Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag (AVV) ist ein nach Art. 28 DSGVO vorgeschriebener Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Er regelt verbindlich, unter welchen Bedingungen ein externer Dienstleister personenbezogene Daten weisungsgebunden im Auftrag des Verantwortlichen verarbeitet. Der AVV ist kein freiwilliges Dokument und keine Formsache: Er ist die rechtliche Voraussetzung dafür, dass eine Auslagerung von Datenverarbeitung überhaupt zulässig ist. Fehlt der Vertrag, ist die Verarbeitung durch den Dienstleister von Anfang an rechtswidrig – unabhängig davon, wie sorgfältig die Daten tatsächlich behandelt werden. Für Unternehmen im Mittelstand, die Cloud-Dienste, SaaS-Plattformen, KI-Tools oder klassische Auslagerungen wie Lohnbuchhaltung und Newsletter-Versand nutzen, gehört der AVV damit zum datenschutzrechtlichen Pflichtprogramm.

Der Begriff „Auftragsverarbeitung“ beschreibt eine klar abgegrenzte Konstellation: Ein Unternehmen (der Verantwortliche) bestimmt Zweck und Mittel der Verarbeitung, lagert die operative Durchführung aber an einen Dritten aus. Dieser Dritte (der Auftragsverarbeiter) handelt ausschließlich nach den dokumentierten Weisungen des Verantwortlichen und verfolgt keine eigenen Zwecke mit den Daten. Genau diese Weisungsbindung ist das Herzstück der Auftragsverarbeitung – und der AVV ist das Instrument, das sie rechtlich absichert und nachweisbar macht.

Rechtsgrundlage: Art. 28 DSGVO

Die gesetzliche Grundlage des AVV ist Art. 28 der Datenschutz-Grundverordnung (DSGVO). Die Norm verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgt, das den Auftragsverarbeiter an den Verantwortlichen bindet. Dieser Vertrag muss schriftlich abgeschlossen werden, wobei ausdrücklich auch ein elektronisches Format zulässig ist. Eine bloß mündliche Absprache oder ein loser Hinweis in den AGB genügt nicht.

Art. 28 DSGVO richtet sich an beide Vertragsparteien, verteilt die Verantwortung aber asymmetrisch: Der Verantwortliche bleibt gegenüber den betroffenen Personen und den Aufsichtsbehörden in der Pflicht, einen geeigneten und hinreichende Garantien bietenden Auftragsverarbeiter auszuwählen. Der Auftragsverarbeiter wiederum muss die im Vertrag festgelegten Pflichten einhalten und darf von den Weisungen nur abweichen, wenn er gesetzlich dazu verpflichtet ist – und muss den Verantwortlichen darüber vorab informieren.

Wann ist ein AVV erforderlich?

Ein AVV wird immer dann benötigt, wenn ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, ohne selbst über Zweck und Mittel der Verarbeitung zu entscheiden. „Verarbeiten“ ist dabei weit zu verstehen und umfasst auch das bloße Speichern, Hosten oder Zugänglichmachen von Daten. In der Praxis trifft das auf einen Großteil moderner Dienstleistungsbeziehungen zu. Typische Fälle sind:

• Cloud- und Hosting-Anbieter, die Server, Speicher oder Datenbanken bereitstellen, in denen personenbezogene Daten liegen.
• SaaS-Plattformen wie CRM-, ERP-, Ticket- oder Projektmanagement-Systeme, in denen Kunden-, Mitarbeiter- oder Interessentendaten gepflegt werden.
• KI-Tools und KI-Dienste in der Geschäftsversion, die Prompts, Dokumente oder Datensätze mit Personenbezug verarbeiten.
• E-Mail-Marketing- und Newsletter-Dienste, die Empfängerlisten und Öffnungs- bzw. Klickdaten verarbeiten.
• Externe Lohn- und Gehaltsbuchhaltung sowie Steuerberatung, soweit sie Beschäftigtendaten im Auftrag verarbeiten.
• Webanalyse-, Tracking- und Support-Tools, die Nutzer- oder Kundendaten erfassen.
• IT-Dienstleister mit Fernwartungszugriff, sofern dabei ein Zugriff auf personenbezogene Daten möglich ist.

Ohne abgeschlossenen AVV ist die Übermittlung der Daten an den jeweiligen Dienstleister unzulässig. Das gilt auch dann, wenn der Dienstleister technisch zuverlässig arbeitet und die Daten objektiv sicher verwahrt – der formale Vertragsschluss ist eine eigenständige Pflicht, die nicht durch faktische Sorgfalt ersetzt werden kann.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO schreibt einen festen Katalog an Inhalten vor, die jeder AVV abdecken muss. Ein Vertrag, der einzelne dieser Punkte auslässt, erfüllt die gesetzlichen Anforderungen nicht. Die folgende Übersicht fasst die Mindestbestandteile zusammen.

Diese Punkte sind nicht als unverbindliche Empfehlung zu verstehen, sondern als Mindeststandard. In der Praxis liefern viele große Anbieter vorformulierte AVV-Vorlagen, die diese Anforderungen abbilden – der Verantwortliche bleibt jedoch verpflichtet zu prüfen, ob die Vorlage den eigenen Verarbeitungssituation tatsächlich gerecht wird.

