Auftragsverarbeitungsvertrag (AVV): Was Artikel 28 DSGVO verlangt
Wann ein AVV nötig ist und wann nicht, wie Sie Auftragsverarbeitung von gemeinsamer und von eigenständiger Verantwortlichkeit abgrenzen, welche Inhalte Artikel 28 Absatz 3 im Wortlaut vorschreibt und wie ein AVV-Register im Mittelstand praktisch geführt wird.
Ein Auftragsverarbeitungsvertrag, kurz AVV, ist der Vertrag nach Artikel 28 Absatz 3 der Datenschutz-Grundverordnung. Er wird immer dann gebraucht, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet. Für einen mittelständischen Betrieb betrifft das schnell ein Dutzend Verträge: Cloud-Software, Hosting, Newsletter-Werkzeug, externe IT-Wartung mit Datenzugriff, Aktenvernichtung. Die häufigsten Fehler liegen dabei nicht im Vertragstext selbst. Sie liegen davor, nämlich bei der Frage, ob überhaupt eine Auftragsverarbeitung vorliegt, und danach, nämlich bei der Frage, ob je jemand geprüft hat, welche Unterauftragsverarbeiter der Dienstleister inzwischen einsetzt. Diese Seite geht beide Punkte am Wortlaut der Verordnung durch. Stand: 30. Juli 2026.
Was Auftragsverarbeitung ist
Die Verordnung definiert den Auftragsverarbeiter in Artikel 4 Nummer 8 knapp: eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Mehr steht dort nicht. Das Gewicht der Abgrenzung liegt deshalb in der Definition des Verantwortlichen in Artikel 4 Nummer 7: die Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
Daraus folgt die Faustregel, an der sich fast jeder Fall entscheiden lässt: Wer über Zwecke und Mittel entscheidet, ist Verantwortlicher. Wer für einen fremden Zweck nach fremder Weisung verarbeitet, ist Auftragsverarbeiter. Artikel 29 zieht das noch enger: Der Auftragsverarbeiter und jede unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet.
Der Auftrag an sich reicht nicht aus. Artikel 28 Absatz 1 verlangt vom Verantwortlichen, nur mit Auftragsverarbeitern zu arbeiten, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen der Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet. Die Auswahl des Dienstleisters ist damit selbst eine Pflicht des Verantwortlichen, nicht erst der Vertragsschluss.
Wesentliche und nicht wesentliche Mittel
Ein Auftragsverarbeiter darf durchaus eigene Entscheidungen treffen, sonst wäre kein Dienstleistungsverhältnis denkbar. Der Europäische Datenschutzausschuss unterscheidet in seinen Leitlinien 07/2020 dafür zwischen wesentlichen und nicht wesentlichen Mitteln. Zu den wesentlichen Mitteln gehören unter anderem die Art der verarbeiteten Daten, die Dauer der Verarbeitung, die Kategorien der Empfänger und die Kategorien betroffener Personen. Über diese Punkte entscheidet der Verantwortliche. Nicht wesentliche Mittel betreffen praktische Aspekte der Umsetzung, etwa die Wahl einer bestimmten Hard- oder Software oder die detaillierten Sicherheitsmaßnahmen. Darüber kann der Auftragsverarbeiter entscheiden, ohne dadurch zum Verantwortlichen zu werden.
Die Grenze steht in Artikel 28 Absatz 10, und sie hat Zähne: Unbeschadet der Artikel 82, 83 und 84 gilt ein Auftragsverarbeiter, der unter Verstoß gegen die Verordnung die Zwecke und Mittel der Verarbeitung bestimmt, in Bezug auf diese Verarbeitung als Verantwortlicher. Ein Dienstleister, der die überlassenen Daten für eigene Zwecke auswertet, rutscht damit in die volle Verantwortlichenrolle mitsamt Rechtsgrundlagen-, Informations- und Rechenschaftspflichten.
