Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie immer, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, etwa beim Cloud-Hosting, bei der externen Lohnabrechnung oder beim Newsletter-Versand (Art. 28 Abs. 3 DSGVO). Der Vertrag muss die Mindestinhalte des Art. 28 Abs. 3 DSGVO enthalten und schriftlich oder elektronisch vorliegen. Verarbeitet der Dienstleister die Daten für eigene Zwecke, ist er selbst Verantwortlicher, und ein AVV passt nicht.
Auftragsverarbeitung oder eigene Verantwortlichkeit?
Die entscheidende Frage lautet: Wer bestimmt über Zwecke und wesentliche Mittel der Verarbeitung? Der Verantwortliche entscheidet (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter setzt nur um (Art. 4 Nr. 8 DSGVO).
| Konstellation | Einordnung | Beispiele |
|---|---|---|
| Dienstleister verarbeitet nur nach Ihren Weisungen | Auftragsverarbeitung, AVV nötig | Cloud- und Webhosting, E-Mail-Provider, Newsletter-Tool, externe Lohnabrechnung ohne eigene Beratung, Callcenter, Aktenvernichtung, IT-Support und Fernwartung mit möglichem Datenzugriff |
| Dienstleister entscheidet selbst über Zwecke oder wesentliche Mittel | eigene Verantwortlichkeit, kein AVV | Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, Banken, Post- und Paketdienste, Inkasso mit Forderungskauf |
| Sie und ein Partner entscheiden gemeinsam | gemeinsame Verantwortlichkeit, Vereinbarung nach Art. 26 DSGVO | gemeinsame Plattform, Facebook-Fanpage |
Steuerberater verarbeiten Mandantendaten weisungsfrei und sind Verantwortliche (§ 11 Abs. 2 StBerG). Reine Wartung ohne jeden Zugriff auf personenbezogene Daten, etwa an Klimaanlage oder Stromversorgung, ist keine Auftragsverarbeitung.
Eine Fehleinordnung hat Folgen: Behandeln Sie einen eigenständig Verantwortlichen wie einen Auftragsverarbeiter, fehlt Ihnen womöglich die Rechtsgrundlage für die Übermittlung. Setzt sich ein Auftragsverarbeiter über Ihre Weisungen hinweg und bestimmt selbst Zwecke und Mittel, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO).
Was muss in den AVV?
Der Vertrag beschreibt zunächst Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Dazu kommen die Pflichten des Auftragsverarbeiters nach Art. 28 Abs. 3 Satz 2 DSGVO:
- lit. a, Weisungen: Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer.
- lit. b, Vertraulichkeit: Die eingesetzten Personen sind zur Vertraulichkeit verpflichtet.
- lit. c, Sicherheit: Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO.
- lit. d, Unterauftragsverarbeiter: Einsatz nur unter den Bedingungen des Art. 28 Abs. 2 und 4 DSGVO.
- lit. e, Betroffenenrechte: Unterstützung bei Anfragen auf Auskunft, Löschung und anderen Rechten.
- lit. f, weitere Pflichten: Unterstützung bei Datensicherheit, Meldung von Datenpannen, DSFA und vorheriger Konsultation.
- lit. g, Vertragsende: Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen.
- lit. h, Nachweise und Kontrollen: Bereitstellung aller nötigen Informationen und Ermöglichung von Überprüfungen, einschließlich Inspektionen.
Als Anlage gehört eine Beschreibung der technischen und organisatorischen Maßnahmen dazu. Die EU-Kommission hat Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Sie können diese verwenden, müssen es aber nicht.
Form
Der AVV muss schriftlich abgefasst sein. Das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Eine Unterschrift auf Papier ist nicht nötig. Viele Anbieter stellen den AVV online zum Abschluss bereit. Speichern Sie die abgeschlossene Fassung mit Datum.
Unterauftragsverarbeiter
Der Auftragsverarbeiter darf weitere Dienstleister nur mit Ihrer vorherigen Genehmigung einsetzen (Art. 28 Abs. 2 DSGVO). Die Genehmigung kann für den Einzelfall oder allgemein erteilt werden. Bei einer allgemeinen Genehmigung muss er Sie über jede beabsichtigte Änderung informieren, damit Sie Einspruch erheben können. Der Unterauftragsverarbeiter muss dieselben Pflichten übernehmen. Erfüllt er sie nicht, haftet der Auftragsverarbeiter Ihnen gegenüber (Art. 28 Abs. 4 DSGVO).
