Auftragsverarbeitungsvertrag: sauber aufgesetzt
Jeder Dienstleister mit Zugriff auf personenbezogene Daten braucht einen AV-Vertrag – vom Cloudanbieter über die Lohnbuchhaltung bis zur IT-Wartung. Wir prüfen Ihre bestehenden Verträge, schließen Lücken und bringen Ordnung in Ihr Dienstleisterverzeichnis.
Pflichtinhalte nach Art. 28
- Gegenstand, Dauer, Art und Zweck
- Weisungsbindung und Vertraulichkeit
- Technische und organisatorische Maßnahmen
- Regelungen zu Unterauftragnehmern
- Löschung oder Rückgabe nach Vertragsende
Kurz beantwortet: Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO zwingend erforderlich, wenn ein Dienstleister personenbezogene Daten weisungsgebunden im Auftrag eines Verantwortlichen verarbeitet. Er regelt unter anderem Gegenstand und Dauer der Verarbeitung, die Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, den Einsatz von Unterauftragnehmern sowie Löschung und Kontrollrechte.
Wo überall ein AVV nötig ist
Die Liste ist länger, als die meisten vermuten. Typische Fälle im Mittelstand:
| Dienstleistung | AVV erforderlich? |
|---|---|
| Webhosting und Cloudspeicher | Ja |
| CRM-, ERP- und HR-Software als SaaS | Ja |
| Newsletter- und Marketing-Tools | Ja |
| Externe Lohnbuchhaltung | Ja |
| IT-Dienstleister mit Fernwartungszugriff | Ja |
| Aktenvernichtung mit personenbezogenen Unterlagen | Ja |
| Steuerberater und Rechtsanwälte | Nein – eigenverantwortlich tätig |
| Reine Transportdienstleistung ohne Datenzugriff | Nein |
Grenzfall Fernwartung: Auch wenn der Dienstleister die Daten nicht auswerten will, genügt die bloße Zugriffsmöglichkeit für die Pflicht zum AV-Vertrag. Das wird in der Praxis häufig übersehen.
Woran Verträge in der Praxis scheitern
Unterauftragnehmer
Pauschale Generalgenehmigung ohne Informationspflicht oder Widerspruchsrecht – ein häufiger Mangel in Anbieter-AGB.
Drittlandtransfer
Keine Angabe, wo verarbeitet wird, und keine Transfergrundlage für Verarbeitung außerhalb der EU.
Löschung
Unklare oder fehlende Regelung, was nach Vertragsende mit den Daten und Backups geschieht.
Kontrollrechte
Auf reine Selbstauskunft reduzierte Nachweise ohne belastbare Prüfmöglichkeit.
TOM-Anlage
Allgemeine Marketingfloskeln statt konkreter technischer und organisatorischer Maßnahmen.
Kein Überblick
Niemand weiß, welche Verträge existieren – und welche Dienstleister ohne Vertrag arbeiten.
Unsere Unterstützung
- Erfassung aller Dienstleister mit Datenzugriff
- Prüfung bestehender AV-Verträge auf die Pflichtinhalte
- Nachverhandlung kritischer Klauseln
- Bereitstellung geprüfter Vertragsmuster
- Bewertung von Drittlandtransfers
- Aufbau eines gepflegten Dienstleisterverzeichnisses
Häufige Fragen zum Auftragsverarbeitungsvertrag
Wann brauche ich einen AV-Vertrag?
Immer dann, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet – etwa Hosting, Cloud-Software, Newsletter-Tools, Lohnbuchhaltung oder externe IT-Wartung mit Datenzugriff. Rechtsgrundlage ist Art. 28 Abs. 3 DSGVO.
Was muss im AV-Vertrag stehen?
Zwingend: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien Betroffener, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln zu Unterauftragnehmern, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe nach Vertragsende sowie Nachweis- und Kontrollrechte.
Reicht der Standardvertrag des Anbieters?
Oft ja, aber nicht immer. Typische Schwachstellen sind pauschale Zustimmungen zu beliebigen Unterauftragnehmern, unklare Löschregelungen, fehlende Angaben zu Drittlandtransfers und ausgehöhlte Kontrollrechte. Wir prüfen die Verträge und verhandeln bei Bedarf nach.
Was gilt bei Dienstleistern außerhalb der EU?
Zusätzlich zum AV-Vertrag braucht es eine Transfergrundlage nach Kapitel V DSGVO – etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln samt Risikobewertung des Drittlands. Das betrifft viele US-Cloud-Dienste.
Was passiert ohne AV-Vertrag?
Die Verarbeitung erfolgt ohne zulässige Grundlage. Das kann nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden – und fällt bei jeder Prüfung sofort auf, weil die Verträge zum Standardrepertoire der Aufsichtsbehörden gehören.
Wissen Sie, wer alles Zugriff hat?
Wir verschaffen Ihnen den Überblick über Ihre Dienstleister und bringen die Verträge auf einen rechtssicheren Stand.