AVV zentral verwalten
AVVs, Verarbeitungsverzeichnis und TOMs in einer Lösung
Unsere Datenschutz-Software verwaltet alle AVVs mit Ihren Dienstleistern zentral, verknüpft sie mit der jeweiligen Verarbeitungstätigkeit im Verarbeitungsverzeichnis und prüft die TOMs auf Konsistenz. Erinnert an Verlängerungen und liefert Auditberichte auf Knopfdruck.
Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag – kurz AVV, teils auch AV-Vertrag oder früher „Auftragsdatenverarbeitung (ADV)“ genannt – ist die vertragliche Grundlage dafür, dass ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet. Geregelt ist er in Art. 28 DSGVO.
Die DSGVO unterscheidet dabei zwei Rollen: Die verantwortliche Stelle entscheidet über Zwecke und Mittel der Verarbeitung. Der Auftragsverarbeiter führt die Verarbeitung weisungsgebunden für die verantwortliche Stelle aus, ohne selbst über die Zwecke zu bestimmen. Der AVV stellt sicher, dass der Dienstleister die Daten nur im vereinbarten Rahmen und mit angemessenem Schutz verarbeitet.
Wann ist ein AVV Pflicht?
Ein AVV ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – unabhängig davon, ob er die Daten aktiv nutzt oder nur Zugriff darauf haben könnte (etwa bei Fernwartung). Die Pflicht trifft beide Seiten: Ohne AVV handeln verantwortliche Stelle und Auftragsverarbeiter rechtswidrig.
Typische Beispiele für Auftragsverarbeitung
In diesen häufigen Konstellationen brauchen Sie einen AVV:
- Cloud- und Hosting-Dienste sowie Rechenzentren,
- Software-as-a-Service (z. B. CRM, Projekt- oder Ticketsysteme),
- Newsletter- und E-Mail-Marketing-Tools,
- externe Lohn- und Gehaltsabrechnung,
- IT-Wartung, Support und Fernwartung mit Datenzugriff,
- Webanalyse- und Tracking-Dienste,
- Akten- und Datenträgervernichtung.
Wann kein AVV nötig ist
Nicht jede Weitergabe von Daten ist eine Auftragsverarbeitung. Kein AVV ist erforderlich, wenn der Dienstleister eigenverantwortlich tätig wird. Das ist typischerweise bei Berufsgeheimnisträgern wie Steuerberatern, Rechtsanwältinnen oder Wirtschaftsprüfern der Fall, die ihre Aufgabe in fachlicher Eigenverantwortung erfüllen. Auch bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO), bei der zwei Stellen gemeinsam über Zwecke und Mittel entscheiden, greift kein AVV, sondern eine andere Vereinbarung. Im Zweifel entscheidet, wer die Zwecke der Verarbeitung bestimmt.
Welche Inhalte muss ein AVV haben?
Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt vor. Der Vertrag muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte der verantwortlichen Stelle festlegen. Zusätzlich verpflichtet der AVV den Auftragsverarbeiter zu einer Reihe konkreter Maßnahmen.
Pflichten des Auftragsverarbeiters im Überblick
Der Auftragsverarbeiter muss sich im AVV insbesondere verpflichten,
- Daten nur auf dokumentierte Weisung der verantwortlichen Stelle zu verarbeiten,
- die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten,
- geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (TOMs) umzusetzen,
- Unterauftragsverarbeiter nur mit Genehmigung und unter gleichwertigen Pflichten einzusetzen,
- die verantwortliche Stelle bei der Erfüllung von Betroffenenrechten zu unterstützen,
- bei Meldepflichten und Datenschutz-Folgenabschätzungen (Art. 32-36) zu unterstützen,
- die Daten nach Auftragsende zu löschen oder zurückzugeben, und
- der verantwortlichen Stelle alle Informationen für Nachweise und Audits bereitzustellen.
Unterauftragsverarbeiter
Setzt Ihr Dienstleister selbst weitere Dienstleister ein (zum Beispiel ein SaaS-Anbieter, der bei einem Cloud-Provider hostet), spricht man von Unterauftragsverarbeitung. Diese ist nur zulässig, wenn die verantwortliche Stelle zugestimmt hat und der Unterauftragsverarbeiter zu denselben Datenschutzpflichten verpflichtet wird.
AVV erstellen – Schritt für Schritt
- Auftragsverarbeiter identifizieren. Erfassen Sie alle Dienstleister mit Zugriff auf personenbezogene Daten.
- AVV anfordern oder bereitstellen. In der Praxis stellt meist der Dienstleister seinen AVV bereit – prüfen Sie ihn auf die Pflichtinhalte. Existiert keiner, nutzen Sie ein eigenes Muster.