Weisungsbindung und Vertraulichkeit

Die Weisungsbindung verlangt, dass der Auftragsverarbeiter die Daten ausschließlich nach den dokumentierten Anweisungen des Verantwortlichen verarbeitet. Jede eigenmächtige Nutzung der Daten zu eigenen Zwecken – etwa zum Training eigener Modelle oder zur Anreicherung eigener Datenbestände – würde den Auftragsverarbeiter zum eigenständigen Verantwortlichen machen und die Konstruktion der Auftragsverarbeitung sprengen. Ergänzend muss der Vertrag sicherstellen, dass alle Personen, die beim Auftragsverarbeiter Zugriff auf die Daten haben, zur Vertraulichkeit verpflichtet sind, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Technische und organisatorische Maßnahmen (TOM)

Der AVV verweist auf die nach Art. 32 DSGVO geforderten technischen und organisatorischen Maßnahmen. Dazu gehören etwa Verschlüsselung, Zugriffskontrollen, Protokollierung, Verfahren zur Wiederherstellung der Verfügbarkeit nach einem Zwischenfall sowie regelmäßige Überprüfung der Wirksamkeit dieser Maßnahmen. Üblicherweise werden die TOM als Anlage zum AVV dokumentiert, sodass der Verantwortliche das Sicherheitsniveau des Auftragsverarbeiters nachvollziehen und bewerten kann.

Abgrenzung: Verantwortlicher vs. Auftragsverarbeiter

Die richtige rechtliche Einordnung einer Datenverarbeitungsbeziehung entscheidet darüber, welches Instrument benötigt wird. Die DSGVO kennt drei Grundkonstellationen:

• Verantwortlicher (Art. 4 Nr. 7): Die Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet. Sie trägt die primäre datenschutzrechtliche Verantwortung.
• Auftragsverarbeiter (Art. 4 Nr. 8): Die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, ohne selbst über die Zwecke zu bestimmen. Hier ist ein AVV nach Art. 28 DSGVO erforderlich.
• Gemeinsame Verantwortliche (Art. 26): Zwei oder mehr Stellen, die gemeinsam über Zwecke und Mittel entscheiden. In diesem Fall ist kein AVV, sondern eine Vereinbarung über gemeinsame Verantwortlichkeit notwendig, die die jeweiligen Pflichten transparent festlegt.

Die Abgrenzung ist in der Praxis nicht immer trivial. Entscheidend ist, wer den maßgeblichen Einfluss auf Zweck und Mittel ausübt. Ein klassischer Hosting-Anbieter ist regelmäßig Auftragsverarbeiter; eine Plattform, die mit den eingespeisten Daten eigene Geschäftszwecke verfolgt, kann hingegen eigenständig verantwortlich oder gemeinsam verantwortlich sein. Eine falsche Einordnung führt zum falschen Vertragstyp – und damit zu einem datenschutzrechtlichen Mangel.

AVV und KI-Tools: ein häufiger Stolperstein

Mit dem Einsatz generativer KI in Unternehmen hat der AVV neue praktische Relevanz bekommen. Werden personenbezogene Daten in ein KI-Tool eingegeben – etwa Kundenanfragen, Bewerbungsunterlagen oder interne Dokumente mit Personenbezug – ist der Anbieter des KI-Dienstes in der Regel Auftragsverarbeiter. Damit wird ein AVV erforderlich.

Entscheidend ist hier die Unterscheidung zwischen Consumer- und Geschäftsversionen. Ein konkretes Realbeispiel: OpenAI bietet für die kostenpflichtigen Geschäftsprodukte – ChatGPT Team, ChatGPT Enterprise sowie die API-Plattform – ein eigenes Data Processing Addendum (DPA) an, das die Funktion eines AVV erfüllt und unter anderem zusichert, dass die eingegebenen Daten nicht zum Training der Modelle verwendet werden. Die kostenlose Consumer-Version von ChatGPT bietet diese vertragliche Grundlage hingegen nicht in vergleichbarer Form. Wer personenbezogene Daten verarbeitet, sollte deshalb ausschließlich Geschäftsprodukte mit abgeschlossenem AVV bzw. DPA einsetzen. Vergleichbare Datenverarbeitungsverträge stellen auch Microsoft (im Rahmen der Microsoft Products and Services Data Protection Addendum) und Google (Cloud Data Processing Addendum) bereit. Wer den Einsatz von KI im Unternehmen datenschutzkonform aufsetzen will, sollte die AVV-Frage als festen Bestandteil der Tool-Auswahl behandeln; hilfreich ist dabei der Aufbau interner KI-Kompetenz, um Verträge und Datenflüsse korrekt zu bewerten.

