AV-Vertrag

Definition

Der AV-Vertrag – ausgeschrieben Auftragsverarbeitungsvertrag oder Vertrag über Auftragsverarbeitung – ist eine schriftliche oder elektronische Vereinbarung nach Artikel 28 Absatz 3 DSGVO. Er wird zwischen einem Verantwortlichen (z. B. einem Unternehmen) und einem Auftragsverarbeiter (z. B. einem IT-Dienstleister, Cloud-Anbieter oder Newsletter-Tool) geschlossen, sobald der Dienstleister im Auftrag des Unternehmens personenbezogene Daten verarbeitet.

Der Vertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten beider Parteien fest. Ohne AV-Vertrag ist die Datenverarbeitung durch den Dienstleister nach DSGVO grundsätzlich unzulässig.

Relevanz für KMU

Für kleine und mittlere Unternehmen ist der AV-Vertrag in nahezu jedem Digitalisierungsprojekt relevant. Typische Konstellationen, in denen ein AV-Vertrag erforderlich ist:

• Cloud-Speicher und SaaS-Tools (z. B. Microsoft 365, Google Workspace, Dropbox)
• E-Mail-Marketing (z. B. Mailchimp, Brevo, CleverReach)
• Buchhaltungs- und CRM-Software mit externer Datenhaltung
• Externe IT-Dienstleister, Hoster und Backup-Anbieter
• Kundensupport-Tools und Ticketsysteme
• Webanalyse und Tracking, sofern personenbezogene Daten verarbeitet werden

Fehlt ein AV-Vertrag, drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Zudem können betroffene Personen Schadensersatzansprüche geltend machen.

Typische Missverständnisse

• „Ein AV-Vertrag ist nur bei sensiblen Daten nötig.” Falsch. Er ist bei jeder Verarbeitung personenbezogener Daten im Auftrag Pflicht – auch bei Namen und E-Mail-Adressen.
• „Der Anbieter erklärt sich in den AGB für DSGVO-konform, das reicht.” Nein. Ein pauschaler Hinweis in den AGB ersetzt keinen AV-Vertrag nach Art. 28 DSGVO.
• „Bei Anbietern außerhalb der EU brauche ich keinen AV-Vertrag.” Im Gegenteil – hier ist der AV-Vertrag zusätzlich um Standardvertragsklauseln (SCC) und ggf. ein Transfer Impact Assessment zu ergänzen.
• „AV-Vertrag und Datenschutzerklärung sind dasselbe.” Nein. Die Datenschutzerklärung informiert Betroffene, der AV-Vertrag regelt das Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter.
• „Auch Steuerberater und Rechtsanwälte benötigen einen AV-Vertrag.” In der Regel nein – sie sind eigenständig Verantwortliche, keine Auftragsverarbeiter.

Prüfpunkte

Vor Vertragsabschluss und regelmäßig danach solltest du prüfen:

1. Vollständigkeit nach Art. 28 Abs. 3 DSGVO: Sind Gegenstand, Dauer, Art, Zweck, Datenarten und Betroffenenkategorien konkret benannt?
2. Technisch-organisatorische Maßnahmen (TOM): Liegt eine dokumentierte Beschreibung der Sicherheitsmaßnahmen des Auftragsverarbeiters vor?
3. Sub-Auftragsverarbeiter: Werden weitere Dienstleister eingesetzt? Ist die Zustimmungs- oder Widerspruchsregelung klar geregelt?
4. Drittlandtransfer: Findet eine Verarbeitung außerhalb der EU/des EWR statt? Sind SCC oder ein Angemessenheitsbeschluss vorhanden?
5. Weisungsrecht: Ist dokumentiert, dass der Auftragsverarbeiter nur auf dokumentierte Weisung tätig wird?
6. Unterstützungspflichten: Unterstützt der Dienstleister bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten?
7. Löschung/Rückgabe: Ist geregelt, was mit den Daten nach Vertragsende geschieht?
8. Kontroll- und Auditrechte: Kannst du die Einhaltung überprüfen (auch über Zertifikate wie ISO 27001)?

Kurzüberblick Art. 28 DSGVO