Die Abgrenzung, an der die Praxis scheitert
Es gibt drei mögliche Konstellationen, und jede führt zu einem anderen Dokument. Auftragsverarbeitung braucht einen AVV nach Artikel 28 Absatz 3. Gemeinsame Verantwortlichkeit braucht eine Vereinbarung nach Artikel 26 Absatz 1. Zwei eigenständig Verantwortliche brauchen keines von beiden. Jede Seite braucht dann für die Übermittlung eine eigene Rechtsgrundlage. Wer die Konstellation falsch einordnet, unterschreibt ein Dokument, das die tatsächliche Beziehung nicht abbildet.
Artikel 26 Absatz 1 setzt an derselben Stelle an wie Artikel 4 Nummer 7: Legen zwei oder mehr Verantwortliche gemeinsam die Zwecke der und die Mittel zur Verarbeitung fest, so sind sie gemeinsam Verantwortliche. Sie legen dann in einer Vereinbarung in transparenter Form fest, wer von ihnen welche Verpflichtung erfüllt, insbesondere was die Wahrnehmung der Rechte der betroffenen Person angeht und wer welchen Informationspflichten nach den Artikeln 13 und 14 nachkommt. Das Wesentliche dieser Vereinbarung wird der betroffenen Person nach Absatz 2 zur Verfügung gestellt, und nach Absatz 3 kann sie ihre Rechte trotzdem gegenüber jedem einzelnen der Verantwortlichen geltend machen.
| Konstellation | Wer entscheidet über Zwecke und Mittel | Was nötig ist | Fundstelle |
|---|---|---|---|
| Auftragsverarbeitung | Der Auftraggeber allein. Der Dienstleister verarbeitet nach dokumentierter Weisung und nicht für eigene Zwecke | Vertrag nach Art. 28 Abs. 3 mit den Pflichtinhalten und den Buchstaben a bis h (der AVV) | Art. 4 Nr. 8, Art. 28, Art. 29 |
| Gemeinsame Verantwortlichkeit | Zwei oder mehr Stellen legen Zwecke und Mittel gemeinsam fest | Vereinbarung nach Art. 26 Abs. 1 mit Aufteilung der Pflichten; das Wesentliche wird betroffenen Personen zugänglich gemacht | Art. 26 |
| Eigenständige Verantwortlichkeit auf beiden Seiten | Jede Seite entscheidet für sich, meist weil eigene gesetzliche oder berufsrechtliche Pflichten die Verarbeitung vorgeben | Kein AVV. Jede Seite braucht eine eigene Rechtsgrundlage nach Art. 6 und erfüllt ihre Informationspflichten selbst | Art. 4 Nr. 7, Art. 6 |
| Dienstleister überschreitet den Auftrag | Der ursprüngliche Auftragsverarbeiter bestimmt selbst Zwecke und Mittel | Er gilt für diese Verarbeitung als Verantwortlicher, mit allen Folgepflichten | Art. 28 Abs. 10 |
Berufsträger sind in der Regel keine Auftragsverarbeiter
Der häufigste Fehler im Mittelstand ist der AVV mit dem Rechtsanwalt oder dem Steuerberater. Der Europäische Datenschutzausschuss führt in den Leitlinien 07/2020 dafür ein eigenes Beispiel: Beauftragt ein Unternehmen eine Anwaltskanzlei mit der Vertretung in einem Rechtsstreit, verarbeitet die Kanzlei zwar Daten des Mandanten, das Mandat zielt aber nicht speziell auf die Verarbeitung personenbezogener Daten ab. Die Kanzlei handelt weitgehend unabhängig, etwa bei der Entscheidung, welche Informationen sie verwendet und wie, und es liegen keine Weisungen des Mandanten zur Verarbeitung vor. Der Ausschuss ordnet sie deshalb als Verantwortlichen für diese Verarbeitung ein.
