Die DSGVO unterscheidet den Verantwortlichen, der über Zwecke und Mittel der Verarbeitung entscheidet, und den Auftragsverarbeiter, der personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Nach Art. 28 DSGVO darf ein Betrieb nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Zusammenarbeit wird in einem Vertrag oder einem anderen Rechtsinstrument festgehalten, dem Auftragsverarbeitungsvertrag.
Der AVV muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen festlegen. Der Auftragsverarbeiter verpflichtet sich unter anderem, Daten nur auf dokumentierte Weisung zu verarbeiten, Vertraulichkeit sicherzustellen, Sicherheitsmaßnahmen nach Art. 32 zu treffen, weitere Subunternehmer nur unter festgelegten Bedingungen einzusetzen und Daten nach Ende des Auftrags zu löschen oder zurückzugeben.
Viele große Anbieter stellen ihren AVV als Standarddokument im Kundenkonto oder auf ihrer Website bereit; er muss dann nur akzeptiert und abgelegt werden. Wichtig ist, die Liste der Subunternehmer und den Ort der Verarbeitung zu prüfen, besonders bei Übermittlungen außerhalb der EU. Laut Datenschutzbehörde wird ein Auftragsverarbeiter, der Zwecke und Mittel selbst bestimmt, selbst zum Verantwortlichen. Bei KI-Diensten sollte zusätzlich geklärt sein, ob eingegebene Daten zum Training verwendet werden. Pipeline schließt bei Bedarf einen AVV mit Kund:innen ab.
