Der Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist erforderlich, wenn ein externer Dienstleister personenbezogene Daten im Auftrag und grundsätzlich nach Weisung eines Verantwortlichen verarbeitet. Typische Fälle betreffen Cloud- und Hosting-Dienste, IT-Support, Newsletter-Systeme oder andere ausgelagerte Datenverarbeitungen.

Entscheidend ist jedoch nicht die Bezeichnung des Dienstleisters, sondern seine tatsächliche Rolle nach der DSGVO. Dieser Beitrag erklärt, wann eine Auftragsverarbeitung vorliegt, welche Pflichtinhalte ein AVV nach Art. 28 Abs. 3 DSGVO enthalten muss, wie Unterauftragsverarbeiter zu behandeln sind und welche Kontroll-, Haftungs- und Drittlandanforderungen Unternehmen beachten müssen. Außerdem werden aktuelle Vorgaben des Europäischen Datenschutzausschusses sowie das Vodafone-Bußgeld der BfDI eingeordnet.

Auftragsverarbeitungsvertrag (AVV): Was Art. 28 DSGVO verlangt

Kaum ein Unternehmen verarbeitet personenbezogene Daten heute noch allein. Cloud-Speicher, Newsletter-Tools, Lohnabrechnung, IT-Support: Überall greifen externe Dienstleister auf Kundendaten oder Beschäftigtendaten zu. Genau hier setzt der Auftragsverarbeitungsvertrag (kurz AVV) an. Art. 28 DSGVO verlangt ihn immer dann, wenn ein Dienstleister Daten nicht für sich selbst, sondern weisungsgebunden für ein anderes Unternehmen verarbeitet. Fehlt der Vertrag oder ist er lückenhaft, drohen Bußgelder, Haftungsrisiken und Ärger mit der Aufsichtsbehörde. Dieser Beitrag erklärt, wer Auftragsverarbeiter ist, wann eine Auftragsverarbeitung vorliegt, was in den AVV gehört und welche Fehler in der Praxis teuer werden.

Was ist ein Auftragsverarbeiter nach der DSGVO?

Art. 4 Nr. 8 DSGVO definiert den Auftragsverarbeiter als Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche wiederum ist nach Art. 4 Nr. 7 DSGVO derjenige, der über die Zwecke und Mittel der Verarbeitung entscheidet. Die Rollenverteilung ist damit klar: Das Unternehmen bestimmt, wozu und wie Daten verwendet werden. Der Dienstleister setzt diese Vorgaben um, ohne eigene Zwecke zu verfolgen. Der frühere Begriff Auftragsdatenverarbeitung aus dem alten Bundesdatenschutzgesetz hält sich in vielen Verträgen hartnäckig, ist aber überholt.

Wann liegt eine Auftragsverarbeitung vor?

Von einer Auftragsverarbeitung spricht man, wenn der Dienstleister die Daten allein nach den dokumentierten Weisungen seines Auftraggebers verarbeitet und weder den Zweck noch die wesentlichen Mittel selbst festlegt. Maßgeblich ist die tatsächliche Ausgestaltung der Zusammenarbeit, nicht die Überschrift des Vertrags. Nennt ein Vertrag den Anbieter Auftragsverarbeiter, obwohl er die Daten in Wahrheit für eigene Zwecke nutzt, hilft das Etikett nicht weiter.

Welche Dienstleister sind typische Auftragsverarbeiter?

Die Datenschutzkonferenz der deutschen Aufsichtsbehörden (DSK) nennt in ihrem Kurzpapier Nr. 13 klassische Konstellationen: Rechenzentren für die Lohnabrechnung, Cloud-Anbieter und Hosting-Provider ohne inhaltlichen Zugriff für eigene Zwecke, Lettershops, Callcenter ohne eigenen Entscheidungsspielraum, Dienstleister für Datenerfassung und Archivierung, Aktenvernichter sowie IT-Dienstleister, die bei Wartung und Fernwartung auf personenbezogene Daten zugreifen können. Auch Newsletter-Dienste, Buchhaltungsdienstleister und Marketingagenturen sind in der Regel Auftragsverarbeiter, solange sie die Daten nur nach den Vorgaben ihres Kunden verwenden. Reine Infrastrukturleistungen ohne Datenzugriff, etwa Stromversorgung oder Gebäudetechnik, begründen dagegen keine Auftragsverarbeitung. 

Wann ist ein Dienstleister selbst Verantwortlicher?

