Glossar · Datenschutz & Recht
Was ist ein Auftragsverarbeitungsvertrag?
Kurz erklärt
Ein Auftragsverarbeitungsvertrag (AVV) ist nach DSGVO Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet – etwa ein Cloud-Anbieter oder IT-Dienstleister. Er regelt, wie der Dienstleister die Daten schützt und wofür er sie nutzen darf.
Ein Auftragsverarbeitungsvertrag (AVV) ist nach Artikel 28 der DSGVO Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet. Das betrifft etwa Cloud-Anbieter, IT-Dienstleister oder Newsletter-Tools. Der Vertrag regelt, wie der Dienstleister die Daten schützen muss und wofür er sie verwenden darf.
Wann brauche ich einen Auftragsverarbeitungsvertrag?
Immer dann, wenn ein externer Dienstleister personenbezogene Daten nach Ihren Weisungen verarbeitet. Sie bleiben verantwortlich, der Dienstleister handelt nur in Ihrem Auftrag.
- Cloud-Dienste wie Microsoft 365, Webhosting oder Cloud-Telefonanlage
- IT-Dienstleister mit Fernzugriff auf Ihre Systeme
- Newsletter-, CRM- und Ticketsysteme
- Rechenzentren für die Lohnabrechnung, Aktenvernichtung, Callcenter
Kein Auftragsverarbeitungsvertrag ist laut Datenschutzkonferenz in der Regel nötig bei Berufsgeheimnisträgern wie Steuerberatern oder Rechtsanwälten, die eigenverantwortlich tätig sind. Sie verarbeiten die Daten auf eigener Rechtsgrundlage.
Im Zweifel hilft eine Frage: Entscheidet der Dienstleister selbst, wofür er die Daten nutzt, oder arbeitet er nur nach Ihren Vorgaben?
Was muss in einem Auftragsverarbeitungsvertrag stehen?
Die DSGVO schreibt die Mindestinhalte vor. Große Anbieter stellen dafür Standardverträge bereit, die Sie prüfen und ablegen sollten.
| Inhalt | Worum es geht |
|---|---|
| Gegenstand und Dauer | Welche Leistung wird erbracht, wie lange? |
| Art und Zweck der Verarbeitung | Was passiert mit den Daten und wozu? |
| Art der Daten und Betroffene | etwa Kundendaten oder Beschäftigtendaten |
| Weisungsbindung | Der Dienstleister verarbeitet nur nach Ihren Vorgaben. |
| Technische und organisatorische Maßnahmen (TOM) | Wie werden die Daten geschützt? |
| Unterauftragnehmer | Welche weiteren Dienstleister sind beteiligt? |
| Kontrolle, Rückgabe und Löschung | Prüfrechte sowie Umgang mit Daten am Vertragsende |
Der Vertrag muss schriftlich abgeschlossen werden, ein elektronisches Format ist ausdrücklich erlaubt. Viele Cloud-Anbieter binden ihn in ihre Online-Vertragsbedingungen ein.
Achten Sie besonders auf die Liste der Unterauftragnehmer. Sie zeigt, welche weiteren Firmen auf Ihre Daten zugreifen können und ob Daten in Länder außerhalb der EU gelangen.
Was passiert ohne Auftragsverarbeitungsvertrag?
Fehlt ein erforderlicher Auftragsverarbeitungsvertrag, ist die Weitergabe der Daten an den Dienstleister nicht ausreichend abgesichert. Die Aufsichtsbehörde kann dann Bußgelder verhängen.
Bei Verstößen gegen die Pflichten aus Artikel 28 sieht die DSGVO Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. In der Praxis fällt das Fehlen oft erst bei einer Kontrolle, einem Datenleck oder einer Kundenanfrage auf.
Beispiele aus der Praxis
Im Alltag kommen schnell mehr Dienstleister zusammen, als man denkt. Drei typische Fälle zeigen, wo ein Vertrag nötig ist.
- Arztpraxis: Die Online-Terminbuchung speichert Namen, Telefonnummern und Termingründe der Patienten.
- Onlinehändler: Das Newsletter-Tool verwaltet E-Mail-Adressen, der Versanddienstleister erhält Lieferadressen über eine Schnittstelle.
- Handwerksbetrieb: Die Cloud-Software für Angebote und Rechnungen enthält Kundendaten, der IT-Dienstleister wartet die Rechner per Fernzugriff.
In allen drei Fällen verarbeitet ein externer Anbieter personenbezogene Daten nach Vorgaben des Unternehmens. Prüfen Sie jeweils, ob ein Vertrag vorliegt.
Was bedeutet ein Auftragsverarbeitungsvertrag für Ihr Unternehmen?
Für die Geschäftsführung ist der Auftragsverarbeitungsvertrag vor allem eine Frage der Ordnung. Wer seine Dienstleister kennt und die Verträge griffbereit hat, ist bei Anfragen und Prüfungen gut aufgestellt.
- Alle Dienstleister mit Zugriff auf personenbezogene Daten auflisten, auch kleine Tools.
- Für jeden prüfen, ob ein AVV vorliegt, große Anbieter stellen ihn meist online bereit.
- Verträge zentral ablegen und im Verzeichnis der Verarbeitungstätigkeiten verknüpfen.
- Bei neuen Tools den AVV zur Voraussetzung für den Start machen.
Kostenfaktor ist vor allem die Zeit für Bestandsaufnahme und Prüfung. Ein typischer Fehler: Mitarbeitende nutzen kostenlose Online-Dienste, ohne dass jemand an einen Vertrag gedacht hat.
Bei Bestandsaufnahme und Dokumentation hilft unsere Leistung DSGVO für KMU. Dieser Beitrag ersetzt keine Rechtsberatung.
Häufige Fragen zu Auftragsverarbeitungsvertrag
Muss ich den AVV unterschreiben?
Er muss schriftlich abgeschlossen werden, was auch in einem elektronischen Format möglich ist. Viele Cloud-Anbieter binden ihn in die Vertragsbedingungen ein, die Sie online akzeptieren. Speichern Sie die gültige Fassung trotzdem ab.
Was ist der Unterschied zwischen AVV und TOM?
Der AVV ist der Vertrag. Die TOM (technische und organisatorische Maßnahmen) sind ein Bestandteil davon und beschreiben konkret, wie der Dienstleister die Daten schützt.
Brauche ich auch mit meinem IT-Dienstleister einen Auftragsverarbeitungsvertrag?
In der Regel ja, wenn er bei Wartung oder Fernzugriff auf personenbezogene Daten zugreifen kann. Die Datenschutzkonferenz nennt IT-Wartung mit möglichem Datenzugriff ausdrücklich als Beispiel.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema Auftragsverarbeitungsvertrag (AVV)
Leistung
DSGVO für KMU — rechtssicher aufstellen, Abmahnungen vermeiden
DSGVO für KMU: Abmahnschutz, anwaltlich geprüfte Rechtstexte und Datenschutzbeauftragter über unsere Partner-Kanzlei. Technische Umsetzung ab 490 € netto.
Zur Leistung →Im Shop
DSGVO-Audit & Roadmap
Bestandsaufnahme Ihrer Datenverarbeitung mit Risiko-Matrix, Soll-Ist-Vergleich und priorisierter Maßnahmen-Liste. 490 € netto, 2 Wochen.
490,00 € zzgl. MwSt.
Zum Produkt →Weiterlesen
Verwandte Begriffe
Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
