AV-Vertrag

Definition

Der AV-Vertrag – ausgeschrieben Auftragsverarbeitungsvertrag oder Vertrag über Auftragsverarbeitung – ist eine schriftliche oder elektronische Vereinbarung nach Artikel 28 Absatz 3 DSGVO. Er wird zwischen einem Verantwortlichen (z. B. einem Unternehmen) und einem Auftragsverarbeiter (z. B. einem IT-Dienstleister, Cloud-Anbieter oder Newsletter-Tool) geschlossen, sobald der Dienstleister im Auftrag des Unternehmens personenbezogene Daten verarbeitet.

Der Vertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten beider Parteien fest. Ohne AV-Vertrag ist die Datenverarbeitung durch den Dienstleister nach DSGVO grundsätzlich unzulässig.

Relevanz für KMU

Für kleine und mittlere Unternehmen ist der AV-Vertrag in nahezu jedem Digitalisierungsprojekt relevant. Typische Konstellationen, in denen ein AV-Vertrag erforderlich ist:

• Cloud-Speicher und SaaS-Tools (z. B. Microsoft 365, Google Workspace, Dropbox)
• E-Mail-Marketing (z. B. Mailchimp, Brevo, CleverReach)
• Buchhaltungs- und CRM-Software mit externer Datenhaltung
• Externe IT-Dienstleister, Hoster und Backup-Anbieter
• Kundensupport-Tools und Ticketsysteme
• Webanalyse und Tracking, sofern personenbezogene Daten verarbeitet werden

Fehlt ein AV-Vertrag, drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Zudem können betroffene Personen Schadensersatzansprüche geltend machen.

Typische Missverständnisse

• „Ein AV-Vertrag ist nur bei sensiblen Daten nötig.” Falsch. Er ist bei jeder Verarbeitung personenbezogener Daten im Auftrag Pflicht – auch bei Namen und E-Mail-Adressen.
• „Der Anbieter erklärt sich in den AGB für DSGVO-konform, das reicht.” Nein. Ein pauschaler Hinweis in den AGB ersetzt keinen AV-Vertrag nach Art. 28 DSGVO.
• „Bei Anbietern außerhalb der EU brauche ich keinen AV-Vertrag.” Im Gegenteil – der AV-Vertrag ist auch hier Pflicht. Zusätzlich braucht der Drittlandtransfer eine Grundlage: Bei US-Anbietern, die unter dem EU-US Data Privacy Framework zertifiziert sind, genügt der Angemessenheitsbeschluss der EU-Kommission. Sonst sind Standardvertragsklauseln (SCC) und ggf. ein Transfer Impact Assessment nötig.
• „AV-Vertrag und Datenschutzerklärung sind dasselbe.” Nein. Die Datenschutzerklärung informiert Betroffene, der AV-Vertrag regelt das Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter.
• „Auch Steuerberater und Rechtsanwälte benötigen einen AV-Vertrag.” In der Regel nein – sie sind eigenständig Verantwortliche, keine Auftragsverarbeiter.

Prüfpunkte

Vor Vertragsabschluss und regelmäßig danach solltest du prüfen:

1. Vollständigkeit nach Art. 28 Abs. 3 DSGVO: Sind Gegenstand, Dauer, Art, Zweck, Datenarten und Betroffenenkategorien konkret benannt?
2. Technisch-organisatorische Maßnahmen (TOM): Liegt eine dokumentierte Beschreibung der Sicherheitsmaßnahmen des Auftragsverarbeiters vor?
3. Sub-Auftragsverarbeiter: Werden weitere Dienstleister eingesetzt? Ist die Zustimmungs- oder Widerspruchsregelung klar geregelt?
4. Drittlandtransfer: Findet eine Verarbeitung außerhalb der EU/des EWR statt? Sind SCC oder ein Angemessenheitsbeschluss vorhanden?
5. Weisungsrecht: Ist dokumentiert, dass der Auftragsverarbeiter nur auf dokumentierte Weisung tätig wird?
6. Unterstützungspflichten: Unterstützt der Dienstleister bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten?
7. Löschung/Rückgabe: Ist geregelt, was mit den Daten nach Vertragsende geschieht?
8. Kontroll- und Auditrechte: Kannst du die Einhaltung überprüfen (auch über Zertifikate wie ISO 27001)?

AVV-Vorlage: Offizielle Muster, keine eigene Rechtsvorlage

Eine AVV-Vorlage aus einer Suchmaschine ist kein Ersatz für Art. 28 DSGVO. Verwende nur Muster von Datenschutzbehörden oder der EU-Kommission – und passe sie an den konkreten Auftrag an. Eine fertige KMU-Vorlage von dieser Seite gibt es bewusst nicht.

Drei offizielle Anlaufstellen:

1. SaaS und Cloud: Nimm den Auftragsverarbeitungsvertrag des Anbieters, den du im Kundenkonto abschließt. Ein generisches Word-Dokument daneben zu legen, ändert den laufenden Auftrag nicht.
2. Eigener IT-Dienstleister in der EU/im EWR: Als Gerüst dienen das BfDI-Muster zur Auftragsverarbeitung (Version 2.1, Stand 2023, veröffentlicht am 3. Juni 2024) und die Formulierungshilfe des BayLDA nach Art. 28 Abs. 3 DSGVO. Das BayLDA weist ausdrücklich hin: Die Hilfe ist nicht abschließend, zielt vor allem auf klassische IT-Auslagerung (etwa Lohnabrechnung oder Finanzbuchhaltung) und ist keine zivilrechtliche Beratung. Das BfDI-Muster ist als Vereinbarung mit einer öffentlichen Stelle formuliert; für private Unternehmen bleibt es ein amtliches Gerüst, kein unterschriftsfertiger KMU-Vertrag.
3. Drittlandtransfer: Die AVV-Pflicht bleibt. Zusätzlich können die Standardvertragsklauseln der EU-Kommission (modernisiert am 4. Juni 2021) die Übermittlung absichern. Das BayLDA hält fest, dass der Vertrag schriftlich oder elektronisch geschlossen werden kann und dafür auch von der Kommission oder der zuständigen Aufsichtsbehörde verabschiedete Standardvertragsklauseln in Betracht kommen.

Prüfe jedes Muster gegen die Pflichtpunkte oben (Gegenstand, TOM, Unterauftragsverarbeiter, Weisung, Löschung, Kontrolle). Kommerzielle „AVV Vorlage zum Download“-Seiten sind keine amtliche Quelle.

Kurzüberblick Art. 28 DSGVO