Das Wichtigste in Kürze

  • Ein AVV ist Pflicht, wenn ein Dienstleister personenbezogene Daten für dich verarbeitet.
  • Ohne AVV drohen Bußgelder und Abmahnungen – auch bei kleinen Verstößen.
  • Du musst den AVV vor der Datenverarbeitung abschließen, nicht erst später.

Stell dir vor: Du beauftragst einen Steuerberater, der deine Lohnabrechnung erledigt. Dafür gibst du ihm die Gehaltsdaten deiner Mitarbeiter. Oder du nutzt einen Cloud-Dienst, um deine Kundenkontakte zu verwalten. In beiden Fällen verarbeitet ein externer Dienstleister personenbezogene Daten für dich. Genau hier greift die Datenschutz-Grundverordnung: Du brauchst einen Auftragsverarbeitungsvertrag, kurz AVV.

Viele Unternehmer unterschätzen, wann ein AVV nötig ist und was passiert, wenn er fehlt. Das kann teuer werden. In diesem Artikel zeigen wir dir, welche Situationen einen AVV erfordern, welche Inhalte Pflicht sind und wie du typische Fehler vermeidest. Du bekommst konkrete Handlungsschritte, die du morgen umsetzen kannst – ohne Jurastudium.

Definition: Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag ist eine Vereinbarung zwischen dir als Verantwortlichem und einem Dienstleister als Auftragsverarbeiter. Darin regelst du, wie der Dienstleister personenbezogene Daten in deinem Auftrag verarbeiten darf. Das kann die Speicherung, Löschung oder auch die bloße Bereitstellung von IT-Systemen sein. Die DSGVO fordert diesen Vertrag in Artikel 28.

Der AVV ist keine optionale Formalie, sondern eine gesetzliche Pflicht. Er muss schriftlich oder elektronisch abgeschlossen werden. Mündliche Absprachen reichen nicht. Der Vertrag muss bestimmte Mindestinhalte abdecken, die ich dir gleich vorstelle. Ohne AVV handelst du rechtswidrig – selbst wenn der Dienstleister sorgfältig arbeitet.

  • Der AVV regelt alle Verarbeitungszwecke, die der Dienstleister für dich ausführen darf.
  • Er muss die Art der personenbezogenen Daten und die betroffenen Personengruppen benennen.
  • Der Vertrag verpflichtet den Dienstleister zur Einhaltung technischer und organisatorischer Maßnahmen.
  • Er muss Regelungen zur Unterbeauftragung enthalten, also wenn der Dienstleister Subunternehmer einsetzt.
  • Der AVV endet mit Pflichten zur Löschung oder Rückgabe der Daten nach Vertragsende.
Praxistipp: Nutze für den AVV keine selbst gebastelten Vorlagen, sondern prüfe, ob der Dienstleister ein DSGVO-konformes Muster anbietet – das ist oft der schnellste Weg.

Typische Fälle: Wann du einen AVV benötigst

Der häufigste Fall: Du nutzt Software-as-a-Service, also Cloud-Dienste wie Office 365, Dropbox oder einen CRM-Anbieter. Sobald du dort Kundendaten speicherst, verarbeitet der Anbieter Daten in deinem Auftrag. Auch bei der Nutzung von Buchhaltungssoftware, die deine Belege in der Cloud ablegt, ist ein AVV nötig. Selbst beim Versand von Newslettern über einen Dienstleister wie Mailchimp greift die Pflicht.

Nicht nur Software zählt. Wenn du eine Marketingagentur beauftragst, die für dich Werbung schaltet und dabei Daten von Kunden analysiert, ist das Auftragsverarbeitung. Auch ein IT-Dienstleister, der dein Netzwerk wartet und dabei Zugriff auf Dateien hat, fällt darunter. Entscheidend ist: Der Dienstleister hat Zugriff auf personenbezogene Daten, die du verantwortest.

