Ein AVV (Auftragsverarbeitungsvertrag) ist der nach Art. 28 DSGVO verpflichtende Vertrag zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet. Der AVV legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest, bindet den Auftragsverarbeiter an dokumentierte Weisungen und regelt Sicherheitsmaßnahmen, Subunternehmer, Betroffenenrechte, Löschung und Kontrollrechte. Ohne AVV ist die Verarbeitung rechtswidrig.

Was ist ein AVV (Auftragsverarbeitungsvertrag)?

Ein AVV ist das rechtliche Instrument, mit dem ein Verantwortlicher die Kontrolle über personenbezogene Daten behält, obwohl ein Dritter sie technisch verarbeitet. Die Datenschutz-Grundverordnung lässt es ausdrücklich zu, Verarbeitungen auszulagern – an Cloud-Anbieter, Rechenzentren, Softwarehersteller, Wartungsdienstleister oder Dienstleister für Personalabrechnung. Sie knüpft diese Auslagerung aber an eine Bedingung: Die Verantwortung darf nicht mit den Daten wandern.

Der AVV setzt diese Bedingung um, indem er den Auftragsverarbeiter an die Weisungen des Verantwortlichen bindet. Der Auftragsverarbeiter darf die Daten ausschließlich für die vereinbarten Zwecke und nur so verarbeiten, wie es der Verantwortliche vorgibt. Eigene Zwecke sind ihm verwehrt – und genau hier liegt die Trennlinie, die in der Praxis über die Rollenzuordnung entscheidet. Art. 28 Abs. 10 DSGVO stellt klar: Wer als Auftragsverarbeiter Zweck und Mittel der Verarbeitung selbst bestimmt, gilt für diese Verarbeitung als Verantwortlicher und haftet entsprechend.

Rechtlich handelt es sich beim AVV nicht um einen Vertragstyp mit eigener Leistungspflicht, sondern um eine datenschutzrechtliche Ergänzung zum eigentlichen Leistungsvertrag. Der Hauptvertrag regelt, was der Dienstleister leistet; der AVV regelt, unter welchen datenschutzrechtlichen Bedingungen er dabei mit personenbezogenen Daten umgeht. Beide bestehen nebeneinander, und Widersprüche zwischen ihnen – etwa zu Aufbewahrungsfristen, Nutzungsrechten an Daten oder Haftungsbeschränkungen – gehören zu den häufigsten Mängeln in der Vertragspraxis.

Wann ist ein AVV erforderlich?

Ein AVV ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung verarbeitet – unabhängig davon, ob er sie aktiv nutzt oder lediglich Zugriff darauf haben könnte. Der bloß mögliche Zugriff genügt, weshalb auch Fernwartung, Hosting ohne inhaltliche Befassung und Supportleistungen mit Zugriff auf Produktivsysteme erfasst sind.

Typische Konstellationen mit AVV-Pflicht sind Cloud- und SaaS-Dienste, Rechenzentrums- und Hostingleistungen, IT-Wartung und Fernwartung, Managed Services, E-Mail- und Kommunikationsdienste, CRM- und Newslettersysteme, Callcenter sowie externe Rechenzentren für Personalabrechnung. Auch konzerninterne Dienstleistungen sind erfasst: Ein Konzernprivileg kennt die DSGVO nicht, sodass zwischen rechtlich selbstständigen Konzerngesellschaften ebenfalls ein AVV erforderlich ist.

Kein AVV ist dagegen erforderlich, wenn der Dienstleister die Daten in eigener Verantwortung und nach eigenen fachlichen Maßstäben verarbeitet. Das betrifft in der Regel Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater und Wirtschaftsprüfer, Banken bei der Ausführung von Zahlungsaufträgen sowie Postdienstleister. Bei Kliniken und Praxen kommt eine Besonderheit hinzu: Werden externe Dienstleister mit Zugriff auf Patientendaten eingebunden, ist neben dem AVV die strafrechtliche Ebene des § 203 StGB zu beachten, die eine gesonderte Verpflichtung der mitwirkenden Personen verlangt.

