Auftragsverarbeitungsvertrag (AVV): Pflicht, Inhalt und Muster

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – ob Cloud-Hosting, Newsletter-Tool oder Lohnabrechnung – verlangt die DSGVO einen Auftragsverarbeitungsvertrag (AVV). Er ist keine Formalie, sondern die rechtliche Grundlage dafür, dass die Verarbeitung überhaupt zulässig ist.

Dieser Leitfaden zeigt, wen die Pflicht trifft, wann sie gerade nicht greift, was ein AVV nach Art. 28 DSGVO enthalten muss, in welcher Form er geschlossen wird – und wie Sie mit Muster, Prüf-Checkliste und Vertragsverwaltung den Überblick behalten.

Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Der Auftragsverarbeitungsvertrag ist ein Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter, der regelt, wie personenbezogene Daten im Auftrag verarbeitet werden. Den Auftragsverarbeiter definiert Art. 4 Nr. 8 DSGVO als natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Das entscheidende Merkmal ist die Weisungsgebundenheit: Der Auftragsverarbeiter verfolgt mit den Daten keinen eigenen Zweck, sondern handelt ausschließlich nach Weisung des Verantwortlichen. Damit betrifft die Auftragsverarbeitung eine große Zahl an Unternehmen – und auch Privatpersonen, die personenbezogene Daten im Auftrag verarbeiten. Insbesondere IT-Dienstleister sind betroffen, da die Verarbeitung von Daten zum Kerngeschäft der elektronischen Datenverarbeitung (EDV) gehört.

Wer sorgt für die Einhaltung?

VerantwortlicherBestimmt Zweck und Mittel der Datenverarbeitung

weist an

AuftragsverarbeiterVerarbeitet Daten ausschließlich auf Weisung

Kommt der Auftragsverarbeiter seinen Pflichten gemäß DSGVO nicht nach, wird er im schlechtesten Fall gemäß Art. 28 Abs. 10 selbst als Verantwortlicher angesehen. Das betrifft auch den Abschluss eines gültigen Auftragsverarbeitungsvertrags, denn die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter darf nur auf dokumentierte Weisung des Verantwortlichen geschehen.

Wann ist ein AVV Pflicht?

Die DSGVO ist bei der Notwendigkeit einer Vereinbarung zur Datenverarbeitung eindeutig: Nur wer einen AVV abschließt, darf Daten für einen Verantwortlichen verarbeiten. Umgekehrt benötigt auch jeder, der Daten verarbeiten lässt, einen AVV. Die Pflicht zum Abschluss trifft somit beide Parteien – Verantwortlichen und Auftragsverarbeiter.

Eine Ausnahme von dieser Pflicht sieht die DSGVO für die eigentliche Auftragsverarbeitung nicht vor. Liegt kein AVV vor, obwohl eine Auftragsverarbeitung stattfindet, sollte die Zusammenarbeit nicht beginnen, denn andernfalls würde die Datenverarbeitung unrechtmäßig erfolgen.

Wann ist kein AVV nötig?

Nicht jede Weitergabe personenbezogener Daten ist eine Auftragsverarbeitung. Ein AVV ist immer dann entbehrlich, wenn der Empfänger die Daten nicht weisungsgebunden, sondern in eigener Verantwortung und zu eigenen Zwecken verarbeitet. In diesen Fällen liegt regelmäßig keine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor:

• Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater oder Wirtschaftsprüfer: Sie sind nach überwiegender Auffassung eigene Verantwortliche, da sie ihre Leistung fachlich unabhängig und nicht weisungsgebunden erbringen.
• Banken und Zahlungsdienstleister, die im Rahmen eigener gesetzlicher Pflichten verarbeiten.
• Post- und Telekommunikationsdienste, soweit sie lediglich den Transport übernehmen.
• Funktionsübertragung: Übernimmt ein Dienstleister eine Aufgabe vollständig in eigener Verantwortung und entscheidet selbst über Zwecke und Mittel, ist er kein Auftragsverarbeiter.

