Auftragsverarbeitungsvertrag (AVV): Pflicht, Inhalte und typische Fehler

Inhalt in Kürze

• Ein AVV ist Pflicht nach Art. 28 DSGVO, sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – ob Hosting, Lohnbüro oder Newsletter-Tool.
• 70 % dieser Vereinbarungen sind unvollständig (Bitkom) – fehlende oder mangelhafte Dokumente kosten bis zu 10 Mio. Euro Bußgeld.
• Kein AVV brauchen Sie bei eigener Fachleistung, etwa beim Steuerberater, bei der Bank oder der Post. Welche Dienstleister Sie haben, zeigen Kontoauszüge, die Einträge Ihrer Domain und Ihre Website.
• Ein wirksamer Vertrag regelt konkret: Datenarten, Zweck, TOM, Anweisungsrecht, Subunternehmer und Kontrollrechte.
• Der HmbBfDI hat bis September 2025 Bußgelder von insgesamt rund 775.000 Euro verhängt.

Ihr Newsletter-Tool versendet Mails an Ihre Kunden. Ihr Lohnbüro kennt jedes Gehalt. Ihr Cloud-Anbieter speichert Bewerbungsunterlagen. Drei Dienstleister, drei Mal personenbezogene Daten außerhalb Ihrer vier Wände – und drei Mal müssen Sie als Auftraggeber absichern, was damit geschieht.

Dafür brauchen Sie einen AVV. Ohne Ausnahme.

Trotzdem fehlt dieses Dokument bei erschreckend vielen KMU – oder es ist so allgemein formuliert, dass es im Ernstfall wertlos ist. Was genau hineingehört, wann die Pflicht greift und welche Fehler Aufsichtsbehörden auf den Plan rufen: Das klären wir hier.

ADV — Bedeutung der Auftragsdatenverarbeitung kurz erklärt

Was ist ADV? ADV steht für Auftragsdatenverarbeitung und ist der alte juristische Begriff aus dem Bundesdatenschutzgesetz (BDSG) in der Fassung vor dem 25. Mai 2018. Mit Inkrafttreten der DSGVO wurde die Konstruktion neu geregelt und heißt seither korrekt Auftragsverarbeitung – der zugehörige Vertrag ist der AVV (Auftragsverarbeitungsvertrag) nach Art. 28 DSGVO.

ADV bedeutet also inhaltlich dasselbe wie AVV: Ein externer Dienstleister verarbeitet personenbezogene Daten weisungsgebunden in Ihrem Auftrag. Juristisch sauber ist heute „AVV” – in der betrieblichen Praxis lebt „ADV” jedoch hartnäckig weiter und wird häufig synonym verwendet, etwa in Anbieter-Templates, Lastenheften oder älteren Vertragsklauseln.

Praktisch relevant wird der Unterschied vor allem bei Altverträgen: Alle Vereinbarungen, die vor dem 25. Mai 2018 unterzeichnet wurden, basieren oft noch auf BDSG-alten ADV-Klauseln. Diese erfüllen die strengeren Pflichtinhalte der DSGVO (Art. 28 Abs. 3) regelmäßig nicht – etwa bei Subunternehmer-Regelungen, TOM-Beschreibungen oder Löschpflichten. Solche Alt-Dokumente gehören geprüft und ersetzt.

In den folgenden Sektionen verwenden wir den heute gebräuchlichen Begriff AVV — gemeint ist immer Auftragsverarbeitung im Sinne von Art. 28 DSGVO.

Was regelt Art. 28 DSGVO – und warum ist das wichtig?

Ein AVV regelt die Beziehung zwischen Ihnen als Auftraggeber und einem externen Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Die Rechtsgrundlage ist Art. 28 DSGVO.

Der entscheidende Punkt: Sie bleiben in der Pflicht. Auch wenn Ihr Dienstleister den Fehler macht – die Aufsichtsbehörde klopft zuerst bei Ihnen an. Art. 82 stellt klar: Der Auftraggeber haftet für Schäden durch unrechtmäßige Verarbeitung.