Dieselbe Logik zieht der Ausschuss beim Wirtschaftsprüfer: Wenn die Prüfungsgesellschaft ohne detaillierte Weisungen arbeitet und nach den gesetzlichen Bestimmungen über ihre Prüfungstätigkeit selbst festlegt, welche Daten sie benötigt, welche Personenkategorien erfasst werden, wie lange gespeichert wird und welche technischen Mittel eingesetzt werden, ist sie eigenständiger Verantwortlicher. Der Ausschuss stellt allerdings ausdrücklich dazu, dass die Einschätzung je nach Umfang der Weisungen auch anders ausfallen kann. Sieht das Gesetz keine besonderen Pflichten für den Dienstleister vor und erteilt der Kunde sehr detaillierte Weisungen, ist er Auftragsverarbeiter. Für Steuerberater und ähnliche Berufsträger heißt das: Die eigenverantwortliche Berufstätigkeit spricht gegen eine Auftragsverarbeitung, die Einordnung hängt aber am konkreten Auftrag und ist im Einzelfall zu prüfen.
Lohnabrechnung: die Gegenrichtung
Die Leitlinien 07/2020 enthalten für die reine Lohnbuchhaltung das Gegenbeispiel. Überträgt ein Arbeitgeber einem anderen Unternehmen die Verwaltung der Löhne und Gehälter und erteilt dabei klare Weisungen dazu, an wen zu zahlen ist, welche Beträge, bis zu welchem Zeitpunkt, über welche Bank, wie lange die Daten gespeichert werden und welche Daten an das Finanzamt zu übermitteln sind, dann erfolgt die Verarbeitung für den Zweck des Arbeitgebers. Der Dienstleister darf die Daten nicht für eigene Zwecke verwenden. Dass er über die eingesetzte Software oder die interne Zugangsregelung selbst entscheidet, ändert an seiner Rolle als Auftragsverarbeiter nichts, solange er nicht gegen die Weisungen verstößt oder darüber hinausgeht.
Interessant ist die dritte Station in derselben Beispielkette. Übermittelt der Lohnabrechner auf Weisung des Arbeitgebers Daten an die Bank, damit diese die Zahlung ausführt, entscheidet die Bank in Ausübung ihrer Banktätigkeit unabhängig darüber, welche Daten sie verarbeitet und wie lange sie speichert. Der Arbeitgeber kann darauf keinen Einfluss nehmen. Die Bank ist für diese Verarbeitung eigenständiger Verantwortlicher, und die Weitergabe ist eine Übermittlung zwischen zwei Verantwortlichen. Ein AVV mit der Hausbank für den Zahlungsverkehr geht daher an der Sache vorbei.
Die Zuordnung einer konkreten Geschäftsbeziehung zu einer der drei Konstellationen ist eine Einzelfallbewertung. Sie hängt von der tatsächlichen Ausgestaltung ab, nicht von der Bezeichnung im Vertrag. Die Beispiele auf dieser Seite stammen aus den Leitlinien 07/2020 des Europäischen Datenschutzausschusses und dienen der Orientierung.
Wann ein AVV im Mittelstand gebraucht wird
Für einen Betrieb mit 30 bis 200 Beschäftigten sind es meist zwischen zehn und dreißig Dienstleister, bei denen die Frage überhaupt aufkommt. Die folgende Übersicht zeigt die typischen Fälle und die Rolle, die der Dienstleister dabei üblicherweise einnimmt. Maßgeblich bleibt in jedem einzelnen Fall die tatsächliche Ausgestaltung.