Für Behörden und Stellen im Anwendungsbereich der JI-Richtlinie – etwa Polizei und Justiz – gilt nicht Art. 28 DSGVO, sondern die inhaltlich vergleichbare Regelung des § 62 BDSG.

Welche Inhalte muss ein AVV nach Art. 28 DSGVO enthalten?

Ein AVV muss zunächst den Rahmen der Verarbeitung beschreiben: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen. Hinzu kommen die acht Pflichtregelungen des Art. 28 Abs. 3 DSGVO.

Buchstabe	Pflichtinhalt	Bedeutung in der Praxis
lit. a	Verarbeitung nur auf dokumentierte Weisung, auch bei Drittlandübermittlung	Weisungswege und weisungsbefugte Personen sollten namentlich oder funktionsbezogen benannt sein
lit. b	Vertraulichkeitsverpflichtung der eingesetzten Personen	Nachweisbare Verpflichtung der Beschäftigten, nicht nur eine Zusicherung im Vertragstext
lit. c	Ergreifen der Sicherheitsmaßnahmen nach Art. 32 DSGVO	Konkrete TOM als Anlage, nicht als allgemeine Absichtserklärung
lit. d	Einhaltung der Bedingungen für den Einsatz von Subunternehmern	Genehmigungsverfahren, Liste der Unterauftragsverarbeiter, Einspruchsrecht
lit. e	Unterstützung bei der Erfüllung von Betroffenenrechten	Reaktionsfristen, die zur Monatsfrist des Art. 12 Abs. 3 DSGVO passen
lit. f	Unterstützung bei Sicherheit, Datenpannen und Datenschutz-Folgenabschätzung	Meldung von Verletzungen an den Verantwortlichen ohne schuldhaftes Zögern
lit. g	Löschung oder Rückgabe der Daten nach Ende der Verarbeitung	Wahlrecht liegt beim Verantwortlichen; Backups und Archive mit einbeziehen
lit. h	Nachweise bereitstellen und Überprüfungen ermöglichen	Auditrechte inklusive Vor-Ort-Prüfungen, nicht nur Übersendung von Zertifikaten

Zusätzlich verpflichtet Art. 28 Abs. 3 UAbs. 2 DSGVO den Auftragsverarbeiter, den Verantwortlichen zu informieren, wenn eine Weisung aus seiner Sicht gegen Datenschutzrecht verstößt. Diese Hinweispflicht wird in Standardverträgen häufig gestrichen und sollte beim Prüfen des AVV gezielt kontrolliert werden.

Die Form regelt Art. 28 Abs. 9 DSGVO: Der AVV bedarf der Schriftform, ausdrücklich einschließlich eines elektronischen Formats. Eine eigenhändige Unterschrift im Sinne des § 126 BGB ist damit nicht erforderlich; eine elektronisch dokumentierte Vereinbarung genügt, solange sie den Inhalt nachweisbar festhält.

Wie unterscheidet sich Auftragsverarbeitung von gemeinsamer Verantwortlichkeit?

Auftragsverarbeitung liegt vor, wenn der Dienstleister ausschließlich weisungsgebunden handelt und keinen eigenen Entscheidungsspielraum über Zweck und wesentliche Mittel der Verarbeitung hat. Bestimmen zwei Stellen die Zwecke und Mittel gemeinsam, greift dagegen Art. 26 DSGVO mit der gemeinsamen Verantwortlichkeit – dann ist nicht ein AVV, sondern eine Vereinbarung über die Aufteilung der Pflichten erforderlich.

Konstellation	Entscheidung über Zweck und Mittel	Erforderliche Vereinbarung
Auftragsverarbeitung (Art. 28)	Allein beim Verantwortlichen; Dienstleister ist weisungsgebunden	AVV mit den Pflichtinhalten des Art. 28 Abs. 3
Gemeinsame Verantwortlichkeit (Art. 26)	Gemeinsam durch beide Stellen	Vereinbarung über die Zuordnung der DSGVO-Pflichten, Wesentliches für Betroffene bereitzustellen
Eigene Verantwortlichkeit	Jede Stelle entscheidet unabhängig nach eigenen Maßstäben	Kein AVV; ggf. Regelung einer Übermittlung mit eigener Rechtsgrundlage

Die Abgrenzung ist keine Formalie, weil sie über Haftung und Betroffenenrechte entscheidet. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses stellen dabei klar, dass es auf die tatsächlichen Verhältnisse ankommt und nicht auf die Bezeichnung im Vertrag. Ein Vertrag, der einen Dienstleister als Auftragsverarbeiter benennt, während dieser die Daten faktisch für eigene Zwecke auswertet, verschiebt die Rolle nicht – er dokumentiert lediglich einen Verstoß.