Auswahl und Kontrolle des Dienstleisters
Sie dürfen nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Prüfen Sie vor Vertragsschluss:
- Sitz des Anbieters und Ort der Datenverarbeitung
- Zertifikate, etwa ISO 27001, und aktuelle Prüfberichte
- Liste der Unterauftragsverarbeiter
- Drittlandübermittlungen und deren Grundlage, etwa das EU-U.S. Data Privacy Framework oder Standarddatenschutzklauseln
- Regelungen zur Meldung von Datenpannen und zu Löschfristen
Genehmigte Verhaltensregeln und Zertifizierungen nach Art. 40 und 42 DSGVO können als Nachweis dienen (Art. 28 Abs. 5 DSGVO). Wiederholen Sie die Prüfung in angemessenen Abständen und dokumentieren Sie sie.
AVV und Drittlandübermittlung
Ein AVV allein legitimiert keine Übermittlung in ein Land außerhalb der EU und des EWR. Sitzt der Dienstleister oder einer seiner Unterauftragsverarbeiter etwa in den USA, brauchen Sie zusätzlich eine Grundlage nach Art. 44 ff. DSGVO. Für die USA ist das der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist. Das Gericht der EU hat den Beschluss im September 2025 bestätigt (EuG, T-553/23). Ein Rechtsmittel beim EuGH ist anhängig. Für andere Empfänger kommen Standarddatenschutzklauseln nach Art. 46 DSGVO in Betracht. Halten Sie im AVV fest, in welchen Ländern Daten verarbeitet werden dürfen.
Häufige Fehler
- Der AVV des Anbieters wird nie abgeschlossen, weil er nur auf der Website bereitsteht.
- Die TOM-Anlage ist ein allgemeiner Werbetext ohne konkrete Maßnahmen.
- Neue Unterauftragsverarbeiter werden nicht geprüft, obwohl der Anbieter sie ankündigt.
- Mit dem Steuerberater wird ein AVV geschlossen, obwohl er eigener Verantwortlicher ist.
- Nach Vertragsende wird die Löschung der Daten nicht angefordert und nicht bestätigt.
Beispiele aus der Praxis
Lohnabrechnung: Übernimmt ein Abrechnungsdienstleister nur die technische Abrechnung nach Ihren Vorgaben, ist das Auftragsverarbeitung. Erledigt Ihr Steuerberater die Lohnbuchhaltung im Rahmen seiner Berufstätigkeit, ist er eigener Verantwortlicher.
Microsoft 365, Google Workspace, Zoom: Die Anbieter treten für die Kernleistungen als Auftragsverarbeiter auf und stellen einen AVV bereit. Prüfen Sie, welche Daten sie zu eigenen Zwecken verarbeiten, etwa Diagnosedaten.
IT-Dienstleister mit Fernwartung: Kann der Techniker auf Kundendaten zugreifen, schließen Sie einen AVV, auch wenn der Zugriff nur gelegentlich möglich ist.
Checkliste AVV
- Alle Dienstleister erfassen und einordnen: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam Verantwortlicher.
- Für jeden Auftragsverarbeiter einen AVV mit den Inhalten nach Art. 28 Abs. 3 DSGVO abschließen.
- TOM-Anlage prüfen und zu Ihren Risiken passend machen.
- Unterauftragsverarbeiter und Drittlandbezug klären.
- AVV im Verzeichnis von Verarbeitungstätigkeiten verknüpfen.
- Kontrollen planen und dokumentieren.
Haftung und Bußgelder
Fehlt ein erforderlicher AVV oder ist er unvollständig, drohen Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a DSGVO). Das gilt für beide Seiten, denn Art. 28 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter. Für Schäden haftet der Auftragsverarbeiter, wenn er seine eigenen Pflichten aus der DSGVO verletzt oder gegen Ihre rechtmäßigen Weisungen handelt (Art. 82 Abs. 2 DSGVO). Sie als Verantwortlicher bleiben gegenüber den Betroffenen in der Pflicht.
Welche Maßnahmen Ihr Dienstleister in der Anlage beschreiben muss, erklärt der Artikel zu den technischen und organisatorischen Maßnahmen. Ob Ihre Verträge vollständig sind, zeigt ein Datenschutz-Audit.