Auftragsverarbeitungsvertrag (AV-Vertrag) – Inhalte und Pflichten nach Art. 28 DSGVO

Was ist ein AV-Vertrag?

Ein Auftragsverarbeitungsvertrag (AV-Vertrag) ist ein Vertrag zwischen einem Unternehmen und einem Dienstleister, der in dessen Auftrag und nach dessen Weisung personenbezogene Daten verarbeitet. Er ist in Art. 28 DSGVO vorgeschrieben und legt fest, wie der Dienstleister die Daten schützen muss. Gebräuchlich sind auch die Abkürzungen AVV und ADV.

Das Unternehmen bleibt dabei der Verantwortliche. Es entscheidet über Zweck und Mittel der Verarbeitung und haftet gegenüber den Betroffenen. Der Dienstleister ist der Auftragsverarbeiter: Er darf die Daten nur so nutzen, wie es der Auftraggeber vorgibt, nicht für eigene Zwecke.

Wann brauche ich einen AV-Vertrag?

Sie brauchen einen AV-Vertrag immer dann, wenn ein externer Dienstleister personenbezogene Daten für Sie verarbeitet und dabei an Ihre Weisungen gebunden ist. Typische Beispiele aus dem Mittelstand:

• Cloud-Dienste und Software as a Service, etwa Microsoft 365, CRM- oder Buchhaltungssoftware
• Hosting der Website und E-Mail-Hosting
• IT-Dienstleister mit Fernwartung oder Zugriff auf Ihre Systeme
• Newsletter-Versand, Ticketing- oder Terminbuchungsdienste
• Externe Datensicherung, Aktenvernichtung und Archivierung
• Cloud-KI-Dienste, die Unternehmensdaten verarbeiten

Wann ist kein AV-Vertrag nötig?

Nicht jeder Dienstleister ist ein Auftragsverarbeiter. Kein AV-Vertrag ist nötig, wenn der Dienstleister selbst über die Daten entscheidet oder einer eigenen Berufspflicht unterliegt:

• Steuerberater, Rechtsanwälte und Wirtschaftsprüfer sind in der Regel eigenständig Verantwortliche.
• Banken, Post- und Paketdienste verarbeiten Daten für eigene Zwecke.
• Legen zwei Unternehmen Zweck und Mittel gemeinsam fest, liegt eine gemeinsame Verantwortlichkeit vor. Dafür ist eine eigene Vereinbarung nach Art. 26 DSGVO nötig.

Die Abgrenzung ist nicht immer eindeutig. Im Zweifel lohnt sich eine kurze Prüfung durch den Datenschutzbeauftragten.

Was muss in einem AV-Vertrag stehen?

Art. 28 Abs. 3 DSGVO schreibt die Mindestinhalte vor. Zuerst muss der Vertrag die Verarbeitung selbst beschreiben: Gegenstand und Dauer, Art und Zweck, die Arten personenbezogener Daten und die Kategorien betroffener Personen.

Dazu kommen acht Pflichten des Auftragsverarbeiters:

1. Verarbeitung nur auf Weisung

Der Dienstleister darf Daten nur auf dokumentierte Weisung verarbeiten, auch bei Übermittlungen in Drittländer.

2. Vertraulichkeit

Alle Personen, die Zugang zu den Daten haben, müssen zur Vertraulichkeit verpflichtet sein.

3. Technische und organisatorische Maßnahmen

Der Dienstleister muss die Sicherheit nach Art. 32 DSGVO gewährleisten. Seine TOM werden meist als Anlage zum Vertrag beschrieben.

4. Unterauftragsverarbeiter nur mit Genehmigung

Weitere Dienstleister darf er nur mit Ihrer vorherigen Genehmigung einschalten. Er muss ihnen dieselben Datenschutzpflichten auferlegen.

5. Unterstützung bei Betroffenenrechten

Er hilft Ihnen, Anfragen etwa zu Auskunft oder Löschung fristgerecht zu beantworten.

6. Unterstützung bei Sicherheit, Datenpannen und DSFA

Er unterstützt Sie bei der Datensicherheit, bei der Meldung von Datenpannen und bei Datenschutz-Folgenabschätzungen.

7. Löschung oder Rückgabe nach Vertragsende

Nach Ende des Auftrags werden die Daten nach Ihrer Wahl gelöscht oder zurückgegeben, sofern kein Gesetz die Aufbewahrung verlangt.

8. Nachweise und Kontrollen

Er stellt die Informationen bereit, mit denen Sie die Einhaltung prüfen können, und ermöglicht Überprüfungen einschließlich Inspektionen.

Tipp: Die EU-Kommission hat Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht (Durchführungsbeschluss (EU) 2021/915). Sie können als Vorlage dienen, ersetzen aber nicht die individuelle Beschreibung von Verarbeitung und TOM.

Was gilt für Unterauftragnehmer, Drittländer und Haftung?

Unterauftragsverarbeiter

Große Cloud-Anbieter arbeiten mit vielen Subunternehmern, etwa Rechenzentren oder Support-Dienstleistern. Meist wird dafür eine allgemeine Genehmigung erteilt: Der Anbieter führt eine Liste der Unterauftragnehmer und informiert Sie vorab über Änderungen. Sie haben dann ein Widerspruchsrecht (Art. 28 Abs. 2 DSGVO).

