Der Auftragsverarbeitungsvertrag nach DSGVO (kurz AVV) gehört zu den am häufigsten vernachlässigten Compliance-Pflichten im Mittelstand, obwohl er bei nahezu jedem Einsatz externer Dienstleister entsteht. Sobald ein Dritter personenbezogene Daten im Auftrag eines Unternehmens verarbeitet, ist ein schriftlicher Vertrag nach Art. 28 DSGVO zwingend. Das betrifft Cloud-Anbieter, Lohnbuchhaltungsdienstleister, externe IT-Betriebe, Marketing-Agenturen und viele weitere Dienstleister. Die Realität in vielen Unternehmen sieht anders aus: AVVs werden entweder gar nicht geschlossen, inhaltlich unvollständig umgesetzt oder beim Onboarding neuer Dienstleister schlicht vergessen. Aufsichtsbehörden haben in den vergangenen Jahren mehrfach dokumentiert, dass fehlende oder mangelhafte Auftragsverarbeitungsverträge zu den häufigsten DSGVO-Verstößen gehören, die im Rahmen von Prüfungen festgestellt werden. Bußgelder können sich bei Verstößen gegen Art. 28 DSGVO auf bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes belaufen. Für Mittelständler mit begrenzten Rechts- und Compliance-Ressourcen ist es daher essenziell, die Anforderungen an den AVV genau zu kennen, typische Fehlerquellen zu verstehen und einen belastbaren Prozess zur Dienstleisterprüfung zu etablieren.
Redaktionshinweis: Dieser Beitrag vermittelt allgemeine Fachinformationen zum Thema Auftragsverarbeitungsverträge nach DSGVO. Er ersetzt keine Rechtsberatung im Einzelfall. Bitte wenden Sie sich für konkrete Maßnahmen an einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt.
Was ist ein Auftragsverarbeitungsvertrag und wann besteht die Pflicht?
Eine Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister (der Auftragsverarbeiter) personenbezogene Daten ausschließlich auf Weisung des Verantwortlichen verarbeitet und keinen eigenen Entscheidungsspielraum über Zweck und Mittel der Verarbeitung hat. Der klassische Fall: Ein Unternehmen übergibt einem externen IT-Dienstleister den Zugriff auf Systeme mit Kundendaten, um Wartungsarbeiten durchzuführen. Ein weiteres Beispiel ist die Nutzung einer Cloud-HR-Software, bei der Mitarbeiterdaten auf den Servern des Anbieters gespeichert werden.
Die Abgrenzung von einer gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) ist in der Praxis nicht immer trivial. Gemeinsame Verantwortlichkeit entsteht, wenn zwei oder mehr Stellen gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. In diesem Fall ist kein AVV, sondern eine Vereinbarung nach Art. 26 DSGVO erforderlich. Für die Praxis gilt: Bestimmt der Dienstleister eigene Verarbeitungszwecke, handelt er als eigenständiger Verantwortlicher. Führt er Tätigkeiten dagegen rein nach Weisung aus, ist ein AVV der richtige Rahmen.
Typische Konstellationen mit AVV-Pflicht im Mittelstand
Folgende Dienstleistungen lösen in der Regel eine AVV-Pflicht aus:
- Externe Lohnbuchhaltung und Steuerberatung mit Datenzugriff
- Cloud-Dienste (SaaS, IaaS, PaaS) mit Verarbeitung personenbezogener Daten
- E-Mail-Marketing-Plattformen und Newsletter-Dienste
- Externe IT-Dienstleister mit Fernzugriff auf Systeme
- Dokumentenvernichtungsdienstleister
- Marktforschungs- und Analysedienstleister, die Kundendaten auswerten
- Druckdienstleister, die personalisierte Kundenkommunikation erstellen
Kein AVV ist dagegen erforderlich, wenn der Dienstleister eigenverantwortlich handelt und eigene Datenschutzpflichten trägt, etwa bei klassischen Steuerberatern, Rechtsanwälten oder Wirtschaftsprüfern, die einer eigenen Berufspflicht zur Verschwiegenheit unterliegen. Hier bestehen eigene Verantwortlichkeiten nach DSGVO.