In manchen dieser Konstellationen ist die Einordnung in der Praxis umstritten. Im Zweifel sollten Sie die Rollen sorgfältig prüfen – fällt das Verhältnis doch unter Art. 28, ist der AVV Pflicht.

Typische Beispiele für Auftragsverarbeitung

Die meisten Unternehmen schließen mehr AVV ab, als ihnen bewusst ist. Eine Auftragsverarbeitung liegt typischerweise vor bei:

• Cloud-Hosting und Infrastruktur (z. B. AWS, Microsoft Azure)
• E-Mail- und Newsletter-Tools sowie Marketing-Automation
• Webanalyse- und Tracking-Diensten
• Lohnabrechnung und HR-Software
• CRM- und Support-Systemen mit Kundendaten
• Backup-, Archivierungs- und externen IT-Wartungsdiensten (etwa Fernwartung)

Faustregel: Sobald ein Dienstleister im Rahmen seiner Leistung Zugriff auf personenbezogene Daten Ihrer Kunden, Mitarbeitenden oder Interessenten erhält und diese nur in Ihrem Auftrag verarbeitet, brauchen Sie einen AVV.

AVV, gemeinsame Verantwortlichkeit und Funktionsübertragung

Die richtige Einordnung des Verhältnisses entscheidet darüber, welches Vertragswerk Sie benötigen. Drei Konstellationen sind zu unterscheiden:

• Auftragsverarbeitung (Art. 28 DSGVO): Der Dienstleister verarbeitet ausschließlich weisungsgebunden und ohne eigenen Zweck. Es ist ein AVV erforderlich.
• Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Zwei oder mehr Parteien legen gemeinsam Zwecke und Mittel der Verarbeitung fest. Hier ist kein AVV, sondern eine Vereinbarung über die gemeinsame Verantwortlichkeit (Joint Controller Agreement) zu schließen.
• Funktionsübertragung: Der Empfänger bestimmt eigenständig über Zwecke und Mittel und ist damit selbst Verantwortlicher. Statt eines AVV braucht es eine eigene Rechtsgrundlage für die Datenübermittlung.

Die Abgrenzung ist nicht akademisch: Wer fälschlich einen AVV abschließt, wo eigentlich gemeinsame Verantwortlichkeit vorliegt, dokumentiert die Pflichten der Beteiligten falsch – mit denselben Haftungsrisiken wie ein fehlender Vertrag.

Was muss ein Auftragsverarbeitungsvertrag enthalten?

Gemäß Art. 28 Abs. 3 muss die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags mit dem Verantwortlichen erfolgen. Diese Vereinbarung muss genaue Angaben zu folgenden Punkten enthalten:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen

Komponenten eines Auftragsverarbeitungsvertrags

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Rechte und Pflichten des Verantwortlichen
• Pflichten des Auftragsverarbeiters
• Einbindung von Subunternehmern

AVV

Art. 28 Abs. 3 sieht zudem vor, dass der AVV auch die in Art. 32 DSGVO genannten technischen und organisatorischen Maßnahmen (TOM) des Auftragnehmers zur Sicherheit der Verarbeitung enthält.

Bedient sich der Auftragsverarbeiter weiterer Subunternehmen zur Erfüllung seines Auftrags, müssen deren technische und organisatorische Maßnahmen in die eigenen TOM eingebunden werden. Zudem müssen auch mit den Subunternehmern AVV geschlossen werden.

Wie Sie einen vorliegenden AVV Klausel für Klausel auf Vollständigkeit und DSGVO-Konformität prüfen, zeigt unsere Checkliste zur AVV-Prüfung.

Technische und organisatorische Maßnahmen (TOM)

Die TOM nach Art. 32 DSGVO sind das Herzstück eines jeden AVV: Sie beschreiben konkret, wie der Auftragsverarbeiter die Sicherheit der Verarbeitung gewährleistet. Maßgeblich ist ein dem Risiko angemessenes Schutzniveau. Typischerweise umfassen die TOM:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten
• Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
• Zugangs-, Zutritts- und Zugriffskontrolle sowie Trennung der Verarbeitung
• die Fähigkeit, die Verfügbarkeit der Daten nach einem Zwischenfall rasch wiederherzustellen
• ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen

Die TOM gehören als Anlage zum AVV und sollten so konkret sein, dass sich ihre Einhaltung im Streitfall nachweisen lässt. Pauschale Formulierungen genügen den Anforderungen aus Art. 32 nicht.