| Dienstleistung | Rolle des Dienstleisters (typisch) | Worauf es ankommt |
|---|---|---|
| Cloud-Software und SaaS (CRM, ERP, Zeiterfassung, Personalakte) | Auftragsverarbeiter | Der Anbieter speichert und verarbeitet Ihre Kunden- und Beschäftigtendaten für Ihren Zweck. AVV meist als Anlage zu den Nutzungsbedingungen vorhanden, Unterauftragsverarbeiterliste beachten |
| Webhosting und Serverbetrieb | Auftragsverarbeiter | Auch reine Speicherung ist Verarbeitung im Sinne von Art. 4 Nr. 2. Der Hoster entscheidet nicht über Zwecke |
| Newsletter- und E-Mail-Marketing-Werkzeug | Auftragsverarbeiter | Empfängerlisten und Öffnungsstatistiken sind personenbezogene Daten. Drittlandbezug prüfen |
| Externe IT-Wartung und Fernwartung mit Datenzugriff | Auftragsverarbeiter | Sobald Zugriff auf Systeme mit personenbezogenen Daten möglich ist, auch wenn er nur gelegentlich erfolgt |
| Lohn- und Gehaltsabrechnung durch einen Abrechnungsdienstleister | Auftragsverarbeiter | Klare Weisungslage, kein eigener Zweck des Dienstleisters (Beispiel der EDSA-Leitlinien 07/2020) |
| Aktenvernichtung und Datenträgerentsorgung | Auftragsverarbeiter | Vernichtung ist Verarbeitung nach Art. 4 Nr. 2. Vertraulichkeitsverpflichtung und Nachweise regeln |
| Steuerberater und Rechtsanwalt in eigenverantwortlicher Berufstätigkeit | In der Regel eigenständig Verantwortlicher | Kein AVV. Die Einordnung hängt am Umfang der Weisungen und am Berufsrecht, im Einzelfall zu prüfen |
| Bank für den Zahlungsverkehr | Eigenständig Verantwortlicher | Die Bank entscheidet in Ausübung ihrer Banktätigkeit selbst über Daten und Speicherdauer |
Der Praxistest in einem Satz
Fragen Sie sich pro Dienstleister: Könnte er die Daten, die er von uns bekommt, ohne Rücksprache für einen eigenen Zweck verwenden, oder wäre das ein Vertragsbruch? Wäre es ein Vertragsbruch, spricht das für eine Auftragsverarbeitung. Entscheidet er dagegen aufgrund eigener gesetzlicher oder berufsrechtlicher Pflichten, welche Daten er wie lange braucht, ist er eigenständig verantwortlich.
Die Rollenzuordnung in dieser Tabelle beschreibt den typischen Fall. Sie ersetzt keine Prüfung des konkreten Vertragsverhältnisses. Insbesondere bei Berufsträgern und bei Dienstleistern mit eigenen gesetzlichen Pflichten kann die Einordnung im Einzelfall abweichen.
Die Pflichtinhalte nach Artikel 28 Absatz 3
Artikel 28 Absatz 3 Satz 1 legt fest, dass die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach Unionsrecht oder mitgliedstaatlichem Recht erfolgt, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet. Sechs Angaben müssen darin festgelegt sein: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.
Danach folgt der eigentliche Pflichtenkatalog. Der Vertrag sieht insbesondere vor, dass der Auftragsverarbeiter die in den Buchstaben a bis h genannten Punkte einhält. Diese acht Buchstaben sind der Kern jedes AVV, und an ihnen lässt sich eine vorgelegte Anbietervorlage in wenigen Minuten prüfen.
| Buchstabe | Was der Vertrag vorsehen muss | Anknüpfung |
|---|---|---|
| a) Weisungsbindung | Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Ausnahme: Der Auftragsverarbeiter ist nach Unionsrecht oder mitgliedstaatlichem Recht dazu verpflichtet; dann teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet | Art. 28 Abs. 3 Buchst. a, vgl. Art. 29 |
| b) Vertraulichkeit | Gewährleistung, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen | Art. 28 Abs. 3 Buchst. b |
| c) Sicherheit der Verarbeitung | Ergreifen aller nach Artikel 32 erforderlichen Maßnahmen, also der technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung | Art. 28 Abs. 3 Buchst. c, Art. 32 |
| d) Unterauftragsverarbeiter | Einhaltung der in Artikel 28 Absätze 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters | Art. 28 Abs. 3 Buchst. d |
| e) Unterstützung bei Betroffenenrechten | Unterstützung des Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen | Art. 28 Abs. 3 Buchst. e, Kapitel III |
| f) Unterstützung bei Sicherheit, Datenpannen und Folgenabschätzung | Unterstützung des Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten, unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen | Art. 28 Abs. 3 Buchst. f, Art. 32 bis 36 |
| g) Löschung oder Rückgabe nach Ende | Nach Abschluss der Erbringung der Verarbeitungsleistungen Löschung oder Rückgabe aller personenbezogenen Daten nach Wahl des Verantwortlichen, sofern nicht nach Unionsrecht oder mitgliedstaatlichem Recht eine Speicherpflicht besteht | Art. 28 Abs. 3 Buchst. g |
| h) Nachweise und Überprüfungen | Zurverfügungstellung aller erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 niedergelegten Pflichten sowie Ermöglichung von und Beitrag zu Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden | Art. 28 Abs. 3 Buchst. h |
Die Hinweispflicht am Ende von Absatz 3
Nach der Aufzählung folgt ein eigener Satz, der oft übersehen wird. Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Dienstleister ist also nicht nur ausführendes Organ. Er hat eine eigene Warnpflicht gegenüber seinem Auftraggeber.