Mindestinhalte des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO
Art. 28 Abs. 3 DSGVO legt einen verbindlichen Katalog von Mindestinhalten fest, die kein AVV unterschreiten darf. Das bloße Anhaken einer Datenschutzcheckliste beim Dienstleister-Onboarding reicht nicht aus. Verantwortliche müssen sicherstellen, dass der Vertrag alle nachfolgend genannten Punkte abdeckt:
| Inhalt | Anforderung nach Art. 28 DSGVO |
|---|---|
| Gegenstand und Dauer der Verarbeitung | Konkrete Beschreibung der beauftragten Leistung und des Vertragszeitraums |
| Art und Zweck der Verarbeitung | Welche Datenverarbeitungen erfolgen zu welchem Zweck |
| Art der personenbezogenen Daten | Kategorien der verarbeiteten Daten (z.B. Kontaktdaten, Gesundheitsdaten) |
| Kategorien betroffener Personen | Kunden, Mitarbeitende, Interessenten etc. |
| Weisungsgebundenheit | Der Auftragsverarbeiter darf nur auf dokumentierte Weisung handeln |
| Vertraulichkeit | Verpflichtung der bei der Verarbeitung eingesetzten Personen |
| Technisch-organisatorische Maßnahmen | Nachweis geeigneter TOMs nach Art. 32 DSGVO (Anlage empfohlen) |
| Unterauftragsverarbeiter | Regelung, ob und unter welchen Bedingungen Subunternehmer eingesetzt werden |
| Unterstützungspflichten | Mitwirkung bei Auskunftsersuchen, Löschung, DSFA |
| Löschung oder Rückgabe nach Auftragsende | Was nach Vertragsende mit den Daten geschieht |
| Nachweispflichten | Auftragsverarbeiter muss Compliance nachweisen können |
„Ein AVV, der nur aus einem Standardsatz Datenschutzklauseln besteht, erfüllt in aller Regel nicht die Anforderungen des Art. 28 DSGVO. Entscheidend ist die konkrete Beschreibung der Verarbeitungstätigkeiten in einer Anlage zum Vertrag.“
Typische Fehler beim Auftragsverarbeitungsvertrag DSGVO
Die Auswertung von Aufsichtsbehörden-Prüfberichten und Beratungspraxis zeigt wiederkehrende Mängel, die Mittelständler besonders häufig betreffen.
Fehler 1: Kein AVV geschlossen
Der gravierendste Fehler ist das vollständige Fehlen eines AVV. Dies tritt besonders häufig bei langjährigen Dienstleisterbeziehungen auf, die vor Inkrafttreten der DSGVO begründet wurden und seitdem nicht nachgepflegt wurden.
Fehler 2: Unvollständige Anlagen zu den TOMs
Art. 28 DSGVO verlangt den Nachweis geeigneter technisch-organisatorischer Maßnahmen. Viele AVVs verweisen lediglich pauschal auf die „Einhaltung von Sicherheitsstandards“, ohne konkret zu beschreiben, wie der Auftragsverarbeiter Zugriffsschutz, Verschlüsselung und Datensicherung umsetzt.
Fehler 3: Fehlende Einschränkung bei Unterauftragsverarbeitern
Viele Standardverträge räumen dem Auftragsverarbeiter das Recht ein, Unterauftragsverarbeiter ohne Zustimmung des Verantwortlichen einzusetzen. Art. 28 Abs. 2 DSGVO verlangt jedoch entweder eine spezifische oder zumindest eine allgemeine schriftliche Genehmigung, verbunden mit einer Informationspflicht des Auftragsverarbeiters bei Änderungen.
Fehler 4: Drittlandtransfer ohne Rechtsgrundlage
Setzt ein Auftragsverarbeiter Server oder Unterauftragsverarbeiter außerhalb des EWR ein, braucht die Datenübermittlung eine eigene Rechtsgrundlage nach Art. 44 ff. DSGVO. Typisch sind Standardvertragsklauseln (SCC) oder ein Angemessenheitsbeschluss der EU-Kommission. Fehlen diese Regelungen im AVV, liegt ein gravierender Mangel vor.
Fehler 5: Weisung nicht dokumentiert
Weisungen an den Auftragsverarbeiter müssen dokumentiert werden. Viele Unternehmen erteilen Weisungen mündlich oder per E-Mail, ohne diese strukturiert abzulegen. Im Prüffall fehlt dann der Nachweis, dass der Auftragsverarbeiter tatsächlich weisungsgebunden tätig wurde.
