Auftragsverarbeitungsvertrag (AVV) abschließen: Vorlage + Pflichtangaben

Sobald ein Unternehmen einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, etwa einen Hosting-Anbieter, ein CRM-System oder ein Newsletter-Tool, verlangt die DSGVO einen schriftlichen Auftragsverarbeitungsvertrag (AVV). Ohne diesen Vertrag drohen Bußgelder nach Art. 83 DSGVO, unabhängig davon, ob tatsächlich Daten abfließen. Dieser Beitrag zeigt, wann ein AVV Pflicht ist, welche Angaben er nach Art. 28 DSGVO enthalten muss und worauf du beim Abschluss achten solltest.

Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Ein AVV ist eine vertragliche Vereinbarung zwischen einem Verantwortlichen (deinem Unternehmen) und einem Auftragsverarbeiter (dem Dienstleister), der in deinem Auftrag personenbezogene Daten verarbeitet. Der Auftragsverarbeiter handelt dabei ausschließlich nach deinen Weisungen und darf die Daten nicht für eigene Zwecke nutzen. Typische Beispiele sind Cloud-Speicher, E-Mail-Marketing-Anbieter, Buchhaltungssoftware oder Support-Tools, die Kundendaten in deinem Namen verarbeiten.

Rechtsgrundlage ist Art. 28 DSGVO. Er verpflichtet dich als Verantwortlichen dazu, nur mit Auftragsverarbeitern zusammenzuarbeiten, die ausreichende Garantien für technische und organisatorische Maßnahmen bieten, und diese Zusammenarbeit vertraglich zu regeln.

Wann brauchst du einen AVV?

Ein AVV ist immer dann erforderlich, wenn ein Dritter in deinem Auftrag Zugriff auf personenbezogene Daten erhält und diese verarbeitet, speichert oder überträgt. Das betrifft in der Praxis fast jedes Unternehmen, das Software-as-a-Service nutzt:

• Webhosting- und Serveranbieter, siehe die Übersicht zu Webhosting-Anbieter
• CRM-Systeme zur Verwaltung von Kunden- und Kontaktdaten, etwa aus der Kategorie CRM-Software
• Personalmanagement- und Recruiting-Tools mit Bewerberdaten, siehe HR Tools
• Newsletter- und E-Mail-Marketing-Anbieter, siehe Newsletter-Tools
• Consent-Management-Lösungen, die selbst personenbezogene Einwilligungsdaten verarbeiten, siehe Consent Management Platformen

Kein AVV ist notwendig, wenn der Dienstleister als eigenständig Verantwortlicher auftritt, etwa ein Steuerberater oder Rechtsanwalt, der im Rahmen einer gesetzlichen Verpflichtung eigenverantwortlich handelt. Hier greift stattdessen meist eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder ein eigenständiges Mandatsverhältnis.

Pflichtangaben nach Art. 28 Abs. 3 DSGVO

Ein AVV ist nur dann wirksam, wenn er die in Art. 28 Abs. 3 DSGVO festgelegten Mindestinhalte enthält. Fehlt einer dieser Punkte, gilt der Vertrag als unvollständig und damit als Verstoß gegen die DSGVO. Folgende Angaben sind zwingend:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung (z. B. Speichern, Übermitteln, Löschen)
• Art der personenbezogenen Daten (z. B. Namen, E-Mail-Adressen, IP-Adressen)
• Kategorien betroffener Personen (z. B. Kunden, Mitarbeiter, Website-Besucher)
• Pflichten und Rechte des Verantwortlichen
• Weisungsgebundenheit des Auftragsverarbeiters
• Vertraulichkeitsverpflichtung für alle zugriffsberechtigten Personen
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO
• Regelungen zum Einsatz von Subunternehmern (Unterauftragsverarbeitern)
• Löschung oder Rückgabe der Daten nach Vertragsende

Die acht Pflichten des Auftragsverarbeiters

Neben den Mindestinhalten schreibt Art. 28 Abs. 3 Satz 2 Buchstabe a bis h acht konkrete Pflichten vor, die der Auftragsverarbeiter erfüllen muss. Ein rechtssicherer AVV bildet jede davon als eigenen Klauselblock ab:

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen
• Sicherstellung der Vertraulichkeit bei allen zugriffsberechtigten Personen
• Einhaltung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO
• Einholung einer vorherigen Genehmigung vor Einbindung weiterer Subunternehmer
• Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO
• Löschung oder Rückgabe aller Daten nach Abschluss der Verarbeitung
• Bereitstellung aller Informationen, die für Nachweis- und Kontrollpflichten sowie Audits erforderlich sind

Ein Vertrag, der diese Pflichten nur pauschal erwähnt statt sie konkret zu regeln, hält einer Prüfung durch Aufsichtsbehörden in der Regel nicht stand.

AVV abschließen: So gehst du in der Praxis vor

Die meisten etablierten SaaS-Anbieter stellen einen fertigen AVV-Entwurf bereit, den du prüfen und unterzeichnen kannst. Gehe dabei in drei Schritten vor:

• Vertragsentwurf anfordern. Frage beim Anbieter aktiv nach dem AVV, falls er nicht automatisch im Bestellprozess oder in den AGB verlinkt ist.
• Mindestinhalte gegenprüfen. Gleiche den Entwurf mit der obigen Checkliste ab. Fehlen Angaben zu Subunternehmern, Löschfristen oder technischen Maßnahmen, fordere eine Ergänzung ein.
• Unterschrift und Ablage. Unterzeichne den Vertrag digital oder per Hand und lege ihn zusammen mit dem Verarbeitungsverzeichnis ab, damit er bei einer Prüfung durch die Aufsichtsbehörde sofort vorliegt.

Für die Verwaltung mehrerer AVV-Dokumente über verschiedene Anbieter hinweg lohnt sich ein zentrales Ablagesystem, etwa aus der Kategorie Software für papierloses Büro, damit Verträge, Fristen und Unterauftragsverarbeiter jederzeit auffindbar bleiben.

Häufige Fehler beim AVV

In der Praxis tauchen immer wieder dieselben Lücken auf: Unternehmen schließen zwar einen AVV mit dem Hauptanbieter ab, prüfen aber nicht, welche Subunternehmer dieser wiederum einsetzt. Ein weiterer häufiger Fehler ist die fehlende Aktualisierung des Vertrags, wenn sich der Verarbeitungszweck ändert, etwa weil ein Tool um neue Datenkategorien erweitert wird. Auch der Serverstandort wird oft übersehen: Liegt er außerhalb der EU, braucht es zusätzlich zum AVV geeignete Garantien für die Drittlandübermittlung, etwa Standardvertragsklauseln.

Fazit

Ein AVV ist keine reine Formalität, sondern eine gesetzliche Pflicht, sobald Daten außerhalb deines Unternehmens verarbeitet werden. Prüfe bei jedem neuen Software-Einsatz, ob eine Auftragsverarbeitung vorliegt, fordere den Vertrag aktiv an und gleiche ihn mit den zehn Mindestangaben sowie den acht Pflichten aus Art. 28 DSGVO ab. So vermeidest du Bußgelder und schaffst gleichzeitig Vertrauen bei deinen Kunden.