Wie Sie eine Anbietervorlage in zehn Minuten prüfen
Fast jeder Softwareanbieter legt einen fertigen AVV vor. Das ist praktisch, entbindet aber nicht von der Prüfung, denn der Verantwortliche bleibt für die Einhaltung von Artikel 28 zuständig. Gehen Sie die sechs Angaben aus Satz 1 und die acht Buchstaben einzeln durch und markieren Sie, was fehlt oder nur allgemein bleibt. Typische Lücken: Buchstabe g ohne echte Wahlmöglichkeit zwischen Löschung und Rückgabe, Buchstabe h beschränkt auf ein Zertifikat statt auf echte Überprüfungen, und eine Unterauftragsverarbeiterliste, die im Vertrag nur als Link auf eine Website steht, die sich jederzeit ändern kann.
Die Tabelle gibt den Inhalt von Artikel 28 Absatz 3 in gestraffter Form wieder. Maßgeblich ist der amtliche Verordnungstext. Ob eine konkrete Vertragsklausel die Anforderungen erfüllt, ist eine rechtliche Bewertung im Einzelfall.
Unterauftragsverarbeiter: Genehmigung, Information, Einspruch
Der Punkt, an dem AVV-Bestände im Mittelstand am häufigsten veralten, ist der Wechsel eines Unterauftragsverarbeiters. Der Dienstleister informiert, die Information landet in einem Sammelpostfach, und niemand prüft sie. Das Einspruchsrecht aus Artikel 28 Absatz 2 läuft dann ins Leere.
Artikel 28 Absatz 2 regelt die Kette nach unten. Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Es gibt also zwei Wege: die gesonderte Genehmigung für jeden einzelnen Unterauftragsverarbeiter oder die allgemeine Genehmigung, die den Dienstleister grundsätzlich zur Einbindung Dritter berechtigt.
Wer die allgemeine Genehmigung erteilt, und das ist bei Standardsoftware der Regelfall, erhält als Ausgleich eine Informations- und eine Einspruchsmöglichkeit. Im Fall einer allgemeinen schriftlichen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
Artikel 28 Absatz 4 regelt, was inhaltlich weitergereicht werden muss. Nimmt der Auftragsverarbeiter die Dienste eines weiteren Auftragsverarbeiters in Anspruch, so werden diesem im Wege eines Vertrags oder eines anderen Rechtsinstruments dieselben Datenschutzpflichten auferlegt, die im Vertrag zwischen Verantwortlichem und Auftragsverarbeiter nach Absatz 3 festgelegt sind. Dabei müssen insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen geboten werden. Und der Satz, den jeder Einkäufer kennen sollte: Kommt der weitere Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.
Warum die Namen bekannt sein sollten
In der Stellungnahme 22/2024 vom 7. Oktober 2024 hat sich der Europäische Datenschutzausschuss mit genau dieser Verarbeitungskette befasst. Sein Ergebnis: Für die Zwecke von Artikel 28 Absätze 1 und 2 sollten Verantwortliche die Informationen über die Identität aller Auftragsverarbeiter, Unterauftragsverarbeiter und weiterer Glieder der Kette jederzeit zur Verfügung haben. Der Ausschuss begründet das mit den anschließenden Pflichten: Ohne diese Informationen lassen sich Auskunftsersuchen nach Artikel 15 nicht unverzüglich beantworten und Verletzungen des Schutzes personenbezogener Daten entlang der Kette nicht schnell bearbeiten. Der Ausschuss stellt ausdrücklich klar, dass das unabhängig vom Risiko der Verarbeitungstätigkeit gilt.
