Glossar · Datenschutz & Recht
Was ist ein Auftragsverarbeitungsvertrag?
Kurz erklärt
Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet – etwa ein Cloud-Anbieter, IT-Dienstleister oder Newsletter-Tool. Er regelt, wie der Dienstleister die Daten schützen muss und wofür er sie verwenden darf.
Wann brauche ich einen AVV?
Immer dann, wenn ein externer Dienstleister personenbezogene Daten nach Ihren Weisungen verarbeitet. Typische Beispiele:
- Cloud-Dienste wie Microsoft 365, Hosting oder Cloud-Telefonanlage
- IT-Dienstleister mit Fernzugriff auf Ihre Systeme
- Newsletter-, CRM- und Ticket-Systeme
- Lohnabrechnung durch externe Anbieter, Aktenvernichtung, Callcenter
Kein AVV ist in der Regel nötig bei Berufsgeheimnisträgern wie Steuerberatern oder Rechtsanwälten, die eigenverantwortlich tätig sind.
Was muss in einem AVV stehen?
| Inhalt | Worum es geht |
|---|---|
| Gegenstand und Dauer | Welche Leistung wird erbracht, wie lange? |
| Art der Daten und Betroffene | z. B. Kundendaten, Beschäftigtendaten |
| Weisungsbindung | Der Dienstleister verarbeitet nur nach Ihren Vorgaben. |
| Technische und organisatorische Maßnahmen (TOM) | Wie werden die Daten geschützt? |
| Unterauftragnehmer | Welche weiteren Dienstleister sind beteiligt? |
| Kontroll- und Löschpflichten | Prüfrechte, Rückgabe und Löschung am Vertragsende |
Was passiert ohne AVV?
Fehlt ein erforderlicher AVV, ist die Datenweitergabe an den Dienstleister nicht ausreichend abgesichert. Die Datenschutzaufsicht kann Bußgelder verhängen – bei Verstößen gegen Art. 28 DSGVO bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. In der Praxis fällt das oft erst bei einer Kontrolle, einem Datenleck oder einer Kundenanfrage auf.
So behalten Sie den Überblick
- Alle Dienstleister mit Zugriff auf personenbezogene Daten auflisten.
- Für jeden prüfen, ob ein AVV vorliegt – große Anbieter stellen ihn meist online bereit.
- Verträge zentral ablegen und im Verzeichnis der Verarbeitungstätigkeiten verknüpfen.
- Bei neuen Tools den AVV zur Voraussetzung für den Start machen.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung.
Häufige Fragen
Muss ich den AVV unterschreiben?
Er muss schriftlich oder in einem elektronischen Format abgeschlossen werden. Viele Cloud-Anbieter binden ihn in die Vertragsbedingungen ein, die Sie online akzeptieren.
Was ist der Unterschied zwischen AVV und TOM?
Der AVV ist der Vertrag. Die TOM (technische und organisatorische Maßnahmen) sind ein Bestandteil davon und beschreiben konkret, wie der Dienstleister die Daten schützt.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema Auftragsverarbeitungsvertrag (AVV)
Leistung
DSGVO für KMU — rechtssicher aufstellen, Abmahnungen vermeiden
DSGVO für KMU: Abmahnschutz, anwaltlich geprüfte Rechtstexte und Datenschutzbeauftragter über unsere Partner-Kanzlei. Technische Umsetzung ab 490 € netto.
Zur Leistung →Im Shop
DSGVO-Audit & Roadmap
Bestandsaufnahme Ihrer Datenverarbeitung mit Risiko-Matrix, Soll-Ist-Vergleich und priorisierter Maßnahmen-Liste. 490 € netto, 2 Wochen.
490,00 € zzgl. MwSt.
Zum Produkt →Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
