Auftragsverarbeitungsvertrag (AVV): Wann Sie ihn brauchen

Fast jedes Unternehmen gibt Daten aus der Hand. Und zwar an Cloud-Anbieter, Newsletter-Tools oder die Lohnverrechnung. Genau hier setzt der Auftragsverarbeitungsvertrag an. Er regelt, was der Dienstleister mit Ihren Personendaten tun darf. Und was nicht. Ohne diesen Vertrag verstoßen Sie gegen die DSGVO. Deshalb lohnt sich der Blick jetzt, bevor die Behörde fragt.

Dieser Beitrag zeigt, wann Sie einen Auftragsverarbeitungsvertrag brauchen. Zunächst klären wir den Begriff. Danach geht es um die typischen Fälle im KMU. Zudem erklären wir die Pflichtinhalte nach Artikel 28 DSGVO. Zum Schluss geht es um Haftung, häufige Fehler und ein brauchbares Muster. Das Ziel ist Klarheit statt Rechtsangst. Also eine Grundlage, mit der Sie sofort handeln können.

Was ein Auftragsverarbeitungsvertrag ist

Ein Auftragsverarbeitungsvertrag ist die schriftliche Vereinbarung zwischen zwei Parteien. Nämlich zwischen Ihnen als Verantwortlichem und einem Dienstleister, der Daten in Ihrem Auftrag verarbeitet. Die Abkürzung dafür ist AVV. Ebenso sagen manche AV-Vertrag. Gemeint ist immer dasselbe. Der Vertrag bindet den Dienstleister an Ihre Weisungen. Zudem verpflichtet er ihn zu Datenschutz und Sicherheit.

Die Rechtsgrundlage steht in Artikel 28 der DSGVO. Dieser Artikel schreibt vor, dass jede Auftragsverarbeitung auf einem Vertrag beruhen muss. Den vollen Wortlaut finden Sie in der Verordnung (EU) 2016/679 auf EUR-Lex. Die österreichische Datenschutzbehörde erklärt die Pflichten für beide Seiten zusätzlich verständlich.

Warum es diesen Vertrag überhaupt gibt

Der Gedanke dahinter ist einfach. Sie bleiben für die Daten verantwortlich, auch wenn ein anderer sie verarbeitet. Deshalb müssen Sie den Dienstleister kontrollieren können. Genau das leistet der AVV. Er hält fest, wer was darf. Zudem legt er fest, was bei einem Problem passiert. Somit schützt er Ihre Kunden. Ebenso schützt er Sie vor einer Haftung, die Sie sonst allein tragen.

Abgrenzung zu anderen Verträgen

Ein AVV ersetzt nicht den eigentlichen Dienstleistungsvertrag. Vielmehr ergänzt er ihn. Der Hauptvertrag regelt die Leistung und den Preis. Hingegen regelt der AVV allein den Umgang mit Personendaten. Beide Verträge existieren also nebeneinander. Oft liegt der AVV dem Hauptvertrag als Anlage bei. Deshalb finden Sie ihn manchmal erst im Kleingedruckten. Ein prüfender Blick lohnt sich hier immer. Wer die Grundlagen im Datenschutz sauber aufsetzt, spart sich später viel Ärger.

Wann Sie einen AVV brauchen

Sie brauchen einen Auftragsverarbeitungsvertrag immer dann, wenn ein externer Dienstleister auf Personendaten zugreift. Und zwar in Ihrem Auftrag. Die Faustregel lautet: Sobald ein Dritter Daten Ihrer Kunden, Mitarbeiter oder Interessenten verarbeitet, ohne selbst über den Zweck zu entscheiden, ist ein Vertrag Pflicht. Das trifft weit mehr Fälle, als viele denken. Denn die meisten modernen Werkzeuge laufen ohnehin in fremden Rechenzentren. Insbesondere gilt das für Cloud-Software.

