Auftragsverarbeitungsvertrag (AVV): Wann Art. 28 DSGVO ihn verlangt

Ein Auftragsverarbeitungsvertrag, fast immer AVV abgekürzt, ist der Vertrag, den Art. 28 DSGVO immer dann verlangt, wenn eine Organisation eine andere Organisation personenbezogene Daten in ihrem Auftrag verarbeiten lässt. Cloud-Hosting, ein E-Mail-Dienst, ein Lohnbüro, ein Newsletter-Tool, ein Support-Desk, eine externe IT-Firma mit Fernzugriff: Jede dieser Konstellationen ist ein Dienstleister, der die Daten einer anderen Stelle verarbeitet, und jede ist der Standardfall, für den die Vorschrift geschrieben wurde.

Der AVV hat den Ruf, Papierkram zu sein, und der Papierkram selbst ist tatsächlich routinemäßig. Fast jeder ernsthafte Anbieter veröffentlicht einen Standard-AVV, der elektronisch akzeptiert werden kann. Der Teil, der nicht routinemäßig ist, ist die Frage, die vor dem Vertrag steht, nämlich ob die andere Seite überhaupt ein Auftragsverarbeiter ist.

Genau bei dieser Einordnung, Verantwortlicher gegen Auftragsverarbeiter, passieren die meisten echten Fehler. Einen AVV mit einer Partei zu unterzeichnen, die tatsächlich ein eigenständiger Verantwortlicher ist, macht sie nicht dazu, und einen AVV mit einer Partei zu unterlassen, die Auftragsverarbeiter ist, hinterlässt eine Lücke, die eine Aufsichtsbehörde mit einer einzigen Frage erkennt. Diese Seite behandelt die Einordnung, den Auslöser, die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO, Unterauftragsverarbeiter und wie sich die gesamte Struktur für ein kleines Unternehmen mit gewöhnlicher Software darstellt.

Informationen zuletzt geprüft am 20. Juli 2026. Diese Seite enthält allgemeine rechtliche Informationen und stellt keine Rechtsberatung im Einzelfall dar.

Verantwortlicher oder Auftragsverarbeiter: die Frage, die alles entscheidet

Die DSGVO verteilt Pflichten nach Rolle. Ein Verantwortlicher entscheidet über die Zwecke und die Mittel eines Verarbeitungsvorgangs. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag dieses Verantwortlichen und tut inhaltlich das, was ihm gesagt wird.

Der Maßstab ist nicht, wem die Server gehören, wer größer ist oder wer den Vertrag geschrieben hat. Er ist, wer entscheidet, warum die Daten verarbeitet werden. Ein Hostinganbieter, der eine Kundendatenbank speichert, hat kein Mitspracherecht darüber, warum diese Datenbank existiert, verarbeitet also im Auftrag. Eine Bank, die eine Überweisungsanweisung erhält, verarbeitet dagegen überhaupt nicht im Auftrag ihres Kunden, weil sie eigene rechtliche Pflichten hat, die bestimmen, was sie mit den Zahlungsdaten macht.

Daraus ergeben sich drei Konstellationen statt zwei:

• Verantwortlicher und Auftragsverarbeiter. Der Dienstleister handelt auf Weisung. Ein AVV nach Art. 28 DSGVO ist das richtige Instrument.
• Zwei unabhängige Verantwortliche. Jede Seite entscheidet über ihre eigenen Zwecke und ist für ihre eigene Verarbeitung verantwortlich. Es findet eine Datenübermittlung zwischen ihnen statt, für die eine Rechtsgrundlage nötig ist, aber ein AVV würde die Beziehung falsch beschreiben.
• Gemeinsam Verantwortliche. Zwei Stellen legen gemeinsam Zwecke und Mittel fest. Art. 26 DSGVO verlangt dann eine Vereinbarung zwischen ihnen, die festlegt, wer was tut, ein anderes Dokument als ein AVV.

Freiberufliche Berater sind das klassische Beispiel. Steuerberaterinnen und Steuerberater, Anwältinnen und Anwälte sowie Wirtschaftsprüferinnen und Wirtschaftsprüfer werden verbreitet als unabhängige Verantwortliche behandelt, weil sie eigene berufliche und gesetzliche Pflichten haben und in der Sache nicht angewiesen werden können. Die Einordnung hängt von den tatsächlichen Umständen des Auftrags ab, nicht von der Bezeichnung, die die Parteien verwenden, und genau deshalb behebt das Einsetzen der falschen Vorlage gar nichts.

Eine weitere Regel schließt den Kreis. Verlässt ein Auftragsverarbeiter nach Art. 28 DSGVO seine Weisungen und entscheidet er selbst über Zwecke und Mittel eines Verarbeitungsvorgangs, gilt er hinsichtlich dieses Vorgangs als Verantwortlicher, mit dem vollen Satz an Verantwortlichenpflichten. Analysen oder Modelltraining, die ein Anbieter für eigene Zwecke mit Kundendaten durchführt, sind das gängige Beispiel dafür in der Praxis.

