Sieben Fragen wiederholen sich in unserer Leipziger Freelancer-Runde praktisch jedes Mal, wenn jemand zum ersten Mal eine virtuelle Assistenz an Bord holt und kurz danach merkt, dass sie eigentlich einen eigenen AV-Vertrag braucht, bevor überhaupt die erste Aufgabe verschickt wird. Genau diese Fragen beantworte ich hier so, wie ich sie mir selbst beantwortet habe, nachdem meine erste VA-Beauftragung mich ziemlich kalt erwischt hat.
Transparenz vorweg, weil sie an dieser Stelle hingehört: Dieser Text enthält Affiliate-Links. Kaufst du über einen davon ein, bekomme ich eine kleine Provision, ohne dass für dich ein Cent mehr draufkommt. Verlinkt sind nur Tools, die auch auf meiner eigenen Website im Einsatz sind. Ich bin keine Juristin, das hier sind persönliche Erfahrungen und keine Rechtsberatung. Bei einem konkreten Fall lohnt sich trotzdem ein Anruf bei einer Fachanwältin oder der Datenschutzbehörde deiner Stadt.
AV-Vertrag statt lose Mail-Absprache
Die naheliegendste Frage zuerst: Reicht nicht einfach eine freundliche E-Mail mit der Bitte, sorgsam mit den Daten umzugehen? Nein, reicht nicht. Genau das habe ich am Anfang geglaubt und lag damit komplett daneben.
Sobald eine virtuelle Assistenz Kundenmails liest, Rechnungen einträgt oder Briefingdetails sieht, verarbeitet sie personenbezogene Daten im Auftrag. Dafür braucht es einen eigenen schriftlichen Vertrag, keinen bloßen Vertrauensvorschuss.
Genau an diesem Punkt half mir der Umweg über meine eigenen Kundenverträge: Als ich lernte, wie ich als Texterin rechtssichere Verträge für meine Auftraggeber aufsetze, saß ich plötzlich auf der anderen Seite des Tisches und musste dasselbe Prinzip auf meine eigene VA anwenden. Vorher hatte ich mein Kontaktformular monatelang ohne jeden Datenschutz-Hinweis online stehen, ohne dass mir das überhaupt aufgefallen wäre – derselbe blinde Fleck, nur an anderer Stelle.
Wer haftet, wenn die virtuelle Assistenz bei der Datenverarbeitung einen Fehler macht?
Meine Nachbarin Christel, die ihre Yogastunden mittlerweile über ein Online-Buchungstool anbietet, hat mich genau das letzte Woche im Treppenhaus gefragt. Typisch für sie, lieber dreimal nachhaken, bevor überhaupt irgendetwas unterschrieben wird.
Die unbequeme Antwort darauf: Ich hafte als Solopreneurin persönlich, wenn meine Helferin etwas falsch macht und ich sie vorher nicht vertraglich an die Leine gelegt habe. Dafür gibt es sogar einen eigenen Fachbegriff, die gemeinsame Verantwortlichkeit, aber das wäre ein Thema für einen ganz eigenen Beitrag.
Bei Kunden mit besonders sensiblen Daten, etwa aus dem Gesundheits- oder Coaching-Bereich, reicht mir ein Standardvertrag inzwischen nicht mehr. Da hole ich mir vorher eine ausdrückliche schriftliche Zusage zu zusätzlichen Schutzmaßnahmen, statt einfach zu hoffen, dass es gutgeht.
Was ändert sich, wenn meine VA nicht in der EU sitzt?
Sitzt die VA außerhalb der EU, wird die Sache spürbar komplizierter, weil die Daten dann ein Drittland verlassen. Welche Klauseln dafür im Detail nötig sind, würde hier zu weit führen. Die Faustregel reicht an dieser Stelle: erst klären, dann beauftragen.
Beim Suchen nach einem DSGVO-konformen E-Mail-Anbieter hatte ich genau dasselbe Rätsel: Nicht der Name des Anbieters zählt, sondern wo die Server und die Menschen dahinter tatsächlich sitzen. Seitdem frage ich jede VA-Kandidatin das ganz am Anfang des Gesprächs, nicht erst nach der Zusage.