Typische Fälle im KMU

Die Liste ist länger, als der erste Blick vermuten lässt. Genau deshalb übersehen viele Betriebe einzelne Dienstleister. Diese Beispiele tauchen fast überall auf:

• Cloud- und Hosting-Anbieter: Ihre Server, Ihr Webshop oder Ihre Dateiablage liegen bei einem externen Betreiber.
• Newsletter- und Marketing-Tools: Der Anbieter speichert und versendet die E-Mail-Adressen Ihrer Kontakte.
• Lohnverrechnung und Steuerberatung: Ein externes Büro verarbeitet die Personaldaten Ihrer Beschäftigten.
• IT-Dienstleister: Der Betreuer wartet Systeme, in denen Personendaten liegen, oder greift per Fernwartung zu.
• CRM- und Ticketsysteme: Kunden- und Anfragedaten liegen in einer fremden Software.

In all diesen Fällen entscheiden allein Sie über Zweck und Umfang. Der Dienstleister führt hingegen nur aus. Genau das macht ihn zum Auftragsverarbeiter. Deshalb braucht jeder dieser Partner einen eigenen Auftragsverarbeitungsvertrag. Ein einziger Auftragsverarbeitungsvertrag für alle Dienstleister genügt also nicht.

Wann kein AVV nötig ist

Nicht jede Zusammenarbeit verlangt einen AVV. Ein Steuerberater, der eigene gesetzliche Pflichten erfüllt, gilt oft als eigener Verantwortlicher. Ebenso ein Anwalt in seinem Mandat. Auch ein reiner Transportdienst, der ein verschlossenes Paket ausliefert, verarbeitet keine Daten im Sinne der DSGVO. Hier zählt die Frage: Entscheidet der Partner selbst über den Zweck? Falls ja, ist er kein Auftragsverarbeiter. Somit ordnet die folgende Tabelle die häufigsten Fälle ein.

Im Zweifel hilft eine kurze Prüfung des Einzelfalls. Denn die Grenze ist nicht immer scharf. Ein sauberes Verarbeitungsverzeichnis nach DSGVO zeigt schnell, welche Dienstleister überhaupt Daten sehen. Somit finden Sie Lücken, bevor sie zum Problem werden.

Verantwortlicher oder Auftragsverarbeiter?

Die richtige Rolle entscheidet über den ganzen Vertrag. Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung bestimmt. Auftragsverarbeiter ist hingegen, wer die Daten nur nach Weisung verarbeitet. Dieser Unterschied klingt klein. Dennoch hat er große Folgen. Denn er legt fest, wer welche Pflichten trägt. Und wer im Ernstfall haftet.

Der Kern der Abgrenzung

Entscheidend ist der bestimmende Einfluss auf die Verarbeitung. Der Verantwortliche legt fest, warum und wie Daten verarbeitet werden. Zudem braucht er dafür eine eigene Basis im Recht. Der Auftragsverarbeiter dagegen führt nur aus. Ebenso darf er ohne Ihre Weisung nichts mit den Daten tun. Genau diese Weisungsbindung ist das Herzstück jeder Auftragsverarbeitung. Fehlt sie, ist der Partner in Wahrheit selbst verantwortlich. Der Leitfaden der Datenschutzbehörde schildert die Pflichten beider Rollen im Detail.

Warum die Einordnung so oft schiefgeht

Viele Betriebe stufen einen Partner falsch ein. Ein Beispiel macht das klar. Eine Agentur erstellt eine Kampagne und wählt selbst die Zielgruppe aus. Dann ist sie oft eigener Verantwortlicher, nicht bloß Auftragsverarbeiter. Verarbeitet dieselbe Agentur hingegen nur Ihre bereitgestellte Adressliste, ist sie Auftragsverarbeiter. Somit entscheidet die Tätigkeit, nicht der Firmenname. Deshalb lohnt der genaue Blick auf jede einzelne Leistung.

Manchmal entscheiden zwei Partner gemeinsam über den Zweck. Dann liegt eine gemeinsame Verantwortung vor. Diese verlangt einen anderen Vertrag, keinen Auftragsverarbeitungsvertrag. Ebenso kommt das im Alltag vor, etwa bei geteilten Plattformen. Ein IT-Security-Audit deckt solche Konstellationen zuverlässig auf. Denn wer die Rolle falsch wählt, unterschreibt den falschen Vertrag. Und ein falscher Vertrag schützt niemanden.