Nicht jede externe Stelle, die Daten erhält, ist Auftragsverarbeiter. Berufsgeheimnisträger wie Rechtsanwälte, Steuerberater, Wirtschaftsprüfer und Ärzte handeln in eigener fachlicher Verantwortung und sind deshalb regelmäßig eigenständige Verantwortliche. Dasselbe gilt für Banken beim Zahlungsverkehr, Postdienste und Inkassounternehmen, die Forderungen aufkaufen. Wer mit solchen Stellen zusammenarbeitet, braucht keinen AVV, sondern eine eigene Rechtsgrundlage für die Übermittlung.

Umgekehrt kann ein Anbieter aus der Rolle des Auftragsverarbeiters herausfallen. Art. 28 Abs. 10 DSGVO ordnet an: Bestimmt ein Auftragsverarbeiter entgegen der Verordnung selbst die Zwecke und Mittel, gilt er insoweit als Verantwortlicher. Ein aktuelles Beispiel sind Software- und KI-Anbieter, die Kundendaten für eigene Analysen oder zum Trainieren ihrer Modelle verwenden. Eine solche Eigennutzung verlässt die Auftragsverarbeitung, mit allen Folgen für Rechtsgrundlage, Information der Betroffenen und Haftung. Der Europäische Gerichtshof hat mit Urteil vom 5. Dezember 2023 (Az. C-683/21) bestätigt, dass es für die Einstufung als Verantwortlicher auf die tatsächliche Einflussnahme auf Zwecke und Mittel ankommt, nicht auf eine förmliche Vereinbarung oder Bezeichnung.

Gemeinsame Verantwortlichkeit statt Auftragsverarbeitung

Legen zwei Unternehmen die Zwecke und Mittel gemeinsam fest, etwa bei einem gemeinsam betriebenen Kundenportal, liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Dann ist kein AVV, sondern ein Joint Controller Agreement erforderlich. Die Abgrenzung sollte vor Vertragsschluss geklärt werden. 

Warum verlangt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag?

Der AVV ist das rechtliche Bindeglied zwischen Verantwortlichem und Auftragsverarbeiter. Er stellt sicher, dass die Daten beim Dienstleister nicht schlechter geschützt sind als im eigenen Haus. Art. 28 Abs. 3 DSGVO schreibt deshalb vor, dass jede Auftragsverarbeitung auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen muss.

Drei Punkte sind in der Praxis entscheidend. Erstens: Der Vertrag muss vor Beginn der Verarbeitung stehen; eine nachträgliche Unterschrift heilt den Verstoß für die Vergangenheit nicht. Zweitens: Nach Art. 28 Abs. 9 DSGVO ist der Vertrag schriftlich abzufassen, wobei ein elektronisches Format genügt. Drittens: Ohne AVV ist die Weitergabe der Daten an den Dienstleister regelmäßig rechtswidrig, weil die Privilegierung der Auftragsverarbeitung entfällt.

Welche Pflichten treffen den Verantwortlichen schon vor Vertragsschluss?

Art. 28 Abs. 1 DSGVO erlaubt nur den Einsatz solcher Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Der Verantwortliche muss seinen Dienstleister also prüfen, bevor er ihn beauftragt, und diese Prüfung dokumentieren. Geeignete Nachweise sind Sicherheitskonzepte, Fragebögen, Auditberichte, Zertifizierungen wie ISO/IEC 27001 oder genehmigte Verhaltensregeln.

Wie ernst die Aufsichtsbehörden diese Auswahlpflicht nehmen, zeigt ein Verfahren aus dem Jahr 2025. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) verhängte am 3. Juni 2025 Geldbußen von insgesamt 45 Millionen Euro gegen die Vodafone GmbH. Davon entfielen 15 Millionen Euro auf einen Verstoß gegen Art. 28 Abs. 1 DSGVO: Partneragenturen, die im Auftrag von Vodafone Verträge vermittelten, waren nicht ausreichend geprüft und überwacht worden. Das Unternehmen akzeptierte die Bußgelder.

Was muss ein AVV nach Art. 28 Abs. 3 DSGVO enthalten?

Die Rahmenangaben zur Verarbeitung

Zunächst muss der Vertrag Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien der betroffenen Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Diese Angaben sollten so konkret sein, dass ein Außenstehender versteht, welche Daten wofür verarbeitet werden. Pauschale Formulierungen wie alle anfallenden Daten genügen nicht.

