Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.
Kurz gesagt: Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, zum Beispiel Ihr Webhoster, Ihr Cloud-Speicher, Ihr Newsletter-Tool oder Ihr IT-Support mit Fernzugriff. Grundlage ist Art. 28 DSGVO. Der Vertrag muss schriftlich oder elektronisch geschlossen werden und bestimmte Pflichtinhalte haben. Keinen AVV brauchen Sie bei Dienstleistern, die eigenverantwortlich arbeiten, etwa Steuerberater, Rechtsanwälte oder Banken.
Was ist ein Auftragsverarbeitungsvertrag?
Die DSGVO unterscheidet zwischen dem Verantwortlichen (Art. 4 Nr. 7), der über Zweck und Mittel einer Datenverarbeitung entscheidet, und dem Auftragsverarbeiter (Art. 4 Nr. 8), der Daten im Auftrag des Verantwortlichen verarbeitet. Der Auftragsverarbeiter arbeitet weisungsgebunden. Die Datenschutzkonferenz (DSK) beschreibt das als „Innenverhältnis": Die Verarbeitung durch den Dienstleister wird Ihnen als Verantwortlichem zugerechnet.
Der AVV regelt genau dieses Verhältnis. Er heißt auch Auftragsverarbeitungsvereinbarung, AV-Vertrag oder kurz AVV. Auf Englisch heißt er Data Processing Agreement (DPA) oder Data Processing Addendum.
Wann ist ein AVV erforderlich?
Immer, wenn diese drei Punkte zusammenkommen:
- Ein externer Dienstleister verarbeitet personenbezogene Daten (dazu zählt schon das Speichern, Auslesen oder Abfragen).
- Er tut das in Ihrem Auftrag, für Ihre Zwecke.
- Er entscheidet nicht selbst, wofür die Daten verwendet werden.
Die DSK nennt in ihrem Kurzpapier Nr. 13 typische Beispiele für Auftragsverarbeitung:
- Cloud-Computing, bei dem der Anbieter die Daten nicht inhaltlich nutzt (dazu zählt Webhosting und Server-Hosting)
- Auslagerung der E-Mail-Verwaltung oder von Datendiensten rund um Websites, etwa die Betreuung von Kontaktformularen
- Auslagerung von Backups und Archivierung
- Datenträgerentsorgung durch Dienstleister, also auch die Aktenvernichtung
- Datenerfassung, Datenkonvertierung oder das Einscannen von Dokumenten
- Verarbeitung von Werbeadressen in einem Lettershop
- Callcenter ohne wesentliche eigene Entscheidungsspielräume
- Lohn- und Finanzbuchhaltung durch Rechenzentren
- Fernwartung und externer IT-Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann
Rein technische Wartung ohne Datenzugriff, zum Beispiel an Strom, Kühlung oder Heizung, ist laut DSK dagegen keine Auftragsverarbeitung.
Und die Druckerei? Es kommt darauf an, ob sie personenbezogene Daten verarbeitet. Druckt sie nur Ihre Broschüre, nein. Verarbeitet sie Adresslisten, um personalisierte Mailings zu drucken und zu versenden, liegt ein Fall wie beim Lettershop nahe.
Wann brauchen Sie keinen AVV?
Wenn der Dienstleister eigenverantwortlich handelt. Die DSK nennt als Beispiele:
- Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte, Wirtschaftsprüfer und externe Betriebsärzte
- Inkassobüros mit Forderungsübertragung
- Banken für den Geldtransfer
- Postdienste für den Brieftransport
Hier brauchen Sie stattdessen eine eigene Rechtsgrundlage nach Art. 6 DSGVO für die Übermittlung. Entscheiden mehrere Stellen gemeinsam über Zweck und Mittel, liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Dafür gibt es eine andere Vereinbarung.
Was muss in einem AVV stehen? (Art. 28 Abs. 3 DSGVO)
Den Mindestinhalt des Auftragsverarbeitungsvertrags gibt Art. 28 Abs. 3 DSGVO vor. Der Vertrag muss Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie Ihre Rechte und Pflichten als Verantwortlicher festlegen. Außerdem muss er vorsehen, dass der Auftragsverarbeiter:
- Daten nur auf Ihre dokumentierte Weisung verarbeitet, auch was Übermittlungen in Drittländer angeht
- seine Mitarbeitenden zur Vertraulichkeit verpflichtet
- alle nach Art. 32 erforderlichen Sicherheitsmaßnahmen ergreift (die technischen und organisatorischen Maßnahmen, kurz TOM)
- Unterauftragsverarbeiter nur mit Ihrer vorherigen Genehmigung einsetzt und Sie über Änderungen informiert
- Sie bei Anfragen betroffener Personen unterstützt (Auskunft, Löschung usw.)
- Sie bei Sicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzung unterstützt
- nach Vertragsende alle Daten nach Ihrer Wahl löscht oder zurückgibt
- Ihnen alle nötigen Informationen zum Nachweis bereitstellt und Überprüfungen ermöglicht
Wichtig: Der Vertrag muss schriftlich abgefasst sein, ein elektronisches Format reicht aus (Art. 28 Abs. 9). Die EU-Kommission hat dafür auch Standardvertragsklauseln veröffentlicht (Durchführungsbeschluss (EU) 2021/915), auf die ein AVV ganz oder teilweise gestützt werden kann.
Checkliste: AVV prüfen
- [ ] Sind Gegenstand, Dauer, Zweck, Datenarten und Betroffene konkret beschrieben?
- [ ] Ist die Weisungsbindung geregelt?
- [ ] Liegen die TOM als Anlage bei, und passen sie zum Risiko Ihrer Daten?