Erfahrungsgemäß entstehen die schwierigen Fälle dort, wo Anbieter Nutzungsdaten zur Produktverbesserung, für Sicherheitsanalysen oder für Statistiken verwenden. Solche Klauseln sollten im AVV entweder ausgeschlossen oder als eigenständige Verarbeitung in eigener Verantwortlichkeit mit eigener Rechtsgrundlage ausgewiesen werden.

Wie sind Subunternehmer im AVV zu regeln?

Subunternehmer – datenschutzrechtlich Unterauftragsverarbeiter – dürfen nach Art. 28 Abs. 2 DSGVO nur mit vorheriger Genehmigung des Verantwortlichen eingesetzt werden. Zulässig sind zwei Modelle: die gesonderte Genehmigung im Einzelfall oder eine allgemeine schriftliche Genehmigung, verbunden mit der Pflicht des Auftragsverarbeiters, über beabsichtigte Änderungen zu informieren und dem Verantwortlichen ein Einspruchsrecht einzuräumen.

In der Praxis dominiert das zweite Modell, weil Cloud-Anbieter ihre Lieferketten laufend anpassen. Entscheidend ist dann die Ausgestaltung: Ankündigungsfrist, Zustellungsweg der Information, die Frage, ob ein Widerspruch tatsächlich Wirkung entfaltet, und die Rechtsfolge bei begründetem Einspruch. Klauseln, die eine Information per Aktualisierung einer Unterseite vorsehen und den Einspruch faktisch auf ein Sonderkündigungsrecht verkürzen, sind verbreitet – und sie verlagern das Risiko vollständig auf den Verantwortlichen.

Art. 28 Abs. 4 DSGVO verlangt zudem, dass der Auftragsverarbeiter dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegt, die für ihn selbst gelten. Kommt der Subunternehmer diesen Pflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen weiterhin in vollem Umfang. Für die Praxis heißt das: Die Liste der Unterauftragsverarbeiter gehört zu den aussagekräftigsten Teilen eines AVV, weil sie die tatsächliche Verarbeitungskette und die realen Speicherorte offenlegt.

Welche Rolle spielen technische und organisatorische Maßnahmen im AVV?

Technische und organisatorische Maßnahmen (TOM) sind der inhaltliche Kern jedes AVV, weil sie die abstrakte Sicherheitspflicht des Art. 32 DSGVO in überprüfbare Zusagen übersetzen. Die Verordnung nennt als Bezugspunkte die Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Belastbar wird eine TOM-Anlage erst durch Konkretisierung. Aussagen wie „Daten werden verschlüsselt übertragen“ sind nicht prüffähig; angegeben werden sollten Verschlüsselung bei Übertragung und im Ruhezustand einschließlich Verfahren, des Schlüsselmanagements, des Berechtigungskonzepts und dessen Rollenmodells, der Protokollierung und der Aufbewahrungsdauer der Protokolle, Verfahren zur Trennung von Mandantendaten, Wiederherstellungszeiten sowie die konkreten Standorte der Verarbeitung. Bei mobilen Zugriffen gehören die Vorgaben eines Mobile Device Management dazu, bei Kommunikationsdiensten die eingesetzte Ende-zu-Ende-Verschlüsselung.

Zertifizierungen nach Art. 42 DSGVO und genehmigte Verhaltensregeln nach Art. 40 DSGVO können als Nachweis dienen, ebenso ein Zertifikat nach ISO/IEC 27001. Sie entbinden den Verantwortlichen jedoch nicht von der Auswahl- und Kontrollpflicht des Art. 28 Abs. 1 DSGVO, die hinreichende Garantien verlangt. Ein Zertifikat belegt ein Managementsystem, nicht die Angemessenheit der Maßnahmen für die konkrete Verarbeitung.