Die acht Pflichtinhalte eines AVV nach Art. 28 DSGVO

Art. 28 Abs. 3 Satz 2 DSGVO listet acht Pflichten des Auftragsverarbeiters, die der Vertrag abbilden muss:

1. Weisungsbindung (lit. a): Verarbeitung nur auf dokumentierte Weisung, ausdrücklich auch bei Übermittlungen in Drittländer.
2. Vertraulichkeit (lit. b): Alle eingesetzten Personen sind zur Verschwiegenheit verpflichtet.
3. Datensicherheit (lit. c): Umsetzung der Maßnahmen nach Art. 32 DSGVO, konkret in einer Anlage statt als Wiederholung des Gesetzestextes.
4. Unterauftragsverarbeiter (lit. d): Einhaltung der Bedingungen aus Art. 28 Abs. 2 und 4 DSGVO.
5. Betroffenenrechte (lit. e): Unterstützung bei Auskunft, Löschung und den übrigen Rechten, idealerweise mit festen Fristen.
6. Sicherheit und Meldepflichten (lit. f): Mitwirkung bei Datensicherheit, Datenpannen und Datenschutz-Folgenabschätzung.
7. Löschung oder Rückgabe (lit. g): Nach Vertragsende nach Wahl des Verantwortlichen, soweit keine Aufbewahrungspflicht entgegensteht.
8. Nachweise und Kontrollen (lit. h): Bereitstellung aller erforderlichen Informationen und Ermöglichung von Überprüfungen einschließlich Inspektionen.

Hinzu kommt eine Pflicht, die in vielen Verträgen fehlt: Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, muss er den Verantwortlichen unverzüglich darauf hinweisen.

Standardvertragsklauseln und Muster: Reicht ein Vordruck?

Die EU-Kommission hat mit Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern veröffentlicht. Sie decken die Pflichtinhalte des Art. 28 Abs. 3 DSGVO ab und können unverändert genutzt werden. Daneben sind Muster der Aufsichtsbehörden und die AVV-Vorlagen großer Anbieter verbreitet. Ein Vordruck ersetzt jedoch nicht die individuelle Anpassung: Die Anlagen zu Verarbeitungsgegenstand, Sicherheitsmaßnahmen und Unterauftragnehmern müssen für jeden Dienstleister eigens ausgefüllt werden. Genau dort entstehen die meisten Lücken. [Standardvertragsklauseln → Lexikon]

Was ist ein Auftragsverarbeiter?

Ein Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO eine rechtlich eigenständige Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der Verantwortliche legt den Zweck und die wesentlichen Mittel der Verarbeitung fest, während der Auftragsverarbeiter grundsätzlich dessen dokumentierten Weisungen folgt. Typische Auftragsverarbeiter sind etwa Hosting- und Cloud-Anbieter, externe Rechenzentren, Newsletter-Dienste, IT-Support-Unternehmen oder Aktenvernichter. Entscheidend ist jedoch nicht die Bezeichnung im Vertrag, sondern die tatsächliche Aufgabenverteilung. Nutzt ein Dienstleister die Daten für eigene Zwecke oder entscheidet er selbst über Zweck und wesentliche Mittel der Verarbeitung, ist er insoweit regelmäßig eigener Verantwortlicher. Zwischen Verantwortlichem und Auftragsverarbeiter muss grundsätzlich vor Beginn der Datenverarbeitung ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen werden.

Unterauftragsverarbeiter: Welche Regeln gelten in der Kette?

Setzt der Dienstleister seinerseits Subunternehmer ein, etwa einen Cloud-Anbieter für das Hosting, greifen Art. 28 Abs. 2 und 4 DSGVO. Der Auftragsverarbeiter braucht dafür eine vorherige schriftliche Genehmigung des Verantwortlichen. Zulässig ist auch eine allgemeine Genehmigung; dann muss er über jede geplante Änderung informieren und dem Verantwortlichen die Möglichkeit zum Einspruch geben. Dem Unterauftragsverarbeiter sind dieselben Datenschutzpflichten aufzuerlegen. Kommt er ihnen nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen.

Der Europäische Datenschutzausschuss (EDSA) hat diese Anforderungen in seiner Stellungnahme 22/2024 vom 7. Oktober 2024 konkretisiert. Danach muss der Verantwortliche die Identität aller Unterauftragsverarbeiter in der gesamten Kette kennen, nicht nur die der ersten Ebene. Der Auftragsverarbeiter muss diese Informationen von sich aus bereitstellen und aktuell halten. Die Prüfpflicht des Verantwortlichen gilt unabhängig vom Risiko; ihr Umfang darf aber risikoabhängig abgestuft werden. Die Verträge mit Unterauftragsverarbeitern muss er nicht routinemäßig anfordern, wohl aber bei Zweifeln an der Einhaltung.