Die Form des Vertragsschlusses

Art. 28 Abs. 9 DSGVO sieht vor, dass der AVV schriftlich abzufassen ist, was auch in einem elektronischen Format erfolgen kann. Damit ist der klassische Weg der Schriftform gemeint – eine gedruckte Vertragsversion mit den Unterschriften der Parteien, die über den Postweg eingeholt werden.

Das genannte elektronische Format ist dabei nicht im Sinne der „elektronischen Form" nach Paragraph 126a BGB zu verstehen, sondern vielmehr als ein AVV, der in einem Datei-Format abgebildet wird. Dies entspräche der Textform im Sinne von Paragraph 126b BGB.

Geht man von der Textform nach Paragraph 126b BGB aus, muss die Vereinbarung, in der die Person des Erklärenden genannt ist, auf einem dauerhaften Datenträger abgegeben werden. Als dauerhafter Datenträger gilt jedes Medium, das es dem Empfänger ermöglicht, eine darauf befindliche Erklärung aufzubewahren oder zu speichern, und das geeignet ist, die Erklärung unverändert wiederzugeben.

Die Übersendung der AV-Vereinbarung als PDF-Datei per E-Mail ist damit grundsätzlich auch ohne Eintragung individueller Kundendaten möglich. Es genügt aber nicht, wenn der AVV nur auf der Website abrufbar ist, da diese nicht geeignet ist, die Erklärung unverändert wiederzugeben. Wichtig ist, dass aus dem übersendeten Dokument der Name des Erklärenden hervorgeht, damit das Textformerfordernis erfüllt ist.

Die Erklärung, dass der Kunde mit dem AVV einverstanden ist, kann ebenfalls elektronisch erfolgen. Hier gelten im Grunde keine Besonderheiten. Möglich sind unter anderem das Anklicken einer Checkbox, die Zustimmung per E-Mail oder auf andere unmissverständliche Weise. Wichtig ist nur, dass die Zustimmung ausreichend dokumentiert wird.

AVV als AGB-Anhang

AVV können räumlich gesehen als Anhang der AGB hinzugefügt werden. Allerdings handelt es sich beim AVV um eine separate Vereinbarung, die einer ausdrücklichen Zustimmung des Kunden bedarf. Zudem liegt die Vermutung nahe, dass Klauseln zur Regelung des Auftragsverarbeitungsverhältnisses gemäß Paragraph 305c BGB (überraschende und mehrdeutige Klauseln) nicht Bestandteil der AGB werden. Aufgrund des Formerfordernisses bietet es sich daher an, den AVV als separates PDF-Dokument zum Download anzubieten.

Die Zustimmungserklärung kann auch hier, wie oben beschrieben, elektronisch eingeholt werden.

Folgen eines fehlenden AVV

Fehlt ein erforderlicher AVV, ist das ein Verstoß gegen Art. 28 Abs. 3 DSGVO – mit Konsequenzen für beide Seiten, vor allem aber für den Auftragnehmer:

• Haftung des Auftragnehmers wie ein Verantwortlicher: Der AVV ist das Instrument, das die Verantwortlichkeiten und die Haftung zwischen den Parteien regelt und die weisungsgebundene Rolle des Auftragsverarbeiters dokumentiert. Ohne ihn kann sich der Auftragnehmer nicht mehr auf diese privilegierte Rolle berufen und trägt das Haftungsrisiko, das ein AVV andernfalls vertraglich verteilt und auf den Verantwortlichen ausrichtet. Bestimmt der Auftragnehmer mangels Weisungsgrundlage sogar Zwecke und Mittel der Verarbeitung selbst, gilt er nach Art. 28 Abs. 10 ausdrücklich als Verantwortlicher und haftet entsprechend.
• Bußgelder: Der Verstoß gegen Art. 28 kann nach Art. 83 Abs. 4 mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Die Pflicht trifft beide Parteien, sodass die Aufsichtsbehörde grundsätzlich beide Seiten in Anspruch nehmen kann.
• Schadensersatz und Reputationsrisiko: Betroffene können nach Art. 82 DSGVO Schadensersatz verlangen; hinzu kommen Abmahnungen und ein erheblicher Vertrauensverlust.