Was gilt für einen AVV mit Dienstleistern in Drittländern?

Bei Dienstleistern außerhalb der EU und des EWR genügt der AVV allein nicht – zusätzlich ist eine Rechtsgrundlage für die Übermittlung nach Kapitel V der DSGVO erforderlich. In Betracht kommen ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO, in der Praxis meist die Standardvertragsklauseln aus dem Durchführungsbeschluss (EU) 2021/914.

Zu unterscheiden sind zwei Klauselwerke, die häufig verwechselt werden: Der Durchführungsbeschluss (EU) 2021/915 enthält Standardvertragsklauseln für den AVV selbst nach Art. 28 Abs. 7 DSGVO und deckt keinen Drittlandtransfer ab. Der Durchführungsbeschluss (EU) 2021/914 regelt die Übermittlung in Drittländer. Wer Daten an einen Anbieter außerhalb des EWR gibt, benötigt beides – die AVV-Ebene und die Transferebene.

Seit dem Urteil des Europäischen Gerichtshofs in der Sache Schrems II (C-311/18) reicht der Abschluss von Standardvertragsklauseln zudem nicht mehr aus. Verantwortliche müssen in einem Transfer Impact Assessment prüfen, ob das Recht des Ziellandes – insbesondere behördliche Zugriffsbefugnisse – das Schutzniveau der Klauseln aushöhlt, und gegebenenfalls zusätzliche Maßnahmen ergreifen. Für die Vereinigten Staaten besteht seit 2023 ein Angemessenheitsbeschluss auf Grundlage des EU-US Data Privacy Framework, der allerdings voraussetzt, dass der konkrete Anbieter zertifiziert ist; der rechtliche Bestand dieses Beschlusses ist Gegenstand laufender Auseinandersetzungen und sollte vor der Anwendung geprüft werden.

Organisationen mit hohen Vertraulichkeitsanforderungen begegnen dieser Komplexität regelmäßig, indem sie die Verarbeitungskette bewusst kurz halten: Anbieter mit Verarbeitung innerhalb der EU und einer überschaubaren, offengelegten Liste von Unterauftragsverarbeitern reduzieren den Prüfaufwand erheblich, weil Transfer Impact Assessments und Nachverhandlungen bei Anbieterwechseln entfallen.

Wie sich dienstliche Kommunikation auf einen Dienst mit klar geregelter Auftragsverarbeitung umstellen lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Welche Folgen hat ein fehlender oder mangelhafter AVV?

Ein fehlender AVV macht die Verarbeitung durch den Dienstleister rechtswidrig und ist eigenständig bußgeldbewehrt. Verstöße gegen Art. 28 DSGVO fallen unter den Rahmen des Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Der Verstoß setzt keinen Datenschutzvorfall voraus – schon das Fehlen des Vertrages genügt, und Aufsichtsbehörden prüfen AVV regelmäßig im Rahmen anlassloser Kontrollen.

Hinzu kommt die zivilrechtliche Haftung. Nach Art. 82 DSGVO haften Verantwortlicher und Auftragsverarbeiter für materielle und immaterielle Schäden, wobei der Auftragsverarbeiter einsteht, wenn er seinen spezifischen Pflichten nicht nachgekommen ist oder gegen rechtmäßige Weisungen gehandelt hat. Im Außenverhältnis kann jede beteiligte Stelle in voller Höhe in Anspruch genommen werden.

Praktisch häufiger als das Bußgeld ist eine andere Folge: der Nachweisdruck im Ereignisfall. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, verlangt die Aufsichtsbehörde die Vertragsgrundlage, die TOM-Dokumentation und die Liste der Unterauftragsverarbeiter. Fehlen diese Unterlagen oder sind sie veraltet, verschiebt sich die Bewertung des Vorfalls von einem technischen Versagen zu einem Organisationsverschulden.