Datenübermittlung in Drittländer

Sitzt der Dienstleister oder einer seiner Unterauftragnehmer außerhalb der EU, braucht die Übermittlung eine eigene Grundlage nach Art. 44 ff. DSGVO. Bei US-Anbietern ist das häufig das EU-US Data Privacy Framework, sonst Standardvertragsklauseln. Prüfen Sie, wo Ihre Daten tatsächlich gespeichert werden.

Form des Vertrags

Der AV-Vertrag muss schriftlich oder in einem elektronischen Format geschlossen werden (Art. 28 Abs. 9 DSGVO). Eine Online-Zustimmung zu den Auftragsverarbeitungsbedingungen eines Cloud-Anbieters reicht aus, wenn sie dokumentiert ist.

Haftung und Bußgelder

Fehlt ein erforderlicher AV-Vertrag oder ist er unvollständig, drohen Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Das trifft beide Seiten: den Auftraggeber und den Dienstleister. Gegenüber Betroffenen haftet der Dienstleister, wenn er seine Pflichten verletzt oder gegen Weisungen handelt (Art. 82 Abs. 2 DSGVO).

Wie prüfe ich einen AV-Vertrag?

Viele Dienstleister liefern ihren eigenen AV-Vertrag. Unterschreiben Sie ihn nicht ungeprüft. Diese Fragen helfen bei der Prüfung:

1. Sind Gegenstand, Zweck, Datenarten und Betroffene konkret beschrieben, nicht nur pauschal?
2. Passen die genannten Daten zu dem, was Sie tatsächlich übermitteln?
3. Berücksichtigt der Vertrag besondere Kategorien wie Gesundheitsdaten (Art. 9 DSGVO), wenn diese vorkommen?
4. Sind die TOM beigefügt und konkret, nicht nur allgemeine Floskeln?
5. Sind Unterauftragnehmer aufgelistet und ihre Standorte genannt?
6. Ist geregelt, wie schnell der Dienstleister Datenpannen meldet?
7. Sind Löschung und Rückgabe nach Vertragsende klar geregelt?
8. Werden Ihnen Kontrollrechte eingeräumt, etwa durch Zertifikate oder Prüfberichte?

Legen Sie alle AV-Verträge zentral ab und verknüpfen Sie sie mit Ihrem Verzeichnis von Verarbeitungstätigkeiten.

Aus der Praxis

Bei der Prüfung von AV-Verträgen stößt man immer wieder auf Widersprüche zwischen den Vertragsteilen. Ein Beispiel aus unserer Praxis: Der Vertrag eines Dienstleisters führte in seiner Datenliste auch Gesundheitsdaten auf. Als Rechtsgrundlage nannte er aber nur Art. 6 DSGVO und ließ die strengeren Anforderungen aus Art. 9 völlig außer Acht. Für unseren Mandanten war das ein Grund, den Vertrag vor der Unterschrift nachbessern zu lassen.

Häufige Fragen zum AV-Vertrag

Wer muss den AV-Vertrag erstellen?

Das Gesetz legt das nicht fest. In der Praxis stellt meist der Dienstleister seinen Vertrag bereit. Verantwortlich dafür, dass ein passender Vertrag vorliegt, ist aber der Auftraggeber.

Brauche ich für Microsoft 365 einen AV-Vertrag?

Ja. Microsoft stellt dafür eigene Datenschutzbedingungen bereit, die Teil des Vertrags werden. Prüfen und dokumentieren sollten Sie sie trotzdem, insbesondere zu Speicherorten und Unterauftragnehmern.

Ist der IT-Dienstleister mit Fernwartung ein Auftragsverarbeiter?

In der Regel ja, wenn er bei der Wartung auf personenbezogene Daten zugreifen kann. Ein AV-Vertrag ist dann sinnvoll und meist erforderlich.

Was passiert, wenn ich keinen AV-Vertrag habe?

Die Datenweitergabe an den Dienstleister ist dann nicht ausreichend abgesichert. Die Aufsichtsbehörde kann ein Bußgeld verhängen. Schließen Sie den Vertrag deshalb so schnell wie möglich nach.

Muss ich AV-Verträge regelmäßig prüfen?

Ja. Dienstleister ändern Unterauftragnehmer, Speicherorte und Sicherheitsmaßnahmen. Eine jährliche Prüfung zusammen mit dem Verarbeitungsverzeichnis hat sich bewährt.

Fazit

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen AV-Vertrag nach Art. 28 DSGVO. Entscheidend ist nicht die Unterschrift, sondern der Inhalt: konkrete Beschreibung der Verarbeitung, belastbare TOM und klare Regeln für Unterauftragnehmer und Drittländer. Wer seine AV-Verträge zentral führt und regelmäßig prüft, ist bei Kontrollen und Lieferantenprüfungen gut vorbereitet.

Verwandte Begriffe im Glossar

• Verzeichnis von Verarbeitungstätigkeiten (VVT)
• Datenschutz-Folgenabschätzung (DSFA)
• Datenschutzbeauftragter (DSB)
• Auskunftsrecht nach Art. 15 DSGVO
• Löschkonzept
• Pseudonymisierung und Anonymisierung
• Drittlandübermittlung und EU-US Data Privacy Framework

Quellen und Rechtsgrundlagen

• Datenschutz-Grundverordnung (EU) 2016/679, insbesondere Art. 28, EUR-Lex
• Durchführungsbeschluss (EU) 2021/915 über Standardvertragsklauseln nach Art. 28 DSGVO, EUR-Lex
• Landesbeauftragte für Datenschutz und Informationsfreiheit NRW

Weitere Grundlagen finden Sie in unserem Artikel zur DSGVO.