegt der Vertrag unterschrieben oder in elektronischer Form vor (Art. 28 Abs. 9)?

Die Plattform akten-schredder.de vermittelt nur und ist nicht Vertragspartei. Den AV-Vertrag schließen Sie mit dem Anbieter, der den Auftrag ausführt. Wenn Sie mehrere Angebote einholen, legen Sie diese Checkliste neben jedes Muster – im Anbieter-Vergleich sehen Sie die Angebote nebeneinander.

Häufige Fragen

Kann ich den AV-Vertrag des Vernichtungsdienstleisters einfach unterschreiben?

Nur nach Prüfung. Die meisten Muster enthalten die Pflichtpunkte aus Art. 28 Abs. 3 DSGVO, bleiben aber bei Fristen, Subunternehmern und Transport vage. Prüfen Sie diese Stellen und verlangen Sie konkrete Angaben.

Darf ich die EU-Standardvertragsklauseln verwenden?

Ja. Art. 28 Abs. 7 DSGVO erlaubt Standardvertragsklauseln der Kommission; einschlägig ist der Durchführungsbeschluss (EU) 2021/915. Die Anhänge mit Maßnahmen und Subunternehmern müssen Sie selbst ausfüllen.

Wer haftet, wenn der Subunternehmer des Dienstleisters einen Fehler macht?

Ihr Vertragspartner haftet Ihnen gegenüber für die Pflichten seines Subunternehmers (Art. 28 Abs. 4 DSGVO). Gegenüber Aufsicht und Betroffenen bleiben Sie als Verantwortlicher trotzdem in der Pflicht, einen geeigneten Dienstleister ausgewählt zu haben.

Was ist bei Arztpraxen und Kanzleien zusätzlich nötig?

Eine ausdrückliche Verpflichtung des Dienstleisters zur Geheimhaltung (§ 203 Abs. 4 StGB), die der Dienstleister an alle weiteren mitwirkenden Personen weitergibt.

Quellen

Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.