Praktisch heißt das: Die Unterauftragsverarbeiterliste eines Anbieters ist kein Anhang, den man einmal abheftet. Sie gehört zum laufend gepflegten Bestand, mit einem Datum daneben, wann sie zuletzt geprüft wurde.
Wie ein Einspruch nach Artikel 28 Absatz 2 im Einzelfall auszuüben ist und welche Folgen er für das Vertragsverhältnis hat, richtet sich nach der konkreten Vertragsgestaltung. Das ist eine rechtliche Frage, die diese Seite nicht beantwortet.
Form, Standardvertragsklauseln und Zertifizierungen
Zur Form ist Artikel 28 Absatz 9 eindeutig und für die Praxis erfreulich unkompliziert: Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. Ein per E-Mail ausgetauschtes und elektronisch angenommenes Vertragsdokument genügt damit. Was nicht genügt, ist eine mündliche Absprache oder eine bloße Auftragsbestätigung ohne die Inhalte aus Absatz 3.
Für den Vertragstext selbst gibt es amtliche Bausteine. Nach Artikel 28 Absatz 6 kann der Vertrag ganz oder teilweise auf Standardvertragsklauseln beruhen. Absatz 7 ermächtigt die Kommission, solche Klauseln festzulegen, Absatz 8 die Aufsichtsbehörden. Die Kommission hat davon Gebrauch gemacht: Der Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Artikel 28 Absatz 7 der Verordnung (EU) 2016/679 stellt in seinem Artikel 1 fest, dass die im Anhang aufgeführten Klauseln die Anforderungen an Verträge zwischen Verantwortlichen und Auftragsverarbeitern nach Artikel 28 Absätze 3 und 4 erfüllen. Artikel 2 des Beschlusses stellt die Verwendung frei: Die Klauseln können in Verträgen zwischen einem Verantwortlichen und einem Auftragsverarbeiter verwendet werden.
Zwei Punkte dazu, an denen in der Praxis regelmäßig etwas durcheinandergerät. Erstens ist die Verwendung freigestellt, ein individuell ausgehandelter AVV bleibt zulässig, solange er die Inhalte aus Absatz 3 abbildet. Zweitens deckt der Beschluss 2021/915 das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter ab, nicht die Übermittlung in ein Drittland. Für Übermittlungen gilt Kapitel V der Verordnung, und dafür gibt es einen eigenen Durchführungsbeschluss aus demselben Datum. Ein Anbieter mit Servern oder Support außerhalb der EU braucht deshalb beides.
Verhaltensregeln und Zertifizierungen als Nachweisbaustein
Artikel 28 Absatz 5 erlaubt es, die Einhaltung genehmigter Verhaltensregeln nach Artikel 40 oder eines genehmigten Zertifizierungsverfahrens nach Artikel 42 durch einen Auftragsverarbeiter als Faktor heranzuziehen, um hinreichende Garantien im Sinne der Absätze 1 und 4 nachzuweisen. Das Wort Faktor ist dabei wichtig. Ein Zertifikat ist ein Baustein in der Auswahlentscheidung des Verantwortlichen, es ersetzt weder den Vertrag nach Absatz 3 noch die eigene Prüfung.
Haftung nach Artikel 82 und Bußgeldrahmen nach Artikel 83
Der für Verstöße gegen Artikel 28 einschlägige Rahmen ist der niedrigere der beiden Bußgeldrahmen der Verordnung. Artikel 83 Absatz 5 mit den 20 Mio. EUR beziehungsweise 4 Prozent gilt für andere Verstöße, etwa gegen die Verarbeitungsgrundsätze oder die Betroffenenrechte, und nicht für Artikel 28.
Artikel 82 Absatz 1 gibt jeder Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter. Absatz 2 differenziert: Jeder an einer Verarbeitung beteiligte Verantwortliche haftet für den Schaden, der durch eine nicht der Verordnung entsprechende Verarbeitung verursacht wurde. Ein Auftragsverarbeiter haftet nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Verantwortlichen oder gegen diese Anweisungen gehandelt hat.