Wie prüft man einen AVV vor der Unterzeichnung?

Ein AVV sollte vor der Unterzeichnung entlang weniger, klar definierter Prüfpunkte kontrolliert werden – die von Anbietern vorgelegten Standardverträge erfüllen die Mindestanforderungen meist formal, verschieben Risiken aber häufig zulasten des Verantwortlichen:

Rollenzuordnung: Beansprucht der Anbieter irgendwo eigene Zwecke, etwa für Produktverbesserung, Analysen oder Sicherheitsforschung?
TOM-Anlage: Konkret und prüffähig oder allgemeine Formulierungen ohne Verfahren, Fristen und Standorte?
Unterauftragsverarbeiter: Vollständige Liste vorhanden, Ankündigungsfrist angemessen, Einspruch mit echter Rechtsfolge?
Verarbeitungsorte: Alle Standorte benannt, einschließlich Support, Wartung und Backup?
Meldewege: Frist für die Meldung von Verletzungen an den Verantwortlichen definiert und mit der 72-Stunden-Frist des Art. 33 DSGVO vereinbar?
Löschung und Rückgabe: Wahlrecht beim Verantwortlichen, Fristen benannt, Backups und Archive einbezogen, Exportformat geregelt?
Kontrollrechte: Vor-Ort-Prüfungen möglich oder auf die Übersendung von Zertifikaten beschränkt, Kostentragung geregelt?
Widerspruchsfreiheit: Passen Aufbewahrungsfristen, Haftungsklauseln und Datennutzungsrechte des Hauptvertrages zum AVV?

Ergänzend gehört der Dienstleister in das Verzeichnis von Verarbeitungstätigkeiten; Auftragsverarbeiter führen nach Art. 30 Abs. 2 DSGVO ein eigenes Verzeichnis. Bei Verarbeitungen mit voraussichtlich hohem Risiko ist zusätzlich eine Datenschutz-Folgenabschätzung zu prüfen, bei der der Auftragsverarbeiter nach Art. 28 Abs. 3 lit. f DSGVO mitwirken muss.

Zusammenfassung: Wichtige Punkte zu AVV (Auftragsverarbeitungsvertrag)

Ein AVV (Auftragsverarbeitungsvertrag) ist der nach Art. 28 DSGVO verpflichtende Vertrag zwischen Verantwortlichem und Dienstleister, der personenbezogene Daten weisungsgebunden verarbeitet.
Der AVV ist erforderlich, sobald ein Dienstleister auf personenbezogene Daten zugreifen kann – der mögliche Zugriff genügt, eine tatsächliche inhaltliche Nutzung ist nicht nötig.
Art. 28 Abs. 3 DSGVO gibt acht Pflichtinhalte vor, von der dokumentierten Weisung über TOM, Subunternehmer und Betroffenenrechte bis zu Löschung und Auditrechten.
Der AVV bedarf nach Art. 28 Abs. 9 DSGVO der Schriftform einschließlich elektronischem Format; eine eigenhändige Unterschrift ist nicht erforderlich.
Entscheidend für die Rollenzuordnung sind die tatsächlichen Verhältnisse, nicht die Bezeichnung im Vertrag: Wer eigene Zwecke verfolgt, ist Verantwortlicher, nicht Auftragsverarbeiter.
Unterauftragsverarbeiter bedürfen einer Genehmigung; bei allgemeiner Genehmigung sind Informationspflicht und Einspruchsrecht des Verantwortlichen zwingend.
Der erste Auftragsverarbeiter haftet weiterhin voll, wenn ein von ihm eingesetzter Subunternehmer seinen Datenschutzpflichten nicht nachkommt.
Bei Dienstleistern in Drittländern ist neben dem AVV eine eigene Transfergrundlage nach Kapitel V DSGVO erforderlich, ergänzt um ein Transfer Impact Assessment.
Zertifizierungen ersetzen die Auswahl- und Kontrollpflicht nicht; sie belegen ein Managementsystem, nicht die Angemessenheit der Maßnahmen im Einzelfall.
Ein fehlender AVV ist eigenständig bußgeldbewehrt mit bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 lit. a DSGVO.