Die richtige Einordnung ist also der erste Schritt. Erst danach folgt der passende Auftragsverarbeitungsvertrag. Wer hier sauber trennt, vermeidet Streit über Zuständigkeiten. Zudem erfüllen Sie damit auch verwandte Pflichten leichter, etwa die Betroffenenrechte auf Auskunft. Denn diese Anfragen müssen Sie und Ihr Dienstleister gemeinsam bedienen können.

Diese Pflichtinhalte muss der Vertrag regeln

Artikel 28 Absatz 3 DSGVO zählt die Pflichtinhalte klar auf. Ein Auftragsverarbeitungsvertrag ohne diese Punkte ist unvollständig. Somit ist er angreifbar. Deshalb sollten Sie jeden Vertrag gegen diese Liste prüfen. Fehlt ein Punkt, muss er ergänzt werden. Folglich gehören die folgenden Elemente ausnahmslos hinein.

Die acht Kernpflichten des Auftragsverarbeiters

• Weisungsbindung: Der Dienstleister verarbeitet Daten nur auf Ihre dokumentierte Weisung. Nichts geschieht auf eigene Faust.
• Vertraulichkeit: Alle Mitarbeiter, die Daten sehen, sind zur Verschwiegenheit verpflichtet.
• Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter sichert die Daten angemessen ab. Was das konkret heißt, zeigen unsere TOMs nach DSGVO mit Beispielen.
• Subunternehmer: Weitere Dienstleister darf er nur mit Ihrer Genehmigung einsetzen. Und er bindet sie an dieselben Pflichten.
• Unterstützung: Er hilft Ihnen, Betroffenenrechte und Meldepflichten zu erfüllen.
• Löschung und Rückgabe: Nach Ende des Auftrags löscht oder retourniert er alle Daten.
• Nachweise: Er stellt Ihnen die Informationen bereit, die Sie zur Kontrolle brauchen.
• Kontrollrechte: Sie dürfen die Einhaltung prüfen, etwa durch Audits oder Inspektionen.

Diese acht Punkte bilden den harten Kern jedes Auftragsverarbeitungsvertrags. Ein guter AVV beschreibt sie nicht nur, er macht sie konkret. Also mit Fristen, Ansprechpartnern und klaren Abläufen. Hingegen erfüllt ein Vertrag mit leeren Floskeln die Vorgabe nur auf dem Papier.

Zusätzliche Rahmendaten

Neben den acht Pflichten braucht der Vertrag Rahmendaten. Dazu zählen Gegenstand und Dauer der Verarbeitung. Ebenso Art und Zweck der Verarbeitung. Zudem die Kategorien der Daten und der betroffenen Personen. Und schließlich die Rechte und Pflichten von Ihnen als Verantwortlichem. Ohne diese Angaben bleibt der Vertrag zu vage. Die WKO stellt dazu einen Mustervertrag bereit, der diese Felder vorgibt. Ein solides ISMS nach ISO 27001 liefert die passenden Nachweise zu den technischen Maßnahmen gleich mit.

Ein Punkt, den viele vergessen

Achten Sie besonders auf die Subunternehmer-Kette. Viele Cloud-Dienste nutzen selbst weitere Anbieter. Diese Sub-Auftragsverarbeiter müssen ebenfalls vertraglich gebunden sein. Sonst reißt die Kette. Deshalb prüfen Sie, welche Subunternehmer der Anbieter listet. Und ob er Sie über Änderungen informiert. Genau hier verstecken sich viele Risiken. Vor allem, wenn Daten in Länder außerhalb der EU fließen. Dieselbe Sorgfalt zeigt sich übrigens auch bei den NIS2-Anforderungen an die Lieferkette, die dieselbe Kettenlogik verfolgen.

Haftung und teure Fehler in der Praxis

Ein fehlender Auftragsverarbeitungsvertrag kostet schnell viel Geld. Die DSGVO sieht Bußgelder von bis zu 10 Millionen Euro vor. Oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Diese Summen gelten für formale Verstöße wie den fehlenden Vertrag. Deshalb ist der AVV keine reine Formsache. Vielmehr ist er eine Pflicht mit Zähnen.