Für das Außenverhältnis ist Absatz 4 der entscheidende Satz. Sind mehrere Verantwortliche oder mehrere Auftragsverarbeiter oder sowohl ein Verantwortlicher als auch ein Auftragsverarbeiter an derselben Verarbeitung beteiligt und nach den Absätzen 2 und 3 für einen Schaden verantwortlich, so haftet jeder von ihnen für den gesamten Schaden, damit ein wirksamer Schadensersatz für die betroffene Person sichergestellt ist. Die betroffene Person kann sich also aussuchen, wen sie in Anspruch nimmt. Der Innenausgleich läuft danach über Absatz 5: Wer vollständig gezahlt hat, kann von den übrigen Beteiligten den Teil zurückfordern, der ihrem Anteil an der Verantwortung entspricht. Nach Absatz 3 wird von der Haftung befreit, wer nachweist, dass er in keinerlei Hinsicht für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist.
Für Bußgelder gilt Artikel 83 Absatz 4. Bei Verstößen gegen die dort genannten Bestimmungen werden Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist. Buchstabe a nennt dabei die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43. Artikel 28 liegt in diesem Bereich und fällt damit unter Absatz 4 Buchstabe a.
Warum das keine Regelbeträge sind
Die genannten Zahlen sind Obergrenzen. Artikel 83 Absatz 2 verpflichtet die Aufsichtsbehörde, bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag in jedem Einzelfall unter anderem Art, Schwere und Dauer des Verstoßes, die Vorsätzlichkeit oder Fahrlässigkeit, den Grad der Verantwortung unter Berücksichtigung der nach den Artikeln 25 und 32 getroffenen Maßnahmen, frühere Verstöße, den Umfang der Zusammenarbeit mit der Aufsichtsbehörde sowie die Art und Weise zu berücksichtigen, wie der Verstoß der Behörde bekannt wurde. Nach Absatz 1 muss die Geldbuße in jedem Einzelfall wirksam, verhältnismäßig und abschreckend sein. Nach Absatz 3 übersteigt der Gesamtbetrag bei mehreren Verstößen im Rahmen gleicher oder verbundener Verarbeitungsvorgänge nicht den Betrag für den schwerwiegendsten Verstoß.
Die Höhe einer konkreten Geldbuße legt die zuständige Aufsichtsbehörde fest. Die hier genannten Beträge sind die in der Verordnung festgelegten Obergrenzen, keine zu erwartenden Beträge.
AVV-Register führen: was in der Praxis funktioniert
Ein AVV-Register ist in der Verordnung nicht als eigenes Dokument vorgeschrieben. Es entsteht aus den Pflichten drumherum. Artikel 5 Absatz 2 verlangt vom Verantwortlichen, die Einhaltung der Verarbeitungsgrundsätze nachweisen zu können. Artikel 24 Absatz 1 verlangt geeignete technische und organisatorische Maßnahmen, um sicherzustellen und den Nachweis erbringen zu können, dass die Verarbeitung der Verordnung entspricht, und ausdrücklich auch, diese Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren. Artikel 30 Absatz 1 Buchstabe d verlangt im Verzeichnis von Verarbeitungstätigkeiten die Kategorien von Empfängern. Und die Stellungnahme 22/2024 des Europäischen Datenschutzausschusses erwartet, dass die Identität aller Auftragsverarbeiter und Unterauftragsverarbeiter jederzeit verfügbar ist.
Wer diese vier Anforderungen zusammenzieht, landet automatisch bei einer Liste. Sie muss nicht schön sein, sie muss vollständig und aktuell sein.
Vier Fehler, die immer wieder auftauchen
Erstens: Der AVV liegt vor, ist aber nie beidseitig angenommen worden. Bei Online-Diensten muss der AVV oft aktiv im Kundenkonto aktiviert werden, sonst gilt er nicht. Zweitens: Der AVV stammt aus der Zeit vor einem Anbieterwechsel oder einer Übernahme und nennt eine Vertragspartei, die es so nicht mehr gibt. Drittens: Die Unterauftragsverarbeiterliste wurde beim Vertragsschluss einmal angesehen und danach nie wieder. Viertens: Ein AVV wurde vorsorglich mit jedem unterschrieben, auch mit dem Steuerberater und der Bank. Das schafft keine zusätzliche Sicherheit. Es verschleiert, wer tatsächlich in welcher Rolle handelt.