- TOMs anhängen. Die technischen und organisatorischen Maßnahmen sind fester Bestandteil des AVV.
- Unterauftragsverarbeiter regeln. Genehmigungsverfahren und Liste der Unterauftragsverarbeiter festhalten.
- Unterzeichnen und dokumentieren. Den AVV rechtsgültig schließen und im Verarbeitungsverzeichnis bei der jeweiligen Verarbeitungstätigkeit vermerken.
AVV-Muster & Vorlage
Für den Einstieg lohnt sich ein geprüftes Muster. Häufig liefert bereits Ihr Dienstleister einen eigenen AVV – dann müssen Sie diesen nur prüfen und gegenzeichnen. Ein eigenes Muster brauchen Sie vor allem dann, wenn Sie selbst als Auftragsverarbeiter auftreten oder ein Dienstleister keinen AVV anbietet.
Anstelle eines ungeprüften Mustervertrags empfehlen wir, AVVs zentral über unsere Datenschutz-Management-Software zu verwalten: Pflichtangaben werden automatisch geprüft, TOMs konsistent über alle Verträge gehalten, und Verlangs- und Wiedervorlagen sind erinnerungsfest hinterlegt.
Was droht ohne AVV?
Fehlt ein erforderlicher Auftragsverarbeitungsvertrag, ist das ein eigenständiger Datenschutzverstoß – und zwar für beide Vertragsparteien. Nach Art. 83 Abs. 4 DSGVO sind Geldbußen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Unabhängig vom Bußgeldrisiko ist ein fehlender AVV einer der häufigsten Mängel, die bei Datenschutz-Prüfungen auffallen.
AVV, Verarbeitungsverzeichnis und TOMs – wie alles zusammenhängt
Der AVV steht nicht für sich allein. Jede Verarbeitung durch einen Dienstleister gehört in Ihr Verarbeitungsverzeichnis, die vereinbarten Schutzmaßnahmen sind Ihre TOMs nach Art. 32 DSGVO. Wer diese drei Bausteine sauber verknüpft, hat den Kern eines funktionierenden Datenschutz-Managements abgedeckt – genau hier unterstützt Sie unsere Datenschutz-Management-Software, die AVVs, Verzeichnis und TOMs an einem Ort verwaltet.
Häufige Fragen zum Auftragsverarbeitungsvertrag
Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Vertrag nach Art. 28 DSGVO, der regelt, wie ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung einer verantwortlichen Stelle verarbeitet.
Wann ist ein AVV Pflicht?
Immer, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – zum Beispiel Cloud-Hosting, Newsletter-Tools oder externe Lohnabrechnung.
Wer muss den AVV bereitstellen – Auftraggeber oder Dienstleister?
In der Praxis stellt meist der Dienstleister seinen AVV zur Verfügung. Die Pflicht, dass ein gültiger AVV vorliegt, trifft aber beide Seiten. Die verantwortliche Stelle muss den AVV prüfen.
Ist ein AVV mit dem Steuerberater nötig?
In der Regel nicht. Steuerberater und andere Berufsgeheimnisträger werden meist eigenverantwortlich tätig, sodass keine Auftragsverarbeitung vorliegt. Bei reinen Lohnabrechnungs-Dienstleistern kann der Fall anders liegen – im Zweifel prüfen.
Was muss in einem AVV stehen?
Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen sowie die Pflichten des Auftragsverarbeiters nach Art. 28 Abs. 3 DSGVO (Weisungsbindung, Vertraulichkeit, TOMs, Unterauftragsverarbeiter, Unterstützung, Löschung/Rückgabe, Audits).
Brauche ich für jeden Dienstleister einen eigenen AVV?
Ja. Mit jedem Auftragsverarbeiter ist ein eigener AVV zu schließen. Eine Übersicht aller AVVs gehört in Ihr Datenschutz-Management.
Was ist der Unterschied zwischen AVV und gemeinsamer Verantwortlichkeit?
Beim AVV handelt der Dienstleister weisungsgebunden. Bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) entscheiden zwei Stellen gemeinsam über Zwecke und Mittel – dann gilt eine andere Vereinbarung, kein AVV.
Welches Bußgeld droht ohne AVV?
Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO – der höhere Betrag gilt, und es haften beide Parteien.
Wie sich AVV und Verarbeitungsverzeichnis zueinander verhalten – mit Excel-Vorlage.
TOMs nach Art. 32 DSGVO →
Die technische TOM-Anlage Ihres AVVs – 8 Kategorien mit Praxis-Beispielen.
Datenschutzkonzept erstellen →
AVV als Baustein im vollständigen Datenschutzkonzept – Aufbau und Beispiel.
Datenschutz-Software →
Alle AVVs zentral verwalten – mit automatischer TOM-Prüfung und Wiedervorlage.