Wovon die Höhe abhängt

Wie hoch ein Bußgeld im Einzelfall ausfällt, hängt nach Art. 83 Abs. 2 DSGVO unter anderem von Schwere, Dauer und Verschulden ab. Geahndet werden kann nicht nur der fehlende Vertrag, sondern auch die mangelnde Auswahl und Kontrolle von Dienstleistern. Typisch ist dasselbe Muster. Der Vertrag fehlte oder wurde nicht gelebt. Deshalb reicht es nicht, ein Dokument abzulegen. Vielmehr müssen Sie die Einhaltung auch prüfen.

Wer haftet für was

Die Haftung trifft beide Seiten, aber unterschiedlich. Als Verantwortlicher haften Sie für die Auswahl und Kontrolle des Dienstleisters. Der Auftragsverarbeiter haftet hingegen für Verstöße gegen seine eigenen Pflichten. Kommt es zum Schaden, kann sich ein Betroffener an jede Seite wenden. Deshalb schützt ein klarer AVV beide. Zudem verteilt er die Verantwortung nachvollziehbar. Und er begrenzt Ihr eigenes Risiko auf das, was Sie steuern können. Kommt es doch zu einem Vorfall, hilft ein klarer Ablauf, wie ihn unser Beitrag zum Melden einer Datenpanne in 72 Stunden beschreibt.

Die häufigsten Fehler

Manche Fehler tauchen immer wieder auf. Diese vier sehen wir am häufigsten:

• Kein Vertrag: Der Dienstleister arbeitet ohne AVV, oft aus reiner Unwissenheit.
• Ungeprüfte Vorlage: Ein Standardvertrag wird unterschrieben, ohne die Inhalte anzupassen.
• Keine Kontrolle: Der Vertrag liegt in der Schublade, niemand prüft die Einhaltung.
• Vergessene Dienstleister: Einzelne Tools laufen unter dem Radar, etwa ein kleines Analyse-Skript.

Jeder dieser Fehler lässt sich vermeiden. Ein aktuelles Verzeichnis aller Dienstleister ist der erste Schritt. Danach folgt der passende Vertrag für jeden Partner. Zuletzt steht die regelmäßige Kontrolle. Wer das strukturiert angeht, senkt sein Risiko deutlich. Unsere Cybersecurity-Beratung für KMU bringt diese Punkte in eine machbare Reihenfolge. Und sie sorgt dafür, dass kein Dienstleister durchrutscht.

So kommen Sie zum passenden Muster

Ein gutes Muster spart Zeit, ersetzt aber nicht das Denken. Für den Start reicht oft eine seriöse Vorlage. Die österreichische Wirtschaftskammer stellt einen kostenlosen Mustervertrag bereit. Die EU-Kommission stellt Standardvertragsklauseln bereit (Durchführungsbeschluss (EU) 2021/915). Diese Muster decken die Pflichtinhalte ab. Dennoch müssen Sie sie an Ihren Fall anpassen. Denn ein AVV von der Stange passt selten perfekt.

So gehen Sie vor

Der Weg zum fertigen Vertrag hat klare Schritte. Zunächst listen Sie alle Dienstleister mit Datenzugriff auf. Danach klären Sie für jeden die Rolle. Also Auftragsverarbeiter oder eigener Verantwortlicher. Anschließend holen Sie den Vertrag ein. Oft hat der Dienstleister bereits eine Vorlage. Prüfen Sie diese gegen die Pflichtinhalte. Fehlt etwas, verlangen Sie eine Ergänzung. Zuletzt unterschreiben beide Seiten und legen den Vertrag revisionssicher ab.

Worauf Sie beim Muster achten

Nicht jede Vorlage aus dem Netz taugt. Achten Sie auf ein aktuelles Datum und einen Bezug zur DSGVO in der geltenden Fassung. Ein brauchbarer AVV nennt die konkreten technischen Maßnahmen. Ebenso listet er die Subunternehmer oder verweist auf eine gepflegte Liste. Zudem regelt er die Löschung nach Auftragsende eindeutig. Die Initiative onlinesicherheit.gv.at bündelt für KMU weitere praktische Hilfen rund um Datenschutz und Sicherheit.