Typische Fälle, in denen Sie eine solche Vereinbarung brauchen:

• Cloud-Speicher (Google Workspace, Microsoft 365, Dropbox)
• E-Mail-Marketing (Mailchimp, CleverReach, Brevo)
• Lohn- und Gehaltsabrechnung über ein externes Büro
• IT-Support mit Fernzugriff auf Ihre Systeme
• Hosting-Anbieter für Ihre Website
• Aktenvernichtung durch externe Dienstleister

Wir sehen das bei unseren Mandanten regelmäßig: Die meisten setzen 5 bis 15 Dienstleister ein – und haben für die Hälfte kein passendes Dokument.

Anweisungsgebundenheit: Der Kern der Regelung

Was diese Form der Zusammenarbeit von anderen unterscheidet, ist das Anweisungsrecht. Der Dienstleister darf personenbezogene Daten ausschließlich nach Ihrer Vorgabe verarbeiten – so schreibt es Art. 29 DSGVO vor.

Konkret bedeutet das: Er entscheidet nicht selbst über Zweck oder Mittel, handelt streng gebunden an Ihre Vorgaben, und wird bei Verstößen nach Art. 28 Abs. 10 selbst haftbar.

Welche Dienstleister brauchen einen Auftragsverarbeitungsvertrag? So finden Sie alle

Die Frage hat zwei Teile. Erstens: Ist der Dienstleister überhaupt Auftragsverarbeiter? Zweitens: Kennen Sie wirklich alle, die für Sie Daten verarbeiten? An der zweiten Frage scheitern die meisten Verzeichnisse, nicht an der ersten.

Auftragsverarbeiter oder eigener Verantwortlicher?

Maßgeblich ist, wer über Zweck und Mittel entscheidet. Arbeitet der Dienstleister nur nach Ihrer Weisung mit Ihren Daten, ist er Auftragsverarbeiter. Erbringt er eine eigene Fachleistung, für die er die Daten selbst verantwortet, ist er es nicht. Die Datenschutzkonferenz nennt in ihrem Kurzpapier Nr. 13 zur Auftragsverarbeitung (Stand 17.12.2018) Beispiele für beide Seiten:

„Kein AVV“ heißt nicht „nichts zu tun“. Wer Daten in eigener Verantwortung bekommt, braucht dafür eine Rechtsgrundlage nach Art. 6 DSGVO, und der Empfänger gehört trotzdem ins Verarbeitungsverzeichnis.

So finden Sie alle Dienstleister

Ein Verzeichnis aus dem Gedächtnis ist fast immer lückenhaft. Das Newsletter-Tool hat das Marketing gebucht, die Terminbuchung der Empfang, den Chat auf der Website die Agentur. Diese fünf Quellen bringen die meisten ans Licht:

1. Kontoauszüge und Kreditkarte: Gehen Sie die Abbuchungen der letzten zwölf Monate durch. Jedes Abo ist ein Kandidat, auch das für 9 Euro im Monat.
2. Die öffentlichen Einträge Ihrer Domain: Wohin Ihre E-Mails gehen (MX-Eintrag), wer in Ihrem Namen versenden darf (SPF-Eintrag) und welche Dienste ihre Zugehörigkeit zu Ihrer Domain bestätigt haben (TXT-Einträge), steht offen im DNS. Dort tauchen Mailprogramme, Newsletter-Tools und Bürosoftware auf, die niemand mehr auf dem Zettel hat.
3. Ihre Website: Statistik, Karten, Videos, Schriften, Chat und Formulare kommen oft von fremden Servern. Ein Website-Check listet, was eingebunden ist.
4. Die Abteilungen fragen: Personal, Buchhaltung, Vertrieb und Marketing nennen in zehn Minuten mehr Werkzeuge als jede Liste. Fragen Sie konkret: „Wo laden Sie Kundendaten hoch?“
5. Verträge und Rechnungen: Wartungsverträge, Lohnbüro, Entsorger, Druckerei. Hier stehen die Dienstleister ohne digitale Spur.