Fehler 6: Veralteter AVV nach Leistungsänderung
Ändert sich der Leistungsumfang eines Dienstleisters, muss der AVV aktualisiert werden. Wird ein Buchhalter künftig auch mit der Erstellung von Mailings beauftragt, erweitert sich der Verarbeitungsgegenstand erheblich. Hier wird die Anpassungspflicht häufig übersehen.
Fehler 7: Kein Prozess für die jährliche Überprüfung
Art. 28 Abs. 3 lit. h DSGVO verpflichtet den Verantwortlichen, regelmäßig die Einhaltung der Datenschutzpflichten beim Auftragsverarbeiter zu überprüfen. Ohne einen geregelten Prüfprozess läuft dieser Pflichtteil ins Leere.
Auswahl und Prüfung von Auftragsverarbeitern
Der Auftragsverarbeitungsvertrag DSGVO beginnt nicht erst bei der Vertragsunterzeichnung, sondern schon bei der Auswahl des Dienstleisters. Art. 28 Abs. 1 DSGVO verpflichtet den Verantwortlichen, nur Auftragsverarbeiter einzusetzen, die hinreichende Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen bieten.
In der Praxis hat sich ein mehrstufiges Auswahlverfahren bewährt. Zunächst sind potenzielle Auftragsverarbeiter anhand eines standardisierten Fragebogens zu evaluieren, der Fragen zur IT-Sicherheit, zu Zertifizierungen (etwa ISO 27001), zum Standort der Verarbeitung und zum Umgang mit Unterauftragsverarbeitern enthält. In einem zweiten Schritt sollten Referenzen und vorhandene Zertifizierungen geprüft werden. Certifizierungen wie ISO 27001 oder ein SOC-2-Bericht können als Nachweis geeigneter Sicherheitsmaßnahmen herangezogen werden, ersetzen aber keine eigene Prüfung.
Wichtig ist zudem die Prüfung des Standorts der Datenverarbeitung. Werden Daten außerhalb des EWR verarbeitet, müssen die entsprechenden Garantien nach Art. 46 DSGVO vorab festgestellt und im AVV verankert werden. Für Auftragsverarbeiter in den USA ist nach dem Angemessenheitsbeschluss der EU-Kommission zum EU-US-Data-Privacy-Framework (DPF) eine Zertifizierung des US-Unternehmens unter dem DPF die gängigste Lösung, solange dieser Beschluss Bestand hat.
Kontrollpflichten des Verantwortlichen
Die Auswahl des Auftragsverarbeiters ist kein einmaliger Akt. Art. 28 Abs. 3 lit. h DSGVO und Erwägungsgrund 81 DSGVO verpflichten den Verantwortlichen zur regelmäßigen Überprüfung, ob der Auftragsverarbeiter die vereinbarten Datenschutzpflichten tatsächlich einhält. In der Praxis ist ein jährlicher Prüfzyklus als Mindeststandard etabliert.
Konkrete Kontrollinstrumente umfassen:
- Anforderung und Auswertung aktueller Zertifizierungen (ISO 27001, SOC 2 Type II)
- Selbstauskünfte des Auftragsverarbeiters auf standardisierten Fragebögen
- Angekündigte oder unangekündigte Audits vor Ort (bei risikoreicher Verarbeitung)
- Auswertung von Sicherheitsvorfallberichten des Auftragsverarbeiters
- Prüfung, ob Unterauftragsverarbeiter-Änderungen ordnungsgemäß mitgeteilt wurden
Ergebnisse der Kontrollen sind zu dokumentieren. Werden Mängel festgestellt, muss der Verantwortliche auf Abhilfe bestehen. Im Wiederholungsfall oder bei schwerwiegenden Verstößen ist eine Kündigung des Auftragsverhältnisses in Betracht zu ziehen.
Unterauftragsverarbeiter: Besondere Anforderungen
Die meisten Dienstleister setzen selbst wieder externe Anbieter ein, sei es für Rechenzentrumsleistungen, E-Mail-Infrastruktur oder Support-Systeme. Art. 28 Abs. 2 und 4 DSGVO stellen klar, dass Unterauftragsverarbeiter nur mit Genehmigung des Verantwortlichen eingesetzt werden dürfen und dass für sie dieselben datenschutzrechtlichen Pflichten gelten wie für den Hauptauftragsverarbeiter.