Welche eigenen Pflichten hat der Auftragsverarbeiter?

Der Auftragsverarbeiter ist kein bloßer technischer Helfer. Die DSGVO legt ihm eigene Pflichten auf, die unabhängig vom Vertrag gelten. Er darf Daten nach Art. 29 DSGVO nur auf Weisung verarbeiten, muss nach Art. 30 Abs. 2 DSGVO ein Verzeichnis der im Auftrag durchgeführten Verarbeitungstätigkeiten führen, nach Art. 31 DSGVO mit den Aufsichtsbehörden zusammenarbeiten und nach Art. 32 DSGVO ein angemessenes Sicherheitsniveau gewährleisten. Erfährt er von einer Datenpanne, muss er sie dem Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich melden, denn dessen Frist von 72 Stunden gegenüber der Aufsichtsbehörde läuft ab Kenntnis. Unter den Voraussetzungen des Art. 37 DSGVO muss auch der Auftragsverarbeiter einen Datenschutzbeauftragten benennen. 

Wie müssen Verantwortliche ihre Auftragsverarbeiter kontrollieren?

Das Kontrollrecht aus Art. 28 Abs. 3 lit. h DSGVO ist nur so viel wert wie seine Ausübung. Die Aufsichtsbehörden erwarten dabei ein am Risiko ausgerichtetes Vorgehen: Bei einem unkritischen Anbieter kann eine schriftliche Eigenauskunft oder ein gültiges Zertifikat genügen. Bei Kernsystemen mit sensiblen Daten, etwa Personalsoftware, Patientendaten oder Zahlungsdaten, sind dagegen aussagekräftige Prüfberichte oder eine Prüfung vor Ort angemessen. Die Kontrolle sollte in festen Abständen wiederholt und ihr Ergebnis schriftlich festgehalten werden. Der Vodafone-Fall zeigt: Ein Vertrag ohne gelebte Kontrolle schützt nicht vor einem Bußgeld.

Drittlandtransfer: Reicht der AVV bei Anbietern außerhalb der EU?

Nein. Der AVV regelt nur das Innenverhältnis zum Dienstleister. Findet die Verarbeitung außerhalb des Europäischen Wirtschaftsraums statt oder greift von dort jemand auf die Daten zu, sind zusätzlich die Vorgaben des Kapitels V der DSGVO (Art. 44 ff.) zu beachten. Erforderlich ist dann etwa ein Angemessenheitsbeschluss der EU-Kommission oder der Abschluss der Standardvertragsklauseln für Drittlandübermittlungen nach Durchführungsbeschluss (EU) 2021/914. Deren Modul 2 für die Übermittlung an einen Auftragsverarbeiter enthält bereits die Pflichtinhalte des Art. 28 Abs. 3 DSGVO, sodass ein zusätzlicher AVV nicht zwingend ist; ergänzende Regelungen dürfen den Klauseln aber nicht widersprechen. Auch der Fernzugriff eines Dienstleisters aus einem Drittland auf Daten, die in der EU gespeichert sind, zählt als Übermittlung.

Welche Bußgelder und Haftungsrisiken drohen bei Verstößen?

Bußgelder nach Art. 83 DSGVO

Verstöße gegen Art. 28 DSGVO fallen nach Art. 83 Abs. 4 lit. a DSGVO in den unteren Bußgeldrahmen: bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Die Höhe richtet sich nach Art, Schwere und Dauer des Verstoßes, dem Verschulden, der Zahl der Betroffenen und der Zusammenarbeit mit der Behörde. Bußgelder können sowohl gegen den Verantwortlichen als auch gegen den Auftragsverarbeiter verhängt werden.

Der EuGH hat in der Entscheidung C-683/21 zudem klargestellt, dass ein Bußgeld ein schuldhaftes, also vorsätzliches oder fahrlässiges Verhalten voraussetzt. Zugleich muss der Verantwortliche grundsätzlich auch für rechtswidrige Verarbeitungen seines Auftragsverarbeiters einstehen, solange dieser im Rahmen des Auftrags handelt. Erst wenn der Dienstleister eigene Zwecke verfolgt oder die Weisungen verlässt, endet diese Zurechnung.