Wann ein AVV tatsächlich erforderlich ist

Der Auslöser ist eng und mechanisch: personenbezogene Daten, verarbeitet durch eine externe Partei, im Auftrag und nach Weisung der Organisation, deren Daten es sind. Liegen alle drei Elemente vor, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes Rechtsinstrument, das den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet.

Einige Konstellationen sehen wie Auslöser aus und sind es nicht. Eigene Beschäftigte sind keine Auftragsverarbeiter, weil sie innerhalb der Organisation handeln und nicht auf eigene Rechnung. Ein Partner, der Daten erhält und dann selbst entscheidet, was er damit tut, ist ein eigenständiger Verantwortlicher. Sind gar keine personenbezogenen Daten betroffen, etwa bei echten aggregierten Statistiken, die keiner Person zugeordnet werden können, hat Art. 28 DSGVO nichts, woran er anknüpfen könnte.

Eine Konstellation sieht wie ein Nicht-Auslöser aus und ist es meist doch. Ein IT-Dienstleister mit Fernzugriff auf Systeme, die personenbezogene Daten enthalten, wird normalerweise als Auftragsverarbeiter behandelt, auch wenn der Einblick in die Daten für die Aufgabe nebensächlich ist, weil bereits die Möglichkeit des Zugriffs entscheidend ist. Eine Wartungsvereinbarung mit dauerhaftem Zugriff ist deshalb der häufigste Fall, in dem ein Unternehmen feststellt, dass es einen AVV gebraucht hätte, den es nie unterzeichnet hat.

Die Formvorschrift ist niedrigschwellig. Art. 28 DSGVO verlangt Schriftform und schließt ausdrücklich die elektronische Form ein, sodass das Akzeptieren eines Standard-AVV über ein Kontoportal ausreicht. Wichtig ist danach nur, dass die akzeptierte Fassung vorgelegt werden kann, wenn eine Aufsichtsbehörde danach fragt.

Was Art. 28 Abs. 3 DSGVO als Vertragsinhalt verlangt

Art. 28 Abs. 3 DSGVO arbeitet in zwei Stufen. Zuerst verlangt er, dass der Vertrag die Verarbeitung selbst beschreibt, dann verlangt er, dass der Vertrag dem Auftragsverarbeiter eine bestimmte Liste von Pflichten auferlegt.

Der beschreibende Rahmen umfasst den Gegenstand der Verarbeitung, ihre Dauer, ihre Art und ihren Zweck, die Art der betroffenen personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Ein Vertrag, der nur festhält, dass der Anbieter Daten im Einklang mit der DSGVO verarbeiten werde, hat davon nichts festgehalten, und das ist der häufigste Mangel bei kurzen selbstgemachten Vereinbarungen.

Die Pflichten, die der Vertrag dem Auftragsverarbeiter auferlegen muss, sind diese:

Art. 28 Abs. 3 DSGVO verlangt außerdem, dass der Auftragsverarbeiter den Verantwortlichen unverzüglich informiert, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Diese Klausel wird leicht übersehen und ist einer der Punkte, die eine Aufsichtsbehörde in Sekunden prüfen kann.

Zwei dieser Punkte tragen praktisch mehr Gewicht als die übrigen. Die Klausel zu Löschung oder Rückgabe zeigt, was mit fünf Jahren Kundendaten geschieht, wenn ein Unternehmen den Anbieter wechselt, und die Wahl dabei liegt beim Verantwortlichen. Die Prüfklausel macht den Rest überhaupt erst durchsetzbar, denn eine Pflicht, die niemand kontrollieren kann, ist eine Pflicht, die niemand prüfen kann.

Unterauftragsverarbeiter

Fast kein moderner Anbieter arbeitet allein. Ein Support-Desk-Tool läuft auf einer Cloud-Plattform, versendet Transaktions-E-Mails über einen Zustelldienst und betreibt seine Fehlerüberwachung wieder woanders. Jede dieser Stellen ist ein Unterauftragsverarbeiter, und Art. 28 DSGVO regelt sie in zwei Schritten.

Der erste Schritt ist die Genehmigung. Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter hinzuziehen ohne die vorherige Genehmigung des Verantwortlichen. Diese Genehmigung kann spezifisch sein, also anbieterbezogen, oder allgemein, also eine generelle Erlaubnis. Ist sie allgemein, muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Ergänzungen oder Ersetzungen informieren, damit dieser die Möglichkeit hat zu widersprechen.