Bei sensiblen Daten oder vielen Dienstleistern lohnt fachliche Hilfe. Denn ein falsch eingeordneter Partner kann teuer werden. Wir prüfen Ihre Verträge und schließen Lücken, bevor eine Prüfung ansteht. Nehmen Sie dazu gerne über unsere Kontaktseite Verbindung auf. Zudem ordnen wir Ihren gesamten Datenschutz so, dass die einzelnen Verträge Teil eines Systems werden. Somit steht der Auftragsverarbeitungsvertrag nicht allein, sondern greift mit Ihren übrigen Pflichten ineinander.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Wann brauche ich einen Auftragsverarbeitungsvertrag?

Sie brauchen ihn, sobald ein externer Dienstleister Personendaten in Ihrem Auftrag verarbeitet. Das gilt etwa für Cloud-Anbieter, Newsletter-Tools, die Lohnverrechnung oder IT-Dienstleister. Entscheidend ist, dass der Partner nur nach Ihrer Weisung handelt. Dann ist ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO Pflicht.

Was passiert ohne AVV?

Ohne Vertrag verstoßen Sie gegen Artikel 28 DSGVO. Deshalb drohen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des Jahresumsatzes. Zudem tragen Sie das volle Haftungsrisiko allein, wenn beim Dienstleister etwas schiefgeht.

Wer ist Verantwortlicher und wer Auftragsverarbeiter?

Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer die Daten nur nach Weisung verarbeitet. Ein Steuerberater mit eigener gesetzlicher Pflicht ist meist selbst Verantwortlicher. Ein Cloud-Anbieter, der rein ausführt, ist Auftragsverarbeiter.

Welche Pflichtinhalte muss der Vertrag haben?

Der Auftragsverarbeitungsvertrag regelt acht Kernpflichten. Dazu zählen Weisungsbindung, Vertraulichkeit, technische Maßnahmen, Subunternehmer, Unterstützung, Löschung, Nachweise und Kontrollrechte. Zudem braucht er Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Datenkategorien.

Reicht ein Muster aus dem Internet?

Ein seriöses Muster ist ein guter Start, etwa von der WKO oder der Datenschutzbehörde. Doch Sie müssen es an Ihren Fall anpassen. Achten Sie auf konkrete technische Maßnahmen, die Subunternehmer-Liste und eine klare Löschregel. Ein ungeprüfter Standardvertrag erfüllt die Pflicht oft nur auf dem Papier.

Muss der Vertrag schriftlich sein?

Ja, Artikel 28 DSGVO verlangt eine schriftliche Form, auch elektronisch. Ein mündlicher Auftrag genügt nicht. Deshalb sollten beide Seiten den Auftragsverarbeitungsvertrag unterzeichnen und revisionssicher ablegen. So können Sie die Einhaltung gegenüber der Behörde jederzeit nachweisen.

Wer haftet bei einem Datenschutzverstoß des Dienstleisters?

Die Haftung trifft beide Seiten. Als Verantwortlicher haften Sie für Auswahl und Kontrolle des Dienstleisters. Der Auftragsverarbeiter haftet für Verstöße gegen seine eigenen Pflichten. Ein klarer Vertrag verteilt die Verantwortung nachvollziehbar und begrenzt Ihr eigenes Risiko.

Fazit: Ein Vertrag, der Ihr Geschäft schützt

Der Auftragsverarbeitungsvertrag ist keine lästige Formalität. Er entscheidet, ob Ihre Zusammenarbeit mit Dienstleistern rechtssicher ist. Zunächst klären Sie, welche Partner überhaupt Daten in Ihrem Auftrag verarbeiten. Danach ordnen Sie jede Rolle sauber ein. Anschließend prüfen Sie den Vertrag gegen die Pflichtinhalte aus Artikel 28 DSGVO. Wer das strukturiert angeht, vermeidet Bußgelder und schläft ruhiger.

Der beste Zeitpunkt für die Prüfung ist jetzt. Denn ein fehlender Vertrag fällt spätestens bei einer Beschwerde auf. Ein aktuelles Verzeichnis der Dienstleister ist der erste Schritt. Ein passender Auftragsverarbeitungsvertrag für jeden Partner der zweite. Somit machen Sie aus einer Pflicht einen echten Schutz für Ihr Geschäft und das Vertrauen Ihrer Kunden.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren