Auftragsverarbeitungsvertrag (AVV): Wann du ihn brauchst, was drinstehen muss und wann nicht

Kurz gesagt

• Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nur nach deiner Weisung verarbeitet und keine eigenen Zwecke verfolgt. Dann ist ein Vertrag nach Art. 28 Abs. 3 DSGVO Pflicht, vor Beginn der Verarbeitung.
• Typische Auftragsverarbeiter: Hoster, Cloud-Speicher, E-Mail-Provider, Newsletter-Tools, CRM- und SaaS-Anbieter, Lohnbüros, Aktenvernichter, IT-Dienstleister mit Zugriff auf deine Systeme.
• Kein AVV nötig bei eigenständig Verantwortlichen: Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, Banken, Post- und Paketdienste, Versicherungen. Sie entscheiden selbst über Mittel und Zwecke der Verarbeitung.
• Der AVV hat acht Pflichtinhalte. Fehlt einer, ist der Vertrag unvollständig. Bei großen Anbietern ist der AVV meist Teil der Nutzungsbedingungen, du musst ihn trotzdem prüfen und dokumentieren.

Was Auftragsverarbeitung ist

Die DSGVO kennt zwei Rollen. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Art. 4 Nr. 8 DSGVO), also weisungsgebunden und ohne eigene Entscheidung darüber, was mit den Daten geschieht. Ein Newsletter-Anbieter, der deine Abonnentenliste speichert und auf deinen Klick hin versendet, ist das klassische Beispiel. Er darf mit den Adressen nichts anderes tun, als du ihm sagst.

Weil du dabei Daten aus der Hand gibst, verlangt Art. 28 DSGVO drei Dinge von dir: Du darfst nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für die Sicherheit der Daten bieten (Abs. 1). Du musst einen Vertrag mit festgelegtem Mindestinhalt schließen (Abs. 3). Und du bleibst gegenüber den Betroffenen und der Aufsichtsbehörde verantwortlich, auch wenn der Fehler beim Dienstleister passiert. Der AVV ist damit kein Formular für die Ablage, sondern das Dokument, mit dem du diese Verantwortung organisierst.

Wann brauchst du einen AVV?

Immer dann, wenn ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, speichert oder auch nur regelmäßig darauf zugreifen kann. Auf die Datenmenge kommt es nicht an. Die häufigsten Fälle im Unternehmensalltag:

Die Gegenrichtung gilt genauso: Wenn du für andere Unternehmen Daten verarbeitest, etwa als Agentur, IT-Dienstleister oder Softwareanbieter, bist du Auftragsverarbeiter und musst deinen Kunden einen AVV anbieten. Agenturen finden dazu auf der Seite Datenschutz für Agenturen den passenden Ablauf.

Wann brauchst du keinen AVV?

Der häufigste Irrtum in der Praxis ist der AVV mit dem Steuerberater. Er ist nicht nötig, und zwar aus einem klaren Grund: Steuerberater, Rechtsanwälte und Wirtschaftsprüfer verarbeiten die Daten deiner Kunden und Beschäftigten eigenverantwortlich nach ihrem Berufsrecht. Sie sind weisungsfrei und damit selbst Verantwortliche. Für Steuerberater steht das seit 2021 sogar ausdrücklich im Gesetz (§ 11 Abs. 2 StBerG). Die Datenschutzkonferenz hat die Abgrenzung im Kurzpapier Nr. 13 zusammengefasst. Kein AVV brauchst du bei:

• Berufsgeheimnisträgern: Steuerberater, Rechtsanwälte, Notare, Wirtschaftsprüfer, Ärzte und Betriebsärzte.
• Banken und Zahlungsdienstleistern für Überweisungen und Kartenzahlungen. Sie handeln nach eigenen aufsichtsrechtlichen Pflichten.
• Post- und Paketdiensten für den Transport von Sendungen.
• Versicherungen, Inkassounternehmen mit eigenem Entscheidungsspielraum, Detekteien und anderen Dienstleistern, die selbst bestimmen, wie sie die Aufgabe erfüllen.
• Handwerkern, Reinigungsfirmen, Lieferanten ohne inhaltlichen Umgang mit personenbezogenen Daten. Ein Reinigungsdienst, der abends durch das Büro geht, ist keine Auftragsverarbeitung, sondern ein Fall für die Verschwiegenheitsverpflichtung und abgeschlossene Schränke.

Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO schreibt den Mindestinhalt vor. Zunächst die Rahmendaten: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien der betroffenen Personen sowie Pflichten und Rechte des Verantwortlichen. Dazu acht konkrete Regelungen, die der Vertrag dem Auftragsverarbeiter auferlegen muss:

Zusätzlich muss der Auftragsverarbeiter dich informieren, wenn er eine Weisung für rechtswidrig hält (Abs. 3 Satz 3). Und Abs. 10 stellt klar: Bestimmt der Auftragsverarbeiter selbst über Zwecke und Mittel, wird er zum Verantwortlichen, mit allen Pflichten und der vollen Haftung.

Subunternehmer: Art. 28 Abs. 2 und 4

Fast jeder Cloud-Anbieter setzt selbst Dienstleister ein: Rechenzentren, Support-Firmen, Analysetools. Diese weiteren Auftragsverarbeiter darf er nur mit deiner vorherigen schriftlichen Genehmigung einsetzen, entweder für jeden Einzelfall oder als allgemeine Genehmigung mit Informationspflicht bei Änderungen (Abs. 2). In der Praxis enthalten Anbieter-AVV eine allgemeine Genehmigung plus eine Subunternehmerliste und ein Einspruchsrecht mit Frist. Das ist zulässig, solange du tatsächlich informiert wirst. Abonniere deshalb die Änderungsmitteilungen deiner wichtigsten Anbieter. Der Auftragsverarbeiter muss seinen Subunternehmern dieselben Pflichten auferlegen und haftet dir gegenüber für sie (Abs. 4).

US-Anbieter und andere Drittländer

Sitzt der Anbieter oder einer seiner Subunternehmer außerhalb der EU und des EWR, brauchst du neben dem AVV eine Grundlage für die Übermittlung nach Kapitel V der DSGVO. Für die USA ist das seit dem 10. Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795): Ist der Anbieter dort zertifiziert, genügt der AVV. Prüfen kannst du das in der öffentlichen Liste des US-Handelsministeriums. Ohne Zertifizierung oder bei anderen Drittländern brauchst du die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 für Verantwortlicher an Auftragsverarbeiter, plus eine dokumentierte Einschätzung, ob das Recht des Ziellandes die Klauseln in der Praxis trägt. Beide Grundlagen gehören namentlich in deine Datenschutzerklärung.

Form, Muster und wer den Vertrag stellt

Der AVV muss schriftlich abgefasst sein, was ein elektronisches Format einschließt (Art. 28 Abs. 9 DSGVO). Ein per Klick akzeptierter AVV im Kundenkonto des Anbieters ist wirksam. Bewahre eine Kopie mit Datum auf. Bei großen Anbietern ist der AVV in den Nutzungsbedingungen enthalten (Microsoft „Data Protection Addendum“, Google Cloud „Data Processing Terms“, Mailchimp „Data Processing Addendum“). Du musst nichts verhandeln, aber prüfen, ob er die acht Pflichtinhalte abdeckt, und ihn deinem Verarbeitungsverzeichnis zuordnen.

Für Dienstleister ohne eigenen AVV, etwa den regionalen IT-Betreuer oder ein Lohnbüro, brauchst du ein Muster. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln speziell für Auftragsverarbeitungsverträge veröffentlicht; sie sind rechtlich abgesichert, aber sehr formal. Die Verantwortung, dass ein passender AVV vorliegt, trägt in jedem Fall der Verantwortliche, also du. Warte deshalb nicht darauf, dass der Dienstleister von sich aus einen Vertrag schickt.