Der zweite Schritt ist die Weitergabe der Pflichten. Der Auftragsverarbeiter muss dem Unterauftragsverarbeiter dieselben Datenschutzpflichten auferlegen wie in seinem eigenen Vertrag mit dem Verantwortlichen, und er bleibt gegenüber dem Verantwortlichen voll für die Erfüllung dieser Pflichten haftbar. Diese Struktur ist der Grund, warum eine Kette aus fünf Anbietern die Position des Verantwortlichen nicht verwässert: Der direkte Vertragspartner bleibt der direkte Auftragsverarbeiter, was auch weiter unten in der Kette geschieht.

In der Praxis nutzt praktisch jeder SaaS-Anbieter das Modell der allgemeinen Genehmigung. Der Anbieter führt eine veröffentlichte Liste der Unterauftragsverarbeiter und einen Benachrichtigungskanal für Änderungen, und der AVV verweist auf beide. Diese Liste einmal zu lesen lohnt sich, denn dort erfährt ein Unternehmen meist zum ersten Mal, in welchen Ländern seine Daten tatsächlich liegen.

Weisungen, Sicherheit und Übermittlungen

Der Weisungsbegriff ist es, der einen AVV von einem gewöhnlichen Dienstleistungsvertrag unterscheidet. Alles, was der Auftragsverarbeiter mit den Daten tut, muss sich auf etwas zurückführen lassen, das der Verantwortliche verlangt hat, und das gilt auch für jede Übermittlung der Daten in ein Drittland außerhalb der EU und des EWR.

Der AVV ist bei Übermittlungen jedoch nicht die ganze Geschichte. Die gesonderte Übermittlungsregelung der DSGVO gilt zusätzlich, und ein wirksamer AVV macht eine Übermittlung in ein Drittland für sich genommen nicht rechtmäßig. Das sind zwei unterschiedliche Fragen, die im Marketingmaterial von Anbietern häufig vermischt werden, und die Übermittlungsfrage braucht eine eigene Antwort.

Sicherheit kommt über Art. 32 DSGVO ins Spiel, die technischen und organisatorischen Maßnahmen. Der AVV verpflichtet den Auftragsverarbeiter dazu, und in der Praxis werden die Maßnahmen in einer Anlage beschrieben, die Verschlüsselung, Zugriffskontrolle, Protokollierung, Backup und Ähnliches erfasst. Eine Anlage, die nichts Konkretes auflistet, ist ein Warnsignal.

Ein kleines deutsches Unternehmen in der Praxis

Als Beispiel eine fiktive zwölfköpfige Designagentur mit Sitz in München. Sie nutzt eine Cloud-Office-Suite für E-Mail und Dateien, ein Buchhaltungstool, eine Newsletter-Plattform, ein Support-Postfach, einen Lohndienst und eine externe IT-Firma mit Fernzugriff. Außerdem hat sie eine Steuerberaterin oder einen Steuerberater und ein Geschäftskonto.

Die ersten sechs sind die üblichen Auftragsverarbeiter-Fälle. Jede dieser Stellen verarbeitet personenbezogene Daten der Agentur, ob Kundenkontakte, Newsletter-Empfängerinnen und -Empfänger, Support-Korrespondenz oder Lohndaten der Beschäftigten, und keine von ihnen entscheidet, warum diese Daten existieren. Der AVV ist in jedem Fall normalerweise das Standarddokument des Anbieters, elektronisch akzeptiert, zuzüglich seiner Liste der Unterauftragsverarbeiter und seiner Sicherheitsanlage.

Die Bank ist kein Auftragsverarbeiter. Sie verarbeitet Zahlungsdaten nach eigenen aufsichtsrechtlichen Pflichten und entscheidet selbst, wie sie diese erfüllt, ist also ein unabhängiger Verantwortlicher. Die Steuerberaterin oder der Steuerberater wird aus denselben berufsrechtlichen Gründen sehr verbreitet ebenso behandelt, wobei die genaue Einordnung von den tatsächlichen Umständen des Auftrags abhängt und nicht von einer allgemeinen Regel.

Die verbleibende Arbeit ist unglamourös und dort liegt der eigentliche Wert. Sie besteht darin, eine Liste zu führen, welches Tool welche Datenkategorie vorhält, den akzeptierten AVV so aufzubewahren, dass er vorgelegt werden kann, und zu bemerken, wenn ein Anbieter seine Unterauftragsverarbeiter ändert. Das ist eine Beschreibung, wie die Regeln auf eine typische Struktur angewendet werden, keine Bewertung eines bestimmten Unternehmens, und nichts hier beurteilt, ob ein konkretes Unternehmen die Vorgaben einhält.

