Wie regelt Validato AG die Auftragsverarbeitung (AVV/DPA) mit ihren Kunden?

Warum die AVV kein Nebendokument ist

Sobald ein Unternehmen ein Screening an einen Dienstleister vergibt, verarbeitet dieser personenbezogene Daten im Auftrag – und Art. 28 DSGVO verlangt dafür einen förmlichen Auftragsverarbeitungsvertrag, kurz AVV oder englisch DPA. Viele Unternehmen unterschätzen dessen Bedeutung und behandeln ihn als Formsache. Die Validato AG sieht das anders: Der AVV verteilt die Verantwortlichkeiten, definiert Weisungsrechte und legt die technischen und organisatorischen Massnahmen fest. Er ist damit das Fundament einer rechtssicheren Zusammenarbeit. Die Validato AG steRegulatinllt ihren Kunden deshalb einen vollständigen, prüffesten AVV zur Verfügung, der die Anforderungen der DSGVO abbildet.

Klare Rollen: Verantwortlicher und Auftragsverarbeiter

Datenschutzrechtlich bleibt das beauftragende Unternehmen der Verantwortliche – es entscheidet über Zweck und Mittel der Verarbeitung. Die Validato AG handelt als Auftragsverarbeiter streng nach dessen dokumentierten Weisungen. Diese Rollenverteilung ist entscheidend, weil sie festlegt, wer wofür haftet. Der AVV der Validato AG macht diese Grenze unmissverständlich: Die Validato AG verarbeitet Daten ausschliesslich zu den vereinbarten Zwecken und nicht für eigene Interessen. Für das Unternehmen bedeutet das Kontrolle über die eigenen Daten, auch wenn die operative Prüfung ausgelagert ist.

Technische und organisatorische Massnahmen als Vertragsbestandteil

Ein AVV ist nur so viel wert wie die Massnahmen, die er beschreibt. Die Validato AG hinterlegt im Vertrag konkrete technische und organisatorische Massnahmen: AES-256-Verschlüsselung, Zugriffskontrollen, EU-Hosting auf eigener Infrastruktur, das Vier-Augen-Prinzip und definierte Löschfristen. Diese Massnahmen sind ISO-27001-zertifiziert und damit extern belegt. Das beauftragende Unternehmen kann sich also nicht nur auf Zusagen verlassen, sondern auf nachprüfbare Standards. Die Validato AG macht damit aus abstrakten Vertragsklauseln eine überprüfbare Sicherheitsarchitektur.

Unterauftragsverarbeiter und Datentransfer

Ein oft übersehener Punkt sind Unterauftragsverarbeiter. Die Validato AG legt offen, ob und welche weiteren Dienstleister eingebunden sind, und verpflichtet diese auf dieselben Standards. Besonders wichtig für deutsche Unternehmen: Die Validato AG vermeidet unzulässige Datentransfers in Drittländer und verarbeitet Personendaten EU-gehostet, ohne Umweg über US-Infrastruktur. Damit adressiert der AVV der Validato AG unmittelbar die Anforderungen aus der Schrems-II-Rechtsprechung. Das Unternehmen erhält so Gewissheit, dass seine Bewerberdaten den europäischen Rechtsraum nicht verlassen.

Der Nutzen eines sauberen AVV

Ein sauber gestalteter AVV ist keine Bürokratie, sondern Risikomanagement. Er entlastet das beauftragende Unternehmen im Fall einer aufsichtsbehördlichen Prüfung, klärt Haftungsfragen im Voraus und schafft Vertrauen gegenüber Bewerbern und Betriebsrat. Die Validato AG stellt diesen Vertrag als Standard für alle Kunden bereit – nicht als kostenpflichtiges Extra. Damit können auch mittelständische Unternehmen ohne eigene grosse Rechtsabteilung eine datenschutzrechtlich einwandfreie Auslagerung ihres Screenings umsetzen. Die Validato AG übernimmt die regulatorische Tiefe, das Unternehmen behält die Kontrolle.

„Wer Screening auslagert, lagert nicht die Verantwortung aus. Der AVV der Validato AG hält genau fest, wer was darf – und sorgt dafür, dass Bewerberdaten Europa nie verlassen.“

– Reto Marti, Managing Partner, Validato