Auftragsverarbeitungsvertrag (AVV)
Ein Auftragsverarbeitungsvertrag (AVV) ist der nach Art. 28 Abs. 3 DSGVO vorgeschriebene Vertrag zwischen einem Unternehmen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag und nach dessen Weisung verarbeitet — etwa ein Hoster, ein E-Mail-Dienst oder ein CRM-Anbieter.
Das Unternehmen bleibt „Verantwortlicher“, der Dienstleister ist „Auftragsverarbeiter“. Der AVV legt fest, was der Dienstleister mit den Daten tun darf — und was nicht.
Art. 28 Abs. 3 DSGVO verlangt, dass der Vertrag Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen beschreibt. Außerdem muss er dem Dienstleister bestimmte Pflichten auferlegen: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit der eingesetzten Personen, Sicherheitsmaßnahmen nach Art. 32, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe nach Vertragsende sowie Nachweise und Kontrollen.
Weitere Dienstleister (Unterauftragsverarbeiter) darf der Auftragsverarbeiter nur mit vorheriger Genehmigung einschalten (Art. 28 Abs. 2 DSGVO) und muss ihnen dieselben Datenschutzpflichten auferlegen (Art. 28 Abs. 4 DSGVO). Verstöße gegen Art. 28 können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Worauf du achten solltest
- Liste aller Dienstleister anlegen, die Zugriff auf personenbezogene Daten haben: Hosting, E-Mail, Newsletter, CRM, Buchhaltung, Support-Tools.
- Mit jedem einen AVV schließen — bei großen Anbietern meist als Standardvertrag im Kundenkonto abrufbar.
- Prüfen, ob der AVV die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO abdeckt und die technischen und organisatorischen Maßnahmen (TOMs) konkret beschreibt.
- Liste der Unterauftragsverarbeiter anfordern und Änderungen im Blick behalten.
- AVVs zentral ablegen, damit sie bei einer Nachfrage der Aufsichtsbehörde schnell vorliegen.
Typische Fehler
- Der AVV fehlt ganz, weil „der Anbieter das schon geregelt hat“.
- Der Verarbeitungszweck ist so vage beschrieben, dass er praktisch alles abdeckt.
- Neue Tools werden eingeführt, ohne dass jemand an den AVV denkt.
Häufige Fragen
In der Regel ja: Der Hoster verarbeitet in deinem Auftrag personenbezogene Daten, etwa Formularanfragen oder Server-Logdateien. Dafür verlangt Art. 28 Abs. 3 DSGVO einen Vertrag.
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen sowie die Pflichten des Dienstleisters nach Art. 28 Abs. 3 lit. a bis h DSGVO — von der Weisungsbindung bis zur Löschung nach Vertragsende.
Ja. Für Hosting, Wartung und Software-Betrieb stellt Circle seinen Kunden einen Auftragsverarbeitungsvertrag bereit.
Rechtsgrundlagen: Art. 28 Abs. 2, 3 und 4 DSGVO · Art. 83 Abs. 4 DSGVO · Stand