- [ ] Gibt es eine Liste der Unterauftragsverarbeiter mit Standorten?
- [ ] Sind Übermittlungen in Drittländer (z. B. USA) mit einer Rechtsgrundlage abgesichert?
- [ ] Ist geregelt, wie schnell der Dienstleister Datenpannen meldet?
- [ ] Steht drin, was nach Vertragsende mit Daten und Backups passiert?
- [ ] Haben Sie Kontroll- und Auskunftsrechte?
- [ ] Ist der AVV abgeschlossen (Klick im Kundenportal, Unterschrift oder Akzeptanz der Vertragsbedingungen) und abgelegt?
- [ ] Ist der Dienstleister in Ihrem Verzeichnis von Verarbeitungstätigkeiten als Empfänger eingetragen?
Beispiele: AVV bei bekannten Diensten
| Dienst | Typische Einordnung | Wo der AVV meist zu finden ist |
|---|---|---|
| Webhosting, Server, Cloud-Speicher | Auftragsverarbeitung | Kundenportal oder Vertragsunterlagen des Hosters |
| Microsoft 365 / Office 365 / Teams | Auftragsverarbeitung | Teil der Microsoft-Vertragsbedingungen (Data Protection Addendum) |
| Zoom, Webex und andere Videokonferenzdienste | Auftragsverarbeitung | DPA in den Vertrags- oder Datenschutzunterlagen des Anbieters |
| Newsletter-Tools (z. B. CleverReach) | Auftragsverarbeitung | meist im Kundenkonto abschließbar |
| Shop-Systeme als Software as a Service (z. B. Shopify) | Auftragsverarbeitung für die Shopdaten | Vertragsbedingungen / Datenschutzbereich des Anbieters |
| Cookie-Consent-Dienste (z. B. Cookiebot) | Auftragsverarbeitung | Vertragsbedingungen des Anbieters |
| Messenger wie WhatsApp Business | Einordnung umstritten, hängt von Variante und Nutzung ab | rechtlich prüfen lassen |
Gesucht wird oft der Auftragsverarbeitungsvertrag eines bestimmten Anbieters, etwa von Adobe, Cisco Webex, Vimeo, XING, YouTube oder DHL. Gehen Sie dabei in zwei Schritten vor. Erstens: Prüfen Sie, ob der Dienst überhaupt in Ihrem Auftrag und nach Ihrer Weisung Daten verarbeitet. Bei Versanddienstleistern oder eingebetteten Videos kann der Anbieter auch eigener Verantwortlicher sein; dann gibt es keinen AVV, sondern andere Pflichten, etwa Hinweise in Ihrer Datenschutzerklärung. Zweitens: Suchen Sie den Vertrag in den Vertrags-, Datenschutz- oder Trust-Center-Seiten des Anbieters; große Anbieter stellen ihre Auftragsverarbeitungsverträge meist als „Data Processing Agreement" (DPA) bereit.
Bei Anbietern mit Sitz oder Unterauftragnehmern außerhalb der EU reicht der AVV allein nicht: Für die Übermittlung braucht es zusätzlich eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Prüfen Sie die aktuellen Unterlagen des jeweiligen Anbieters; sie ändern sich regelmäßig.
Was passiert ohne AVV?
Fehlt ein erforderlicher AVV, verstoßen Sie gegen Art. 28 DSGVO. Dafür sind nach Art. 83 Abs. 4 Bußgelder von bis zu 10 Millionen Euro oder bis zu 2 % des weltweiten Jahresumsatzes möglich. Sie können auch den Auftragsverarbeiter treffen. Unabhängig von der Höhe: Ohne AVV können Sie nicht nachweisen, dass Ihre Dienstleister Daten ordnungsgemäß verarbeiten, und genau diese Nachweispflicht liegt bei Ihnen (Art. 5 Abs. 2).
AVV für Ihr Hosting bei GB Hosting
Als Webhoster verarbeiten wir die Daten auf Ihrem Hosting in Ihrem Auftrag. Den AVV nach Art. 28 DSGVO bekommen Sie bei uns für jeden Tarif ohne Aufpreis, inklusive TOM und Liste der Unterauftragsverarbeiter: Auftragsverarbeitungsvertrag von GB Hosting. Was sonst zu DSGVO-konformem Hosting gehört, lesen Sie im Blog DSGVO-konformes Hosting.
Häufige Fragen
Muss ein AVV unterschrieben werden?
Nein, eine handschriftliche Unterschrift ist nicht vorgeschrieben. Der Vertrag muss schriftlich abgefasst sein; ein elektronisches Format reicht (Art. 28 Abs. 9 DSGVO). Viele Anbieter bieten den Abschluss per Klick im Kundenkonto an.
Gibt es eine Vorlage oder ein Beispiel für einen AVV?
Ja. Die EU-Kommission hat Standardvertragsklauseln für Art. 28 veröffentlicht, und viele Aufsichtsbehörden und Verbände stellen Muster bereit, zum Beispiel die Gesellschaft für Datenschutz und Datensicherheit (GDD) mit ihrem Muster zur Auftragsverarbeitung gem. Art. 28 DS-GVO. In der Praxis verwenden Sie meist den AVV, den Ihr Dienstleister anbietet, und prüfen ihn mit der Checkliste oben.
Wie heißt der AVV auf Englisch?
Data Processing Agreement (DPA) oder Data Processing Addendum, nach Art. 28 GDPR.
Beispiele nach: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz), Kurzpapier Nr. 13. Datenlizenz Deutschland – Namensnennung – Version 2.0 (www.govdata.de/dl-de/by-2-0).