Drittlandbezug: Datenverarbeitung außerhalb der EU

Sitzt der Auftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums oder verarbeitet er Daten in einem Drittland, reicht der AVV allein nicht aus. Zusätzlich muss ein geeignetes Übermittlungsinstrument nach Kapitel V der DSGVO vorliegen. In der Praxis sind dies vor allem die Standardvertragsklauseln (Standard Contractual Clauses, SCC) der EU-Kommission oder – für zertifizierte Unternehmen mit Sitz in den USA – das EU-US Data Privacy Framework (DPF). Häufig werden in solchen Fällen zusätzliche Schutzmaßnahmen vereinbart und eine Risikobewertung der Übermittlung durchgeführt. Der AVV und das Drittland-Übermittlungsinstrument ergänzen sich also: Der AVV regelt das „Wie“ der Auftragsverarbeitung, das Übermittlungsinstrument legitimiert das „Wohin“ des Datentransfers.

Folgen eines fehlenden oder mangelhaften AVV

Das Fehlen eines AVV ist kein Kavaliersdelikt. Wer personenbezogene Daten ohne wirksamen Auftragsverarbeitungsvertrag an einen Dienstleister übermittelt, verstößt gegen Art. 28 DSGVO. Solche Verstöße können von den Aufsichtsbehörden mit Bußgeldern geahndet werden, deren Rahmen die DSGVO bei bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens ansetzt – je nachdem, welcher Betrag höher ist. Hinzu kommen mögliche Schadensersatzansprüche betroffener Personen, Reputationsschäden und der Aufwand für nachträgliche Korrekturen. In der Praxis fällt das Fehlen eines AVV häufig im Rahmen von Datenschutz-Audits, Beschwerden oder bei der Aufarbeitung von Datenpannen auf.

Ebenso problematisch ist ein lückenhafter AVV, der zwar formal existiert, aber einzelne Pflichtinhalte nach Art. 28 Abs. 3 DSGVO nicht abdeckt – etwa keine klare Regelung zu Unterauftragsverarbeitern oder zur Löschung nach Vertragsende. Ein solcher Vertrag bietet keinen vollständigen Schutz und kann im Prüfungsfall beanstandet werden. Es lohnt sich daher, AVV-Vorlagen von Anbietern nicht ungeprüft zu übernehmen, sondern gegen den gesetzlichen Pflichtkatalog abzugleichen.

Praktische Umsetzung im Mittelstand

Für ein mittelständisches Unternehmen empfiehlt sich ein strukturiertes Vorgehen, um die AVV-Pflicht systematisch zu erfüllen:

1. Bestandsaufnahme aller externen Dienstleister, die potenziell personenbezogene Daten verarbeiten – idealerweise als Teil des Verzeichnisses von Verarbeitungstätigkeiten.
2. Einordnung jeder Beziehung: Liegt eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder eine eigenständige Verantwortlichkeit des Dienstleisters vor?
3. Einholung bzw. Abschluss eines AVV für alle Auftragsverarbeiter, inklusive Prüfung der TOM-Anlage und der Liste der Unterauftragsverarbeiter.
4. Bei Dienstleistern mit Drittlandbezug: zusätzliche Sicherstellung eines geeigneten Übermittlungsinstruments (SCC oder DPF).
5. Regelmäßige Überprüfung und Aktualisierung der Verträge, insbesondere bei neuen Tools, geänderten Datenflüssen oder Anbieterwechseln.

So wird der AVV vom einmaligen Formalakt zu einem laufenden Bestandteil des Datenschutzmanagements – was angesichts der dynamischen Tool-Landschaft im Mittelstand der einzig tragfähige Ansatz ist.

Häufig gestellte Fragen (FAQ)

Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Ein AVV ist ein nach Art. 28 DSGVO vorgeschriebener Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Er regelt die weisungsgebundene Verarbeitung personenbezogener Daten durch einen externen Dienstleister und ist Voraussetzung dafür, dass eine solche Auslagerung überhaupt zulässig ist.

Wann brauche ich einen AVV?

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa Cloud-Hosting, SaaS-Tools, KI-Dienste in der Geschäftsversion, Newsletter-Versand oder externe Lohnbuchhaltung. Ohne AVV ist die Übermittlung der Daten an diesen Dienstleister unzulässig.

Was passiert, wenn kein AVV abgeschlossen wurde?

Die Verarbeitung ist rechtswidrig. Der Verstoß gegen Art. 28 DSGVO kann mit Bußgeldern von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden; hinzu kommen mögliche Schadensersatzansprüche und Reputationsschäden.

Brauche ich für KI-Tools wie ChatGPT einen AVV?

Ja, sobald Sie personenbezogene Daten eingeben. Geschäftsprodukte wie ChatGPT Team, Enterprise oder die OpenAI-API bieten ein passendes Data Processing Addendum an, das als AVV dient. Kostenlose Consumer-Versionen bieten diese vertragliche Grundlage in der Regel nicht und sind für personenbezogene Daten ungeeignet.

Was unterscheidet einen AVV von einer Vereinbarung über gemeinsame Verantwortlichkeit?

Ein AVV gilt, wenn der Dienstleister rein weisungsgebunden als Auftragsverarbeiter handelt. Entscheiden hingegen mehrere Stellen gemeinsam über Zwecke und Mittel der Verarbeitung, liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor – dann ist statt eines AVV eine entsprechende Vereinbarung über gemeinsame Verantwortlichkeit erforderlich.