Eine mündliche Zusage reicht vor dem Gesetz nicht aus
„Haben wir doch besprochen" zählt vor dem Gesetz null. Der Vertrag muss schriftlich oder zumindest in einem nachweisbaren elektronischen Format vorliegen, eine lose Chat-Nachricht reicht nicht.
Statt mir selbst ein lückenhaftes PDF zusammenzubasteln, nutze ich dafür den Generator von easyRechtssicher, die seit über acht Jahren am Markt sind und ihre Vorlagen laufend an neue Gesetzesänderungen anpassen. Meiner VA dann einen fertigen Vertrag zur digitalen Unterschrift zu schicken, statt nur eine lose Absprache per Messenger zu treffen, fühlte sich auf einmal nach einem echten Geschäftsverhältnis an.
Als über mein überarbeitetes Kontaktformular mit Datenschutz-Checkbox die erste echte Kundenanfrage kam und nirgendwo eine rote Fehlermeldung aufblitzte, saß ich nur da und wartete fast enttäuscht darauf, dass doch noch etwas kaputtgeht. Es blieb einfach ruhig, und genau dieses Gefühl wollte ich danach auch bei der VA-Zusammenarbeit haben.
Löschfristen nach Vertragsende
Was beim Start selten jemand bedenkt: Was passiert mit den Zugängen, wenn die Zusammenarbeit wieder endet? Ohne klare Absprache bleiben Logins und Daten einfach irgendwo liegen.
Das ist dieselbe Logik wie beim Datenschutz im Coworking Space: schon vorher klären, was beim Verlassen des Platzes mit Zugängen und Unterlagen passiert, statt es am letzten Tag spontan zu entscheiden. Seitdem steht ein fester Löschzeitpunkt direkt im Vertrag, nicht nur als vage Absicht im Hinterkopf.
Muss ich meine VA im Verfahrensverzeichnis dokumentieren?
Kurze Antwort: ja, wenn die Zusammenarbeit regelmäßig oder dauerhaft ist, gehört sie als eigener Eintrag in mein Verzeichnis von Verarbeitungstätigkeiten. Klingt nach großem Amt-Deutsch, ist bei mir am Ende aber nur eine Tabellenzeile mehr.
Und falls ein Kunde irgendwann fragt, wer außer mir Zugriff auf seine Daten hat, will ich die VA sofort und ohne nachzudenken nennen können, statt erst in alten Mails zu suchen. Genau dafür sind Betroffenenrechte da, auch wenn das Thema hier einen eigenen Artikel verdient hätte.
So kläre ich vor dem ersten Login, was meine VA sehen darf
Bevor überhaupt ein Passwort geteilt wird, schreibe ich auf, welches Tool die VA wirklich braucht und welches nicht – Buchhaltung ja, private Kundennotizen eher nicht.
Miroslav aus unserer Freelancer-Community wollte, nachdem er das zum ersten Mal gehört hatte, sofort wissen, ob es dazu eine Checkliste zum Ausdrucken gibt. Er denkt eben lieber in Bildern und Tabellen als in langen Absätzen.
Wie genau so eine Zugriffsübersicht technisch abgesichert sein sollte, bleibt hier nur ein Stichwort, die sogenannten technischen und organisatorischen Maßnahmen, mehr dazu ein andermal. Sobald der Vertrag über die reine Auftragsverarbeitung hinausgeht, etwa weil ich der VA auch eigene AGB-Klauseln für ihre Rolle mitgeben will, greife ich auf die Vorlagen von Vertrag und AGB für Online-Unternehmer zurück, die für freie Kreative ungewöhnlich unkompliziert formuliert sind.
Wenn deine VA zum ersten Mal eine Aufgabe erledigt, während dein Handy für zwanzig Minuten auf dem Marktplatz in der Leipziger Innenstadt einfach still bleibt, merkst du, wofür der ganze Papierkram eigentlich gut war.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.