  • Bei jedem externen Hosting deiner Website oder deines Shops – der Provider verarbeitet IP-Adressen und Nutzungsdaten.
  • Wenn du einen Steuerberater oder Lohnabrechnungsdienst beauftragst, der Gehaltsdaten verarbeitet.
  • Bei der Nutzung von Tracking-Tools oder Analyse-Diensten auf deiner Website, wie Google Analytics.
  • Wenn du ein Callcenter oder einen Kundenservice-Dienstleister einsetzt, der mit Kundendaten arbeitet.
  • Auch bei der Beauftragung eines Aktenvernichters, der vertrauliche Unterlagen entsorgt, ist ein AVV erforderlich.
Praxistipp: Prüfe einmal pro Jahr alle Dienstleister, mit denen du zusammenarbeitest – auch die, die du nur gelegentlich nutzt. So stellst du sicher, dass kein Fall durchrutscht.

Pflichtinhalte: Das muss dein AVV abdecken

Die DSGVO schreibt in Artikel 28 genau vor, welche Punkte ein AVV mindestens enthalten muss. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung sowie die Art der personenbezogenen Daten und die Kategorien betroffener Personen. Diese Angaben machen den Vertrag konkret und nachvollziehbar.

Weitere Pflichtinhalte sind die Pflichten des Auftragsverarbeiters, etwa zur Vertraulichkeit, zur Unterstützung bei Betroffenenrechten und zur Einhaltung von Sicherheitsmaßnahmen. Auch die Rechte des Verantwortlichen zur Kontrolle und die Bedingungen für den Einsatz von Unterauftragnehmern müssen geregelt sein. Zuletzt ist festzulegen, was mit den Daten nach Vertragsende passiert.

  • Gegenstand, Dauer, Art und Zweck der Verarbeitung müssen klar beschrieben sein.
  • Die Kategorien betroffener Personen und die Arten personenbezogener Daten müssen benannt werden.
  • Der Auftragsverarbeiter muss zur Vertraulichkeit verpflichtet werden.
  • Regelungen zu Unterauftragnehmern: Diese müssen schriftlich genehmigt werden.
  • Nach Vertragsende muss der Auftragsverarbeiter Daten löschen oder zurückgeben.
Praxistipp: Vergleich deinen AVV mit den Vorgaben aus Artikel 28 DSGVO – die meisten Muster decken diese ab, aber prüfe, ob auch die Unterbeauftragung geregelt ist.

So gehst du praktisch vor: AVV abschließen in 5 Schritten

Der erste Schritt: Identifiziere alle Dienstleister, die personenbezogene Daten für dich verarbeiten. Dazu gehören Cloud-Dienste, Software-Anbieter, aber auch Handwerker, die Zugriff auf deine IT haben. Schreib dir eine Liste mit allen Dienstleistern und der Art der Datenverarbeitung. So bekommst du einen Überblick über deinen Bedarf.

Der zweite Schritt: Prüfe, ob der Dienstleister einen AVV anbietet. Viele Software-Anbieter stellen den Vertrag direkt im Kundenportal bereit oder schließen ihn per Klick ab. Wenn nicht, frag aktiv nach. Bei kleineren Dienstleistern kann es sein, dass du den Vertrag selbst mitbringen musst. Nutze dann eine geprüfte Vorlage, etwa vom Branchenverband oder vom Datenschutzbeauftragten.

  • Erstelle eine Liste aller Dienstleister, die personenbezogene Daten verarbeiten.
  • Prüfe, ob der Dienstleister einen AVV anbietet oder ob du einen bereitstellen musst.
  • Vergleiche die Vertragsbedingungen mit den Pflichtinhalten aus Artikel 28 DSGVO.
  • Lass den Vertrag – wenn Unsicherheiten bestehen – von einem Datenschutzbeauftragten oder Anwalt prüfen.
  • Dokumentiere den Abschluss des AVV und bewahre ihn für Prüfungen auf.
Praxistipp: Setze dir eine Frist von zwei Wochen, um alle AVVs abzuschließen – so bleibt das Thema nicht liegen und du bist auf der sicheren Seite.