Ein Hinweis zur Größenordnung. Eine Agentur mit zwölf Beschäftigten akzeptiert den Vertrag, den ihr Anbieter anbietet, und hat keine Verhandlungsposition zum Wortlaut, und das ist normal, kein Mangel. Was Art. 28 DSGVO dem Vertrag nicht erlaubt, ist die Verantwortung zu verschieben. Der Verantwortliche steht weiterhin dafür ein, einen Anbieter gewählt zu haben, der hinreichende Garantien bietet, und der Vertrag ist Beweis für diese Wahl, kein Ersatz dafür.

Wer das beaufsichtigt, und was ein Verstoß kostet

Die Aufsicht ist in Deutschland nach Art der Stelle aufgeteilt, nicht geteilt. Nach § 40 Abs. 1 BDSG überwachen die nach dem Recht der einzelnen Länder bestimmten Behörden nichtöffentliche Stellen, was praktisch die gesamte Privatwirtschaft bedeutet. Nach § 9 Abs. 1 BDSG beaufsichtigt der BfDI öffentliche Stellen des Bundes sowie Unternehmen, die Daten für die geschäftsmäßige Erbringung von Telekommunikationsdiensten verarbeiten, neben seiner Rolle für Postdienste.

Für ein gewöhnliches deutsches Unternehmen ist damit die Landesdatenschutzbehörde des Landes zuständig, in dem es niedergelassen ist. Für die Münchner Agentur oben ist das die bayerische Behörde für den nichtöffentlichen Bereich, nicht der BfDI, und eine Beschwerde oder eine Anfrage zu einem AVV gehört dorthin.

Die Bußgeldstufen sind der Teil, der am häufigsten falsch dargestellt wird. Ein Verstoß gegen die Pflichten des Verantwortlichen und des Auftragsverarbeiters, wo Art. 28 DSGVO angesiedelt ist, fällt unter Art. 83 Abs. 4 DSGVO: bis zu zehn Millionen Euro oder bis zu zwei Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Die höhere Stufe in Art. 83 Abs. 5 DSGVO, bis zu zwanzig Millionen Euro oder vier Prozent, betrifft Verstöße gegen die Grundprinzipien und gegen die Betroffenenrechte, einschließlich des Auskunftsrechts. Ein fehlender AVV und ein ignoriertes Auskunftsersuchen liegen nicht in derselben Kategorie.

§ 43 BDSG ist hier überhaupt nicht die einschlägige Vorschrift, obwohl sie so kursiert, als wäre sie es. Sie sanktioniert ausschließlich die fehlerhafte Behandlung eines Auskunftsverlangens nach § 30 Abs. 1 BDSG und die unterbliebene Information eines Verbrauchers nach § 30 Abs. 2 BDSG, beides Vorschriften zu Auskunfteien und Verbraucherkrediten, mit einer Höchstgrenze von fünfzigtausend Euro. § 43 Abs. 3 BDSG bestimmt zudem, dass gegen Behörden und sonstige öffentliche Stellen keine Bußgelder verhängt werden.

Auftragsverarbeiter sind dabei keine Zuschauer. Die DSGVO legt ihnen unmittelbar eigene Pflichten auf, und eine Aufsichtsbehörde kann gegen einen Auftragsverarbeiter in eigener Sache vorgehen, weshalb Standard-AVV-Dokumente von Anbietern inzwischen so ausführlich geworden sind.

Verarbeitung für Zwecke der Polizei und Strafjustiz

Ein paralleles Regelwerk verdient Erwähnung, damit es nicht mit der allgemeinen Regel verwechselt wird. Fällt eine Verarbeitung unter die deutsche Umsetzung der Richtlinie (EU) 2016/680, also Strafverfolgung und Strafjustiz, ist die einschlägige Vorschrift § 62 BDSG statt Art. 28 DSGVO.

Die Struktur ist eng vergleichbar. § 62 Abs. 3 BDSG verlangt eine vorherige schriftliche Genehmigung, bevor ein Auftragsverarbeiter einen weiteren Auftragsverarbeiter hinzuzieht, § 62 Abs. 4 BDSG gibt dieselben Pflichten die Kette entlang weiter und hält den hinzuziehenden Auftragsverarbeiter haftbar, und § 62 Abs. 5 BDSG verlangt einen Vertrag, der den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festhält. Ein privates Unternehmen wird normalerweise nicht unter dieses Regelwerk fallen, aber der Wortlaut ist nahe genug, dass für den einen Kontext verfasste Dokumente gelegentlich in den anderen übernommen werden.

Wie eine Einzelperson erfahren kann, was diese Systeme über sie vorhalten, ist unter Auskunftsrecht beschrieben. Überwachungsdaten von Beschäftigten, die in mehreren der oben beschriebenen Tools liegen können, werden unter Überwachung am Arbeitsplatz behandelt. Die weiteren deutschen Datenschutzthemen sind unter der Datenschutzübersicht gesammelt, und der weitere Leitfaden zum deutschen Recht steht unter Deutschland.