Auftragsverarbeitung — Definition und Vertrag
Aktualisiert am: 25.08.2026
Ein Auftragsverarbeiter ist ein Unternehmen oder eine Person, die Daten ausschließlich nach Anweisung eines anderen (des Verantwortlichen) verarbeitet. Der Unterschied zum Verantwortlichen: Der Auftragsverarbeiter trifft keine eigenständigen Entscheidungen über Zweck und Mittel der Verarbeitung. Ein schriftlicher Auftragsverarbeitungsvertrag ist verpflichtend.
Praktische Beispiele
- Hosting-Provider, der Ihre Website auf seinen Servern betreibt, aber keine Entscheidung über die Daten trifft
- Buchhaltungssoftware-Anbieter, der Ihre Rechnungsdaten speichert, wie Sie es anordnen
- Reinigungsfirma, die in Ihrem Büro tätig ist und dabei zufällig Daten sieht
- Lohnabrechnung-Dienstleister für Ihre Beschäftigten
Auftragsverarbeiter vs. Verantwortlicher
Der Verantwortliche entscheidet: Wer? Warum? Wie lange? Ein Auftragsverarbeiter führt nur aus, was der Verantwortliche anordnet. Viele Unternehmen verwechseln das. Ein Beispiel: Wenn Ihre Cloud-Storage-Firma selber entscheidet, Ihre Daten für ihre eigene Produktentwicklung zu nutzen, ist sie kein Auftragsverarbeiter mehr — dann ist sie selbst Verantwortlicher. Das macht den Vertrag ungültig.
Woran man den Vertrag erkennt
Ein Test: Entscheidet der Dienstleister selbständig, was mit den Daten passiert? Dann ist er kein Auftragsverarbeiter. Könnte der Dienstleister die Daten auch für seine eigenen Geschäftszwecke nutzen? Dann braucht es einen Vertrag. Auch Mailinglisten-Verwaltung ist Auftragsverarbeitung, wenn der Dienstleister Adressen speichert und Sie kontrollieren, wer was empfängt. Cloud-Hosting, Buchhaltung, Lohnabrechnung — alle diese sind typische Auftragsverarbeitungen.
Wo das im Mandat vorkommt
Im Mandat prüfe ich, wer in der Lieferkette des Kunden Auftragsverarbeiter ist — und ob die Verträge stimmen. Häufig finde ich fehlende oder unvollständige Auftragsverarbeitungsverträge. Das ist ein sofortiger Compliance-Fehler, den ich mit dem Kunden korrigiere.
Häufige Frage
Muss jede Fremdfirma einen Auftragsverarbeitungsvertrag haben?
Nein. Nur dann, wenn sie personenbezogene Daten verarbeitet und dabei auf Ihre Anweisung tätig ist. Ein Berater, der Sie besucht und danach einen Bericht schreibt, ist vielleicht kein Auftragsverarbeiter. Ein IT-Dienstleister, der auf Ihre Server zugreift, ist eine.
Verwandte Begriffe
Weitere Beiträge zum Thema
Compliance-Software für Ihr Unternehmen
DSGVO, ISO 27001, NIS2 — alles in einer Plattform.
Zum Shop →