Der AVV ist also kein bürokratischer Selbstzweck, sondern genau das Instrument, das die Haftung zwischen Verantwortlichem und Auftragsverarbeiter ordnet und den Auftragnehmer vor der vollen Verantwortlichenhaftung schützt.

AVV-Muster: Vorlage zum Download

Einen AVV von Grund auf zu erstellen, ist gerade für kleinere Unternehmen und Start-ups aufwändig. Eine geprüfte Vorlage stellt sicher, dass kein Pflichtbestandteil nach Art. 28 DSGVO fehlt, und lässt sich an Ihre konkrete Verarbeitung anpassen.

Unsere kostenlose AVV-Vorlage zum Download enthält alle erforderlichen Klauseln und dient als Ausgangspunkt für Ihre eigene Auftragsverarbeitung.

AVV prüfen und verwalten

Mit zunehmender Zahl an Dienstleistern wächst auch die Zahl der AVV, die Sie schließen, prüfen und über ihre Laufzeit hinweg im Blick behalten müssen. Wer hier den Überblick verliert, riskiert lückenhafte Dokumentation – und damit genau die Haftung, die der AVV eigentlich abwenden soll.

In einer Vertragsmanagement-Plattform wie top.legal lassen sich AVV zentral ablegen, mit den passenden TOM verknüpfen, fristgerecht verlängern und auf Knopfdruck nachweisen. So bleibt die Auftragsverarbeitung jederzeit prüfsicher dokumentiert.

Häufige Fragen zum Auftragsverarbeitungsvertrag

Was ist ein AVV einfach erklärt?

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag nach Art. 28 DSGVO, mit dem ein Unternehmen einem Dienstleister erlaubt, personenbezogene Daten in seinem Auftrag und nach seinen Weisungen zu verarbeiten. Er legt fest, welche Daten zu welchem Zweck verarbeitet werden und wie sie geschützt sind.

Wer braucht einen Auftragsverarbeitungsvertrag?

Jedes Unternehmen, das personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt – etwa über Cloud-Hosting, Newsletter-Tools oder Lohnabrechnung. Die Pflicht trifft sowohl den Verantwortlichen als auch den Auftragsverarbeiter.

Ist ein AVV gesetzlich vorgeschrieben?

Ja. Liegt eine Auftragsverarbeitung vor, ist der Abschluss eines AVV nach Art. 28 Abs. 3 DSGVO zwingend. Ohne ihn ist die Verarbeitung unrechtmäßig.

Wer muss den AVV bereitstellen?

In der Praxis stellt meist der Auftragsverarbeiter, also der Dienstleister, ein Muster bereit. Verantwortlich für den wirksamen Abschluss bleiben jedoch beide Parteien.

Was passiert ohne AVV?

Der fehlende AVV verstößt gegen Art. 28 Abs. 3 DSGVO. Vor allem trägt der Auftragnehmer dann das Haftungsrisiko wie ein Verantwortlicher, da der AVV diese Haftung sonst vertraglich verteilt und die weisungsgebundene Rolle dokumentiert. Hinzu kommen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes sowie Schadensersatzansprüche der Betroffenen.

Muss ein AVV unterschrieben werden?

Der AVV muss nach Art. 28 Abs. 9 DSGVO schriftlich abgefasst werden, was auch elektronisch (in Textform) möglich ist. Eine eigenhändige Unterschrift ist nicht zwingend – entscheidend ist, dass der Erklärende erkennbar ist und die Zustimmung dokumentiert wird.