Was frag.hugo davon selbst erkennt

Die Quellen 2 und 3 nimmt Ihnen Hugo DSB ab. Hugo liest die öffentlichen Einträge Ihrer Domain und die Dienste, die der Website-Check auf Ihrer Website gefunden hat, und gleicht beides mit dem eigenen Software-Katalog ab. Auf der Seite Dienstleister stehen dann die erkannten Dienste, jeweils mit dem Beleg, woran Hugo sie erkannt hat, und mit einem Satz, ob in der Regel ein AVV nötig ist.

Ein Klick übernimmt einen Dienst als Dienstleister mit dem Vermerk „AV-Vertrag fehlt“. Auf Wunsch legt Hugo dazu den passenden Entwurf im Verarbeitungsverzeichnis an. Ist der Dienst kein Auftragsverarbeiter, etwa ein Zahlungsdienst, markieren Sie ihn so. Ihr Datenschutzbeauftragter prüft die Einträge wie jeden anderen.

Was Hugo nicht kann: Dienstleister ohne Spur in Website oder Domain erkennen, also Lohnbüro, Steuerberatung, IT-Dienstleister oder Aktenvernichtung. Die Quellen 1, 4 und 5 bleiben Ihre Aufgabe. Wie die Erkennung im Einzelnen arbeitet, steht in der Anleitung „Erkannte Dienste“.

Pflichtinhalte nach Art. 28 Abs. 3

Die Norm ist erstaunlich konkret. Folgende Punkte muss der Vertrag mindestens regeln:

1. Gegenstand und Dauer: Was wird verarbeitet, wie lange? Nicht „bis auf Widerruf", sondern ein konkreter Zeitraum oder Bezug zum Hauptvertrag.
2. Art und Zweck: Newsletter-Versand, Gehaltsabrechnung, Hosting – so spezifisch wie möglich.
3. Datenkategorien: Namen, E-Mail-Adressen, Gehaltsdaten? Jede Kategorie einzeln auflisten.
4. Betroffene Personen: Kunden, Mitarbeiter, Bewerber, Website-Besucher.
5. TOM: Verschlüsselung, Zugriffskontrollen, Backup-Konzepte nach Art. 32. Konkret und prüfbar – nicht nur „angemessene Maßnahmen".
6. Anweisungsrecht: Wie erteilen Sie Vorgaben? Was passiert bei rechtswidrigen Anordnungen?
7. Subunternehmer: Darf Ihr Dienstleister weitere Dritte einsetzen? Unter welchen Bedingungen?
8. Kontrollrechte: Ihr Recht auf Audits – vor Ort oder per Nachweis.
9. Löschung und Rückgabe: Was passiert mit den Daten bei Vertragsende?

Aus der Praxis: Wenn es schnell gehen muss

Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt rechtskonform eine Umfrage an seine Kunden losschicken. Genau so soll die Zusammenarbeit laufen.

Nils OehmichenBerater bei frag.hugo

Der Mandant wollte eine Kundenbefragung starten und brauchte dafür eine Vereinbarung mit dem Umfrage-Tool. Statt wochenlanger Unsicherheit war alles in einem Tag erledigt – inklusive Prüfung der TOM und des Anweisungskonzepts. So läuft es bei uns: Mandant meldet sich, wir prüfen den Dienstleister, passen das Dokument an und geben grünes Licht.