Der vierte Punkt wird häufig unterschätzt. Ein AVV mit einem eigenständig Verantwortlichen bildet die tatsächliche Beziehung nicht ab, und die Weisungsklausel aus Buchstabe a passt dann auf keine Seite. Bei einer Prüfung fällt genau das auf.
Zur AVV-Vorlage
Eine Mustervorlage ist ein sinnvoller Startpunkt, wenn Sie selbst als Auftragsverarbeiter auftreten oder einem kleinen Dienstleister etwas vorlegen müssen, der noch nichts hat. Der Aufbau folgt dabei immer derselben Reihenfolge: Präambel mit den Parteien, dann die sechs Angaben aus Artikel 28 Absatz 3 Satz 1 (Gegenstand, Dauer, Art und Zweck, Datenarten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen), dann die acht Buchstaben a bis h als eigene Abschnitte, dann eine Anlage mit den technischen und organisatorischen Maßnahmen nach Artikel 32 und eine Anlage mit den genehmigten Unterauftragsverarbeitern.
Ein Muster ist allerdings genau das, ein Muster. Gegenstand, Dauer, Datenarten und Personenkategorien sind je Dienstleister verschieden und müssen konkret ausgefüllt werden. Ein AVV mit leeren oder pauschalen Angaben in diesen Feldern erfüllt Artikel 28 Absatz 3 Satz 1 nicht. Wer eine Vorlage übernimmt, sollte sie vor der Verwendung fachlich prüfen lassen.
- Ein Eintrag pro Dienstleister mit Firma, Sitz, Leistung und Ansprechpartner. Ein Feld für die Frage, ob wirklich eine Auftragsverarbeitung vorliegt, mit einer Zeile Begründung.
- Vertragsstand: Datum des AVV, Fassung, Ablage des unterzeichneten Dokuments. Ein Link auf die Anbieterseite reicht nicht, dort kann sich der Text jederzeit ändern. Legen Sie die Fassung ab, die Sie tatsächlich angenommen haben.
- Unterauftragsverarbeiter je Dienstleister, mit Datum der letzten Prüfung. Bei allgemeiner Genehmigung nach Artikel 28 Absatz 2 dazu, wo die Änderungsmitteilungen des Anbieters ankommen und wer sie liest.
- Drittlandbezug: Werden Daten außerhalb der EU verarbeitet oder ist ein Support-Zugriff von dort möglich? Wenn ja, auf welcher Grundlage nach Kapitel V.
- Verknüpfung zum Verzeichnis von Verarbeitungstätigkeiten: Welche Verarbeitungstätigkeit läuft über welchen Dienstleister? Ohne diese Verknüpfung lässt sich bei einer Auskunftsanfrage nicht schnell sagen, wo die Daten einer Person überall liegen.
- Prüfrhythmus: ein fester Termin im Jahr, an dem der Bestand durchgegangen wird. Ohne Termin veraltet die Liste innerhalb weniger Monate.
- Zuständigkeit: eine benannte Person, bei der neue Dienstleister und Änderungsmitteilungen zusammenlaufen. Meist der Datenschutzbeauftragte, wo es keinen gibt, die Geschäftsführung.
Verwandte Themen
Dienstleister, Verträge und Unterauftragsverarbeiter an einer Stelle
Im Datenschutz-Modul von Sicherio führen Sie ein AVV-Register: je Dienstleister der Vertrag mit Fassung und Datum, die genehmigten Unterauftragsverarbeiter, der Drittlandbezug und der Stand der letzten Prüfung. Verknüpft mit dem Verzeichnis von Verarbeitungstätigkeiten, damit bei einer Auskunftsanfrage nachvollziehbar ist, wo Daten liegen. Die rechtliche Einordnung eines Dienstleisters bleibt bei Ihnen, Sicherio gibt ihr die Struktur.
Häufige Fragen
Zum Inhalt dieser Seite
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 30. Juli 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze