Auftragsverarbeitungsvertrag: Wann ein AVV Pflicht ist

Der Steuerberater, das Lohnbüro, der Cloud-Anbieter, das Newsletter-Werkzeug, die IT-Firma mit Fernwartungszugang: In jedem Unternehmen arbeiten Dienstleister mit personenbezogenen Daten. Für die meisten dieser Beziehungen verlangt die Datenschutz-Grundverordnung einen eigenen Vertrag – den Auftragsverarbeitungsvertrag, kurz AVV.

Er ist keine Formalie. Ohne ihn fehlt die Grundlage dafür, dass der Dienstleister die Daten überhaupt verarbeiten darf.

Wann die Pflicht greift

Art. 28 Abs. 3 DSGVO verlangt den Vertrag immer dann, wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet – also weisungsgebunden und ohne eigene Entscheidung über Zwecke und Mittel.

Eine Schwelle gibt es nicht. Die Pflicht hängt weder an der Unternehmensgröße noch am Datenvolumen noch an der Sensibilität der Daten. Sobald jemand für Sie mit personenbezogenen Daten arbeitet, ist der Vertrag fällig.

Typische Fälle sind die Lohnabrechnung durch ein externes Büro, Hosting und Cloud-Speicher, Wartung und Support mit Zugriff auf Systeme, Newsletter- und CRM-Werkzeuge, Aktenvernichtung sowie externe Callcenter.

Was muss in einem Auftragsverarbeitungsvertrag stehen?

Die Verordnung schreibt Schriftform vor; die elektronische Form genügt. Inhaltlich muss der Vertrag folgende Punkte regeln:

• Gegenstand und Dauer der Verarbeitung,
• Art und Zweck der Verarbeitung,
• die Kategorien personenbezogener Daten und der betroffenen Personen,
• sowie die Pflichten und Rechte des Verantwortlichen.

Der Kern steht in einem einzigen Satz: Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Alles Weitere – Vertraulichkeitsverpflichtung der eingesetzten Personen, technische und organisatorische Maßnahmen, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe nach Auftragsende – leitet sich aus dieser Grundstellung ab.

Die Auswahlpflicht vor dem Vertrag

Ein Punkt wird regelmäßig übersehen, weil er nicht in Absatz 3 steht, sondern davor: Art. 28 Abs. 1 DSGVO erlaubt nur die Zusammenarbeit mit Auftragsverarbeitern, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden.

Das ist eine Auswahlpflicht – und weil Garantien nicht behauptet, sondern belegt werden müssen, zugleich eine Prüfpflicht. Sie greift vor dem Vertragsschluss, nicht nach dem ersten Vorfall.

Was dafür genügt, richtet sich nach dem Risiko. Bei einem Anbieter, der Beschäftigten- oder Gesundheitsdaten verarbeitet, ist der Maßstab ein anderer als beim Terminbuchungswerkzeug. In der Praxis tragen drei Wege: eine ausgefüllte Selbstauskunft zu den getroffenen Maßnahmen, ein aktuelles Zertifikat oder Prüftestat mit Blick auf dessen Geltungsbereich – und in jedem Fall ein eigener Vermerk, was Sie geprüft haben und warum Sie es für ausreichend halten.

Der unterschriebene Vertrag beantwortet die Frage nach der Auswahl nicht. Er setzt sie voraus.

Die Kette der Unterauftragsverarbeiter

Nach Art. 28 Abs. 2 DSGVO darf ein Auftragsverarbeiter keinen weiteren Dienstleister einschalten, ohne dass Sie das genehmigt haben. Erteilen Sie eine allgemeine Genehmigung, muss er Sie über jede beabsichtigte Änderung informieren – und Sie können widersprechen.

Genau hier verläuft eine Grenze, die viele Unternehmen erst bemerken, wenn ihr Anbieter das Rechenzentrum wechselt. Wer die Änderungsmitteilungen nicht liest, verliert die Möglichkeit, rechtzeitig zu reagieren.

Wann ist ein AVV der falsche Vertrag?

Nicht jeder Dienstleister ist Auftragsverarbeiter. Die Abgrenzung entscheidet sich an einer Frage: Wer bestimmt über Zwecke und Mittel der Verarbeitung?

Entscheiden Sie allein und der Dienstleister führt aus, liegt Auftragsverarbeitung vor. Entscheiden Sie gemeinsam, sind Sie gemeinsam Verantwortliche nach Art. 26 DSGVO – dann braucht es keine Auftragsverarbeitung, sondern eine Vereinbarung darüber, wer welche Pflicht erfüllt, insbesondere gegenüber den betroffenen Personen.

Und manche Dienstleister sind schlicht eigene Verantwortliche: Der Steuerberater und der Rechtsanwalt verarbeiten Daten in Erfüllung eigener Berufspflichten, nicht auf Weisung. Für sie ist ein AVV der falsche Vertrag.

Bei gemeinsamer Verantwortlichkeit ist ein Punkt bemerkenswert: Betroffene können ihre Rechte nach Art. 26 Abs. 3 DSGVO gegenüber jedem der Beteiligten geltend machen, unabhängig davon, was intern vereinbart wurde. Die Aufteilung wirkt im Innenverhältnis; nach außen haften Sie für das Ganze.

Die Prüfung hört nach der Unterschrift nicht auf

Ein Auftragsverarbeitungsvertrag ist kein Dokument, das man einmal ablegt. Vier Ereignisse machen eine erneute Betrachtung nötig:

Der Dienstleister wechselt sein Rechenzentrum oder einen Unterauftragsverarbeiter. Dann ändern sich die technischen und organisatorischen Maßnahmen und möglicherweise der Drittlandbezug.

Der Leistungsumfang wächst. Aus dem Werkzeug für Terminbuchungen wird das System, in dem auch Gesundheitsdaten stehen – damit steigt der Prüfmaßstab.

Der Anbieter wird übernommen. Ein neuer Eigentümer kann andere Konzernstrukturen und andere Datenflüsse mitbringen.

Und die Rechtslage bewegt sich. Beim Wegfall des Privacy Shield im Juli 2020 gab es keine Übergangsfrist. Wer damals wusste, welche Dienstleister betroffen waren, konnte Verträge nachziehen; wer die Liste erst danach erstellte, verlor Wochen.

Was gilt, wenn der Dienstleister außerhalb der EU sitzt?

Sitzt der Dienstleister außerhalb der EU oder verarbeitet er dort, ist zusätzlich Kapitel V der DSGVO zu beachten. Für die Vereinigten Staaten besteht seit Juli 2023 ein Angemessenheitsbeschluss zum EU-US Data Privacy Framework, auf den sich Übermittlungen an zertifizierte Unternehmen stützen lassen.

Zwei Punkte gehören dazu: Prüfen Sie, ob der konkrete Anbieter tatsächlich zertifiziert ist – die Zugehörigkeit zu einem Konzern genügt nicht. Und sehen Sie nach, ob im Vertrag Standardvertragsklauseln als Auffangebene vorgesehen sind. Der Angemessenheitsbeschluss steht unter gerichtlicher Beobachtung; wer eine zweite Grundlage im Vertrag hat, muss bei einer Änderung der Lage nicht neu verhandeln.

Die häufigsten Fehler

Der Vertrag liegt vor, wurde aber nie gelesen. Vorlagen der Anbieter sind auf deren Interessen zugeschnitten. Wer sie ungeprüft unterschreibt, akzeptiert unter Umständen eine allgemeine Genehmigung für Unterauftragsverarbeiter ohne wirksames Widerspruchsrecht.

Die Anlage mit den technischen Maßnahmen fehlt. Sie ist der inhaltliche Kern und wird bei Vertragsvorlagen gern vergessen oder auf eine Internetseite verlinkt, deren Stand sich unbemerkt ändert.

Niemand weiß, wo die Verträge liegen. Im Prüfungsfall zählt nicht, dass sie existieren, sondern dass sie vorgelegt werden können.

Der praktische Einstieg

Legen Sie eine Liste aller Dienstleister an, die mit personenbezogenen Daten in Berührung kommen. Ordnen Sie jedem eine Rolle zu – Auftragsverarbeiter, gemeinsam Verantwortlicher oder eigener Verantwortlicher – und halten Sie fest, welcher Vertrag vorliegt und wann er zuletzt geprüft wurde.

Diese Liste erfüllt gleich mehrere Zwecke: Sie zeigt die Lücken, sie liefert die Empfängerkategorien für das Verzeichnis von Verarbeitungstätigkeiten, und sie beantwortet die Frage, die im Prüfungsfall regelmäßig zuerst gestellt wird.

Der Aufwand liegt bei einem halben Tag. Ohne diese Übersicht dauert dieselbe Auskunft Wochen.

Sie möchten die Dienstleisterprüfung nicht selbst führen? Unser externer Datenschutzbeauftragter übernimmt Einordnung, Verträge und Dokumentation. Wo Sie stehen, zeigt der kostenlose Datenschutz-Check in unter einer Minute. Ein Praxisfall, in dem der Auftragsverarbeitungsvertrag regelmäßig fehlt, ist die Kommunikation über Messenger: Welche Variante trägt, klärt der Beitrag WhatsApp im Unternehmen.