Checkliste: Die 7 häufigsten Fehler

Diese Fehler finden wir bei fast jedem Audit:

• Keine Vereinbarung vorhanden. Besonders bei „kleinen" Tools wie Calendly, Zoom oder Slack vergessen.
• Standard-Vorlage nicht geprüft. Der Dienstleister stellt ein Dokument bereit – niemand liest es.
• TOM fehlen oder sind pauschal. „Angemessene Sicherheitsmaßnahmen" reicht nicht als Beschreibung nach Art. 32.
• Anweisungsrecht nicht geregelt. Es fehlt, wie Vorgaben erteilt werden und was bei rechtswidrigen Anordnungen passiert.
• Subunternehmer nicht erfasst. Ihr Cloud-Dienstleister nutzt AWS – steht das im Dokument?
• Keine Löschklausel. Was passiert mit den Daten nach Vertragsende?
• Kein Register. Sie müssen dokumentieren, mit welchen Dienstleistern Vereinbarungen bestehen – als Teil Ihres Verarbeitungsverzeichnisses nach Art. 30.

Was kostet ein Verstoß?

Die Theorie: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4. Die Praxis: Ein Versandunternehmen zahlte 5.000 Euro, weil die Vereinbarung mit einem spanischen Paketdienstleister fehlte. In Brandenburg verhängte die Aufsichtsbehörde 50.000 Euro wegen fehlerhafter Auskunft und fehlendem Dokument. Für ein KMU mit 30 Mitarbeitern kein Pappenstiel.

Der HmbBfDI hat bis September 2025 Bußgelder von insgesamt 775.000 Euro verhängt. Als Beratung in Hamburg kennen wir die Prüfschwerpunkte und wissen, worauf es ankommt. Nutzen Sie unseren kostenlosen Website-Check, um erste Lücken aufzudecken.

Ihr nächster Schritt

Eine saubere Vereinbarung schützt nicht nur vor Bußgeldern. Sie gibt Ihnen die Sicherheit, dass Ihr Dienstleister nur nach Ihren Vorgaben handelt – und zeigt Kunden und Geschäftspartnern: Hier nimmt man den Schutz personenbezogener Daten ernst.

Häufige Fragen (FAQ)

Wann brauche ich einen AVV?

Immer wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Typische Fälle: Cloud-Anbieter, Lohnbüro, Newsletter-Tool, Hosting, IT-Support mit Fernzugriff. Ohne diese Vereinbarung drohen Bußgelder bis 10 Mio. Euro nach Art. 83 Abs. 4.

Welche Dienstleister brauchen keinen AVV?

Dienstleister, die eine eigene Fachleistung in eigener Verantwortung erbringen: Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, externe Betriebsärzte, Banken im Zahlungsverkehr, Inkassobüros mit Forderungsübertragung und die Post beim Brieftransport. So nennt es die Datenschutzkonferenz im Kurzpapier Nr. 13. Für die Weitergabe der Daten brauchen Sie dann eine Rechtsgrundlage nach Art. 6 DSGVO.

Was muss darin stehen?

Art. 28 Abs. 3 schreibt vor: Gegenstand und Dauer, Art der Daten, Kategorien betroffener Personen, Pflichten des Dienstleisters, Anweisungsrecht, TOM und Regelungen zu Subunternehmern.

Reicht eine Standard-Vorlage vom Dienstleister?

Oft nicht. Laut Bitkom sind 70 % lückenhaft. Standard-Vorlagen decken selten die konkrete Situation ab. Prüfen Sie jedes Dokument individuell – oder lassen Sie es vom Fachberater prüfen.

Welche Strafen drohen ohne AVV?

Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes nach Art. 83 Abs. 4. Zusätzlich haften Sie nach Art. 82 für Schäden – der Dienstleister nur, wenn er seine eigenen Pflichten verletzt oder Ihre Vorgaben missachtet hat; dann haften beide für den gesamten Schaden. In der Praxis verhängte die Aufsicht bereits 5.000 Euro gegen ein Versandunternehmen.

Wer muss die Vereinbarung initiieren?

Der Auftraggeber. Er muss sicherstellen, dass das Dokument den gesetzlichen Anforderungen entspricht. Der Dienstleister muss mitwirken, nur nach Vorgabe handeln und die vereinbarten TOM einhalten.