Auftragsverarbeitungsvertrag (AVV): Warum ein unterschriebenes Muster allein nicht ausreicht
Dachau, Oktober 2026. Kaum ein Unternehmen verarbeitet personenbezogene Daten heute noch vollständig selbst. Cloud-Speicher, E-Mail-Dienste, Newsletter-Tools, externe Lohnabrechnung, IT-Dienstleister mit Fernwartungszugang oder Rechenzentren übernehmen Teile der Verarbeitung. Für jede dieser Konstellationen verlangt Artikel 28 der DSGVO in der Regel eine besondere Form der Datenschutzvereinbarung, den Auftragsverarbeitungsvertrag, kurz AVV. In der Beratungspraxis der ituso GmbH zeigt sich immer wieder dasselbe Bild: Verträge fehlen ganz, stammen aus der Zeit vor der DSGVO oder wurden als Muster unterschrieben, ohne dass jemand die Anlagen geprüft hat.
Was ein AVV ist und wann er nötig wird
Ein AVV regelt das Verhältnis zwischen dem verantwortlichen Unternehmen und einem Dienstleister, der personenbezogene Daten weisungsgebunden in dessen Auftrag verarbeitet. Er kann schriftlich oder in elektronischer Form geschlossen werden. Typische Fälle sind Cloud- und Hosting-Anbieter, Software-as-a-Service-Lösungen, externe Rechenzentren, Lohnabrechnungsdienstleister, Callcenter, Aktenvernichter und IT-Dienstleister, die bei Wartung oder Support auf personenbezogene Daten zugreifen können.
Nicht jede Zusammenarbeit ist Auftragsverarbeitung. Berufsgeheimnisträger wie Steuerberater oder Rechtsanwälte handeln in der Regel eigenverantwortlich, ebenso Banken oder Postdienstleister. Bestimmen zwei Unternehmen Zwecke und Mittel gemeinsam, liegt eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO vor, die einen anderen Vertrag erfordert. Die richtige Einordnung ist der erste und oft unterschätzte Schritt.
Diese Inhalte muss ein AVV mindestens regeln
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung und Vertraulichkeitsverpflichtung der eingesetzten Personen
- technische und organisatorische Maßnahmen (TOMs) nach Artikel 32 DSGVO
- Regeln für den Einsatz von Unterauftragsverarbeitern
- Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzungen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweispflichten sowie Kontroll- und Inspektionsrechte des Auftraggebers
Die acht häufigsten Fallstricke aus der Praxis
- Falsche Einordnung: Es wird ein AVV geschlossen, obwohl eine eigenständige oder gemeinsame Verantwortung vorliegt, oder umgekehrt fehlt er bei echter Auftragsverarbeitung.
- Leere oder pauschale Anlagen: Die vom Dienstleister bereitgestellten TOMs bestehen aus Floskeln, die keinen Rückschluss auf das tatsächliche Schutzniveau zulassen.
- Unterauftragsverarbeiter ohne Überblick: Der Dienstleister setzt weitere Anbieter ein, die Liste ist veraltet oder unvollständig, Änderungen werden nicht mitgeteilt.
- Drittlandtransfer übersehen: Daten fließen zu Anbietern außerhalb der EU, ohne dass eine Rechtsgrundlage wie ein Angemessenheitsbeschluss oder Standardvertragsklauseln geprüft wurde.
- Kein Plan für das Vertragsende: Es ist nicht geregelt, wie und bis wann Daten gelöscht oder zurückgegeben werden.
- Kontrollrechte nur auf dem Papier: Der Auftraggeber lässt sich nie Nachweise wie Zertifikate oder Prüfberichte vorlegen.
- Kein Vertragsmanagement: Niemand weiß, welche AVV existieren, wo sie liegen und wann sie überprüft werden müssen. Die Verknüpfung mit dem Verzeichnis der Verarbeitungstätigkeiten fehlt.
- Kein AVV bei kostenlosen Tools: Viele Anbieter von Online-Diensten lassen sich ihre günstigen oder kostenlosen Einstiegsversionen mit den Daten der Auftraggeber bezahlen, sie bieten keinen AVV und definieren die eigene Rolle nicht als Auftragsverarbeiter – und können dann mit den Daten des Auftraggebers für eigene Zwecke weiterarbeiten.
AVV-Muster: hilfreich, aber kein Selbstläufer
Muster sind ein guter Ausgangspunkt. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht, außerdem bieten Aufsichtsbehörden und Fachverbände Vorlagen an. Große Anbieter legen ohnehin eigene Vertragswerke vor, die nicht verhandelbar sind. In allen Fällen gilt: Entscheidend sind die konkreten Angaben in den Anlagen, also welche Daten verarbeitet werden, welche Schutzmaßnahmen tatsächlich bestehen und welche Unterauftragnehmer beteiligt sind. Ein unterschriebenes, aber unvollständiges Muster schützt im Ernstfall nicht.
Verstöße gegen die Pflichten aus Artikel 28 DSGVO können nach Artikel 83 Absatz 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Hinzu kommt ein zweiter Treiber: Mit NIS2 rückt die Sicherheit der Lieferkette in den Fokus. Wer Dienstleister sauber vertraglich steuert, erfüllt damit zugleich einen Teil der Anforderungen an die Informationssicherheit.
Wie ituso Unternehmen unterstützt
ituso prüft bestehende Dienstleisterbeziehungen im Rahmen eines Datenschutz-Audits oder der laufenden Datenschutzberatung, ordnet sie korrekt ein, bewertet vorgelegte Verträge und TOMs und schließt Lücken. Als externer Datenschutzbeauftragter führt ituso Verträge und Nachweise strukturiert in einer webbasierten Datenschutzmanagement-Software, verknüpft mit dem Verzeichnis der Verarbeitungstätigkeiten. So ist jederzeit nachvollziehbar, mit welchen Dienstleistern ein Unternehmen arbeitet und auf welcher Grundlage.
Häufige Fragen
Über die ituso GmbH
Die ituso GmbH mit Hauptsitz in Dachau bei München ist seit 2015 Ansprechpartner für Datenschutz und Informationssicherheit. Das Beratungsunternehmen betreut kleine und mittelständische Unternehmen sowie Fachabteilungen unterschiedlicher Branchen und Größen in der Region D-A-CH, von Hamburg bis München und von Köln bis Dresden. Zum Leistungsspektrum gehören die Stellung externer Datenschutzbeauftragter, Datenschutzberatung und Datenschutz-Audits, der Datenschutz-Beratertag, die Stellung externer Informationssicherheitsbeauftragter sowie die Begleitung beim Aufbau eines Informationssicherheitsmanagementsystems (ISMS) nach ISO 27001. Die gesamte Datenschutzdokumentation der Kunden wird in einer webbasierten Datenschutzmanagement-Software geführt, auf die Kunden jederzeit Zugriff haben.
Das Team aus zertifizierten Datenschutzbeauftragten, Datenschutz- und Informationssicherheits-Auditoren, IT-Sicherheitsbeauftragten und Projektmanagern arbeitet nach dem Motto „Wir kümmern uns“. Rund 75 Prozent der Neukunden kommen auf Empfehlung. Geschäftsführer sind Mirko Tasch und Florian Padberg. Kunden in der Schweiz und in Liechtenstein betreut die Schwesterfirma ituso Schweiz GmbH mit Sitz in Wallisellen bei Zürich.
