Auftragsverarbeitungsvertrag (AVV): Wann nötig + Muster

Ein Auftragsverarbeitungsvertrag (AVV) - englisch Data Processing Agreement, in US-Verträgen oft Data Processing Addendum - ist der Vertrag, der es einem Dienstleister erlaubt, die Daten Ihrer Kunden oder Mitarbeitenden rechtmäßig zu verarbeiten. Ohne ihn ist jede Datenübermittlung an diesen Dienstleister im Zweifelsfall rechtswidrig, egal wie seriös er ist. Dieser Leitfaden zeigt, wann Sie nach Art. 28 einen AVV brauchen, was er enthalten muss, die häufigen Fehler und ein Muster zum Start.

Wann brauche ich einen Auftragsverarbeitungsvertrag?

Welche Dienstleister erfordern einen AVV?

Immer dann, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Im modernen KMU betrifft das fast den ganzen Tool-Stack:

• Hosting und Cloud (AWS, Google Cloud, Hetzner)
• E-Mail und Marketing (Mailchimp, Brevo, HubSpot)
• CRM (Salesforce, Pipedrive)
• Support-Tools (Zendesk, Intercom)
• KI-Tools (ChatGPT über API, Microsoft Copilot, Notion AI)
• HR-Software (Personio, Workday)

Kann ein Dienstleister keinen AVV bereitstellen oder verweigert er die Unterschrift, dürfen Sie ihn unter Umständen für die Verarbeitung personenbezogener Daten nicht nutzen.

Prüfen Sie dabei je Anbieter, ob er die Daten ausschließlich nach Ihrer Weisung verarbeitet (Auftragsverarbeitung, Art. 28 DSGVO) oder sie auch für eigene Zwecke nutzt, etwa zum Training eigener Modelle. Im zweiten Fall liegt insoweit eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor, und ein AVV allein genügt nicht (DSK-Kurzpapier Nr. 16). KI-Tools sind die Kategorie, bei der diese Prüfung am häufigsten nötig ist.

Was muss ein AVV enthalten?

Welche Klauseln sind nach Art. 28 Pflicht?

Ein rechtssicherer AVV enthält:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten und Kategorien betroffener Personen.
• Pflichten und Rechte des Verantwortlichen.
• Die technisch-organisatorischen Maßnahmen (TOM) des Auftragsverarbeiters.
• Regelung zu Subunternehmern (Genehmigung und durchgereichte Pflichten).
• Rückgabe oder Löschung der Daten nach Vertragsende.
• Audit-Rechte des Verantwortlichen.

Jede Verarbeitungsbeziehung sollte außerdem als Empfänger in Ihrem Verzeichnis der Verarbeitungstätigkeiten auftauchen, damit Unterlagen und Verträge übereinstimmen.

Häufige Fehler in AVVs

Wo sind AVVs lückenhaft?

• Vage oder fehlende TOM. „Angemessene Maßnahmen“ ist ein Platzhalter - die tatsächlichen Schutzmaßnahmen des Auftragsverarbeiters müssen beschrieben sein.
• Subunternehmer nicht geregelt. Viele SaaS-Anbieter nutzen weitere Dienstleister; diese Kette muss dokumentiert und genehmigt sein.
• Audit-Rechte nicht definiert. Im Streitfall brauchen Sie ein dokumentiertes Prüfrecht.
• Veraltete Versionen. Ändert sich die Verarbeitung, muss der AVV angepasst werden.

AVV vs. Data Processing Addendum

Ist das dasselbe?

Im Kern ja. „Auftragsverarbeitungsvertrag“ (AVV) ist der deutsche Begriff; „Data Processing Addendum“ ist die Form, die Sie in US-SaaS-Verträgen sehen, angehängt an die Hauptbedingungen. Beide sind unter der DSGVO gleichwertig, solange der Art.-28-Inhalt vorhanden ist. Entscheidend ist der Inhalt, nicht die Bezeichnung.

Quellen & weiterführende Links