Schadensersatz nach Art. 82 DSGVO

Betroffene Personen können nach Art. 82 Abs. 1 DSGVO Ersatz materieller und immaterieller Schäden verlangen, wahlweise vom Verantwortlichen oder vom Auftragsverarbeiter. Der Auftragsverarbeiter haftet nach Art. 82 Abs. 2 DSGVO allerdings nur, wenn er seine speziell ihm auferlegten Pflichten verletzt oder gegen rechtmäßige Weisungen verstoßen hat. Sind mehrere Stellen beteiligt, haftet nach Art. 82 Abs. 4 DSGVO jede für den gesamten Schaden; der interne Ausgleich folgt aus Art. 82 Abs. 5 DSGVO. Ein sauber formulierter AVV mit klaren Regelungen zu Weisungen, Haftung und Freistellung ist deshalb auch wirtschaftlich wertvoll.

Welche Rolle spielen NIS-2, DORA und KI-Verordnung?

Der AVV steht nicht allein. Unternehmen im Anwendungsbereich von NIS-2 müssen die Sicherheit ihrer Lieferkette auch gegenüber IT-Dienstleistern vertraglich absichern. Finanzunternehmen unterliegen mit DORA weitergehenden Vorgaben für Verträge mit IKT-Dienstleistern. Wer KI-Systeme einsetzt, muss neben der KI-Verordnung stets prüfen, ob der Anbieter die eingegebenen Daten für eigene Zwecke nutzt und damit die Auftragsverarbeitung verlässt. Ein moderner AVV berücksichtigt diese Schnittstellen.

Welche Fehler machen Unternehmen beim AVV besonders häufig?

In der Beratungspraxis wiederholen sich bestimmte Schwachstellen. Der Vertrag wird erst nach dem Start der Zusammenarbeit unterschrieben oder gar nicht, weil der Dienstleister als reiner Techniklieferant wahrgenommen wird. Die Anlage zu den Sicherheitsmaßnahmen gibt den Gesetzestext wieder, statt konkrete Maßnahmen zu benennen. Die Liste der Unterauftragnehmer wurde seit Vertragsschluss nie aktualisiert. Für das Vertragsende fehlt ein Löschkonzept. Das vereinbarte Kontrollrecht wird nie ausgeübt. Klauseln, die dem Anbieter eine Nutzung der Daten zu eigenen Zwecken erlauben, bleiben stehen. Mit eigenständig Verantwortlichen wie Steuerberatern wird vorsorglich ein AVV geschlossen, der die Rollen verfälscht. Und die Meldefristen bei Datenpannen sind so lang, dass der Verantwortliche seine eigene Frist nach Art. 33 DSGVO nicht einhalten kann.

Praxistipps: So bringen Unternehmen ihre Auftragsverarbeitung in Ordnung

1. Bestandsaufnahme: Alle Dienstleister mit Zugriff auf personenbezogene Daten erfassen und für jeden die Rolle klären.
2. Auswahl dokumentieren: Vor der Beauftragung Nachweise zu den Sicherheitsmaßnahmen einholen und die Bewertung festhalten.
3. AVV vor Beginn schließen: Rahmenangaben und Pflichtklauseln abdecken, Anlagen individuell ausfüllen, Meldefristen an Art. 33 DSGVO anpassen.
4. Unterauftragnehmer im Blick behalten: Aktuelle Listen mit Standort, Tätigkeit und Zugriffsart einfordern und Änderungsmitteilungen prüfen.
5. Drittlandbezug prüfen: Bei Anbietern außerhalb des EWR das passende Transferinstrument wählen und die Risikobewertung dokumentieren.
6. Kontrolle leben: Turnusmäßige Prüfungen einplanen, Ergebnisse dokumentieren und bei Auffälligkeiten nachfassen.

SBS Legal - Kanzlei für Datenschutzrecht

SBS LEGAL ist spezialisiert auf Datenschutzrecht und begleitet Unternehmen, Dienstleister und Start-ups datenschutzrechtlich rund um die Auftragsverarbeitung – von der Gestaltung, Prüfung und Verhandlung des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO bis zur laufenden Betreuung. Wir klären die Rollenverteilung zwischen Verantwortlichem, Auftragsverarbeiter und gemeinsam Verantwortlichen, prüfen Anbieter-AVV auf versteckte Eigennutzungsklauseln, gestalten die Anlagen zu Sicherheitsmaßnahmen und Unterauftragnehmern und begleiten Sie bei Drittlandübermittlungen sowie im Kontakt mit Aufsichtsbehörden.

Haben Sie Fragen zum Thema Auftragsverarbeitungsvertrag?

Kontaktieren Sie uns bei Fragen zum Auftragsverarbeitungsvertrag, zur Einordnung Ihrer Dienstleister oder zur Prüfung bestehender AVV.

Der Erstkontakt zu SBS Legal ist kostenlos.