Wann brauche ich einen Auftragsverarbeitungsvertrag (AVV)?

Was ein AVV ist

Ein AVV ist eine schriftliche Vereinbarung zwischen einem Unternehmen als Verantwortlichem und einem Dienstleister als Auftragsverarbeiter. Rechtsgrundlage ist Art. 28 DSGVO. Wer ohne AVV personenbezogene Daten an Dritte übergibt, begeht einen Datenschutzverstoß, der mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden kann.

Der Vertrag legt fest, was der Dienstleister mit den Daten tun darf, welche technischen und organisatorischen Maßnahmen er ergreifen muss, ob er Unter-Auftragsverarbeiter einsetzen darf und wie er bei Datenpannen reagiert. Er macht den Dienstleister weisungsgebunden: Die Daten dürfen ausschließlich nach Ihren Anweisungen verarbeitet werden, nicht für eigene Zwecke. Die Verantwortung bleibt beim Unternehmen – ein fehlender AVV trifft zuerst Sie als Verantwortlichen.

Mit diesen Dienstleistern brauchen Sie einen AVV

• Webhosting-Anbieter, die Kontaktformulare, Bestelldaten und Nutzer-IPs speichern
• CRM-Systeme mit vollständigen Kundendaten, Kontakthistorie und Umsätzen
• E-Mail-Marketing-Tools, die personenbezogene Adresslisten verwalten
• Externe Lohnbuchhaltung mit hochsensiblen Mitarbeiterdaten (Sonderfall Berufsgeheimnisträger prüfen)
• IT-Dienstleister mit Remote-Zugriff auf Server oder Datenbanken
• Cloud-Speicher für Kundendokumente – bei US-Anbietern mit besonderer Prüfung der Datentransfergrundlage
• Cloud-Buchhaltungssoftware mit Kunden- und Lieferantendaten
• Support-Ticket-Systeme, die Kundenkommunikation und Kontaktdaten verarbeiten

Was ein AVV mindestens enthalten muss

Art. 28 DSGVO schreibt die Pflichtbestandteile vor. Zwingend enthalten sein müssen: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten und die Kategorien betroffener Personen, Pflichten und Rechte des Verantwortlichen, die Weisungsbindung des Auftragsverarbeiters, Vertraulichkeitspflichten seiner Mitarbeiter, technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO, Regelungen zu Unter-Auftragsverarbeitern, Unterstützungspflichten bei Betroffenenanfragen, Löschpflichten nach Auftragsende und Kontrollrechte des Verantwortlichen.

Besonders wichtig ist die Regelung zu Sub-Auftragsverarbeitern: Läuft ein Dienst über eine weitere Cloud-Infrastruktur, ist deren Anbieter ein Unter-Auftragsverarbeiter, der ebenfalls vertraglich eingebunden sein muss. Prüfen Sie daher die aktuelle Liste der Sub-Auftragsverarbeiter Ihrer wichtigsten Dienstleister. Ein selbst formuliertes Dokument ohne die Mindestinhalte schützt im Zweifel nicht.

Typische Lücken bei Prüfungen

Häufig fehlt der AVV oder die korrekte Einwilligung bei Analyse-Diensten, Cloud-Speichern für Kundendateien und Newsletter-Tools mit selbst erfassten Adressen. Besonders kritisch: Erhält ein externer Buchhalter Excel-Listen mit Kundendaten ohne AVV, kann dies zu einem meldepflichtigen Datenschutzvorfall werden, sobald es bekannt wird. Ein Dienstleister, der keinen AVV anbietet, ist selbst ein Datenschutzrisiko.

AVV systematisch nachholen

1. Dienstleister-Inventar erstellen: Alle externen Dienste auflisten, die mit Kunden-, Mitarbeiter- oder Interessentendaten in Berührung kommen – auch browserbasierte Software-as-a-Service-Angebote. 2. AVV-Pflicht prüfen: Verarbeitet der Dienstleister personenbezogene Daten in Ihrem Auftrag? Wenn ja, ist ein AVV Pflicht. Berufsgeheimnisträger wie Rechtsanwälte und Steuerberater sind teilweise eigenständige Verantwortliche und fallen unter eine eigene Regelung. 3. AVV anfordern oder abschließen: Viele größere Anbieter stellen AVVs in ihren Einstellungen zur Annahme bereit; bei kleineren Dienstleistern aktiv nachfragen. 4. Inhalt prüfen, nicht blind unterschreiben: Zweck, Datenkategorien und Sub-Auftragsverarbeiter-Liste kontrollieren; bei US-Anbietern die Übermittlungsgrundlage (Standardvertragsklauseln, Angemessenheitsbeschluss) klären. 5. Zentral dokumentieren: Alle AVVs mit Datum und Version zentral ablegen und im Verzeichnis von Verarbeitungstätigkeiten referenzieren – das ist einer der ersten Prüfpunkte einer Behörde. 6. Regelmäßig aktualisieren: Sub-Auftragsverarbeiter-Listen und AVV-Versionen ändern sich; mindestens jährlich prüfen oder Update-Benachrichtigungen abonnieren.

Was ohne AVV passiert

Fehlt ein vorgeschriebener AVV, liegt der Verstoß bereits in der bloßen Tatsache, dass keine Vereinbarung besteht. Die Konsequenzen reichen von Verwarnung über Anordnungen zur Nachbesserung bis zu Bußgeldern; teurer wird es, wenn weitere Verstöße hinzukommen, etwa eine fehlende Einwilligung für den Newsletter. Hinzu kommt ein Reputationsrisiko – gerade im B2B-Bereich, wo Kunden Ihre Datenschutzpraxis als Teil ihrer Lieferkette prüfen.