Wann muss der AVV geschlossen werden?

Vor der ersten Verarbeitung. Der AVV ist Voraussetzung dafür, dass du die Daten überhaupt weitergeben darfst. Wird ein Dienst bereits genutzt und der Vertrag fehlt, hol ihn sofort nach und dokumentiere das Datum. Rückwirkend heilt das den Verstoß nicht, es beendet ihn aber, und genau das zählt bei einer späteren Prüfung. Bei Vertragsende greift Buchstabe g: Lass dir die Löschung oder Rückgabe bestätigen und lege die Bestätigung zum Verarbeitungsverzeichnis.

Was passiert ohne AVV?

Ein fehlender oder unvollständiger AVV ist ein Verstoß gegen Art. 28 DSGVO und fällt in den Bußgeldrahmen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a). Aufsichtsbehörden fragen bei jeder Prüfung als Erstes nach dem Verarbeitungsverzeichnis und den zugehörigen AVV. Ein Ordner mit Lücken ist ein Ordner mit Bußgeldpotenzial. Dazu kommt das praktische Risiko: Ohne AVV hast du bei einer Datenpanne beim Dienstleister keine vertragliche Meldefrist, keinen Auskunftsanspruch und keine Regelung zur Haftung. Du erfährst es aus der Presse und haftest trotzdem.

Anbieter-AVV in zehn Minuten prüfen

1. 1Rollen klar? Der Anbieter ist als Auftragsverarbeiter benannt, du als Verantwortlicher. Steht dort „independent controller“, brauchst du keinen AVV, sondern musst prüfen, ob die Weitergabe überhaupt zulässig ist.
2. 2Gegenstand, Daten, Betroffene beschrieben? Wenn nur ein Platzhalter steht, füll ihn aus.
3. 3Nur auf Weisung? Kein Recht des Anbieters, deine Daten für eigene Zwecke, Produktverbesserung oder KI-Training zu nutzen, es sei denn anonymisiert.
4. 4TOM als Anlage? Mindestens eine Beschreibung nach den üblichen Kontrollbereichen, besser ein Zertifikat.
5. 5Subunternehmerliste und Einspruchsrecht? Mit Informationspflicht bei Änderungen.
6. 6Meldefrist bei Datenpannen? Konkret in Stunden, nicht „unverzüglich“.
7. 7Löschung oder Rückgabe bei Vertragsende? Mit Frist und Nachweis.
8. 8Drittland geregelt? Data Privacy Framework oder Standardvertragsklauseln benannt.
9. 9Auditrecht oder Zertifikate? Eines von beidem muss vorhanden sein.
10. 10Datum und Version gesichert? Kopie im Verarbeitungsverzeichnis abgelegt, Änderungsmitteilungen abonniert.

AVV mit Dieter erstellen

Für Dienstleister ohne eigenen Vertrag und für deine eigenen Kunden, wenn du selbst Auftragsverarbeiter bist, erzeugt Dieter den AVV aus einem kurzen Fragebogen: Rollen, Gegenstand, Datenkategorien, Subunternehmer, TOM als Anlage. Der Vertrag ist versioniert und wird bei Rechtsänderungen aktualisiert. Die Übersicht aller Auftragsverarbeiter liegt direkt neben dem Verarbeitungsverzeichnis. Details auf der Seite Auftragsverarbeitungsvertrag erstellen.

Fazit

Der AVV ist das Werkzeug, mit dem du Verantwortung organisierst, die du nicht abgeben kannst. Die Arbeit liegt weniger im Vertragstext als in der Übersicht: Welche Dienstleister verarbeiten für dich Daten, welche davon sind Auftragsverarbeiter, liegt für jeden ein vollständiger Vertrag vor, und wer prüft die Änderungsmitteilungen? Wer diese vier Fragen jederzeit beantworten kann, hat Art. 28 DSGVO im Griff.