Häufige Fehler und Konsequenzen: Was du vermeiden solltest

Ein typischer Fehler ist, den AVV erst nach der Datenübermittlung abzuschließen. Das ist rechtswidrig, denn der Vertrag muss vor Beginn der Verarbeitung bestehen. Ein weiterer Fehler ist, den AVV als reine Formalie abzutun und nicht auf die Inhalte zu achten. Wenn der Vertrag Lücken hat, kann das im Streitfall zu Problemen führen.

Die Konsequenzen können teuer sein: Die Datenschutzbehörden können Bußgelder verhängen, die bei schweren Verstößen bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen können. Auch Abmahnungen durch Wettbewerber sind möglich. Zudem kann ein fehlender AVV deine Glaubwürdigkeit bei Kunden und Partnern beschädigen.

  • Schließe den AVV immer ab, bevor du Daten an den Dienstleister weitergibst.
  • Achte darauf, dass der Vertrag alle Pflichtinhalte aus Artikel 28 DSGVO abdeckt.
  • Prüfe, ob der Dienstleister Unterauftragnehmer einsetzt und dies im AVV geregelt ist.
  • Überprüfe regelmäßig, ob sich die Datenverarbeitung geändert hat und der AVV angepasst werden muss.
  • Bewahre den AVV sorgfältig auf – er ist Teil deiner Datenschutzdokumentation.
Praxistipp: Wenn du unsicher bist, ob ein Vertrag vollständig ist, hol dir eine Zweitmeinung von einem Datenschutzbeauftragten – das ist günstiger als ein Bußgeld.

Fazit

Ein Auftragsverarbeitungsvertrag ist kein bürokratisches Übel, sondern dein Schutz im Datenschutzrecht. Er stellt sicher, dass deine Daten bei Dienstleistern sicher und rechtskonform verarbeitet werden. Ohne AVV riskierst du Bußgelder und Vertrauensverlust. Die gute Nachricht: Die meisten Dienstleister haben Musterverträge, du musst sie nur anfordern und prüfen. Nimm dir die Zeit, deine Dienstleister zu inventarisieren und die Verträge abzuschließen. Damit bist du auf der sicheren Seite und kannst dich auf dein Kerngeschäft konzentrieren.

Passend dazu

Häufige Fragen

Brauche ich einen AVV auch für meine Website-Hosting?

Ja, wenn dein Hosting-Anbieter Zugriff auf personenbezogene Daten hat, die auf deiner Website verarbeitet werden, etwa IP-Adressen oder Kontaktformulare. Die meisten Anbieter haben einen AVV im Kundenbereich. Wenn nicht, fordere ihn an.

Was passiert, wenn ich keinen AVV abschließe?

Ohne AVV handelst du rechtswidrig. Die Datenschutzbehörde kann ein Bußgeld verhängen, das je nach Schwere bis zu 20 Millionen Euro oder 4 Prozent deines Jahresumsatzes betragen kann. Zudem riskierst du Abmahnungen und einen Vertrauensverlust bei Kunden.

Kann ich einen AVV mündlich abschließen?

Nein, die DSGVO verlangt, dass der Vertrag schriftlich oder in elektronischer Form abgeschlossen wird. Eine mündliche Vereinbarung ist nicht ausreichend. Du solltest immer eine dokumentierte, unterschriebene Version aufbewahren.

Muss ich als Kleinunternehmer einen AVV haben?

Ja, die Pflicht gilt unabhängig von der Unternehmensgröße. Auch als Einzelunternehmer oder Kleinbetrieb bist du für den Schutz personenbezogener Daten verantwortlich. Das gilt für jeden Dienstleister, der Daten für dich verarbeitet.