Praktisch bedeutet dies: Im AVV sollte klar geregelt sein, ob eine spezifische Vorabgenehmigung je Unterauftragsverarbeiter erforderlich ist oder ob eine allgemeine Genehmigung mit Informationsrecht ausreicht. Wählt man das Modell der allgemeinen Genehmigung, muss der Auftragsverarbeiter den Verantwortlichen über geplante Änderungen informieren, und der Verantwortliche hat ein Recht, Änderungen zu beanstanden. Eine Liste aller aktuell eingesetzten Unterauftragsverarbeiter sollte vom Dienstleister auf Anfrage jederzeit zur Verfügung gestellt werden können.
Folgen und Sanktionen bei Verstößen gegen Art. 28 DSGVO
Verstöße gegen die Pflicht zum Abschluss eines AVV oder gegen inhaltliche Anforderungen können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder zwei Prozent des gesamten weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Hinzu kommen zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO sowie Reputationsschäden, insbesondere wenn Datenschutzbehörden Verstöße öffentlich machen.
Neben dem Bußgeld steht auch die interne Haftung im Raum: Handelt die Geschäftsführung fahrlässig, indem sie keine datenschutzrechtlichen Strukturen aufbaut, kann dies zu einer persönlichen Haftung führen. Das Thema Auftragsverarbeitungsvertrag ist damit nicht nur eine technische Datenschutzfrage, sondern eine Governance-Frage mit direkter Relevanz für die Unternehmensleitung.
FAQ: Auftragsverarbeitungsvertrag DSGVO
Ist ein AVV auch bei kleinen Dienstleistern und Freelancern erforderlich? Ja. Die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags hängt nicht von der Größe des Dienstleisters ab, sondern vom Charakter der Tätigkeit. Verarbeitet ein selbstständiger IT-Techniker personenbezogene Daten im Auftrag eines Unternehmens, ist ein AVV erforderlich. Kann ein AVV mündlich geschlossen werden? Nein. Art. 28 Abs. 9 DSGVO schreibt ausdrücklich die Schriftform vor, wobei auch ein elektronisches Format zulässig ist. Ein mündlich vereinbarter AVV erfüllt die gesetzlichen Anforderungen nicht. Was passiert, wenn ein Auftragsverarbeiter entgegen einer Weisung handelt? Handelt der Auftragsverarbeiter über die Weisung des Verantwortlichen hinaus und bestimmt selbst Zweck und Mittel der Verarbeitung, gilt er für diesen Verarbeitungsvorgang als eigenständiger Verantwortlicher und haftet für Datenschutzverstöße selbst. Reicht es aus, die Datenschutzklauseln des Dienstleisters zu akzeptieren? Nur wenn diese Klauseln alle Anforderungen des Art. 28 DSGVO vollständig abbilden. Viele Anbieter stellen vorformulierte AVVs bereit, die inhaltlich ausreichend sind. Trotzdem ist eine Prüfung auf Vollständigkeit empfohlen, insbesondere hinsichtlich Unterauftragsverarbeitern und Drittlandtransfers. Wie oft muss ein AVV aktualisiert werden? Ein AVV muss immer dann aktualisiert werden, wenn sich der Leistungsumfang des Dienstleisters oder die Art der verarbeiteten Daten ändert. Darüber hinaus empfiehlt sich eine jährliche Überprüfung. Müssen auch langjährige Dienstleister nachträglich einen AVV unterschreiben? Ja. Die DSGVO gilt für alle laufenden Auftragsverarbeitungsbeziehungen, unabhängig vom Zeitpunkt ihres Beginns. Fehlt ein AVV noch immer, besteht ein andauernder Verstoß.
Verwandte Themen
Weiterführende Informationen zu angrenzenden Datenschutz- und Compliance-Themen finden Sie in folgenden Kategorien:
- Compliance-Grundlagen: Rechtliche Rahmenbedingungen für Unternehmen
- Cybersecurity: Technische Schutzmaßnahmen und IT-Sicherheitsstrategien
- Notfallpläne: Business Continuity und IT-Notfallmanagement
