Auftragsverarbeitungsvertrag (AVV): Pflichtinhalte nach Art. 28 DSGVO

Auftragsverarbeitungsvertrag (AVV): Pflichtinhalte nach Art. 28 DSGVO

Wer personenbezogene Daten im Auftrag verarbeitet, braucht einen Vertrag nach Art. 28 DSGVO – meist Auftragsverarbeitungsvertrag (AVV) oder Auftragsdatenverarbeitungsvertrag (ADV) genannt. Fehlt er oder ist er lückenhaft, fällt das bei Aufsichtsbehörden, Audits und Datenpannen zuerst auf. Diese Seite fasst zusammen, welche Inhalte hineingehören, wo typische Lücken entstehen und wie Sie einen vorhandenen AVV prüfen lassen können.

Warum der AVV überhaupt Pflicht ist

Die DSGVO geht davon aus, dass der Verantwortliche für die Verarbeitung haftet – auch dann, wenn er die Verarbeitung an einen Dienstleister auslagert. Art. 28 DSGVO zieht daraus die Konsequenz: Wer Daten im Auftrag verarbeitet, muss vertraglich so gebunden werden, dass der Verantwortliche die Kontrolle behält. Der Vertrag ist damit kein Formalakt, sondern das Instrument, mit dem die Verantwortungskette nachweisbar bleibt.

In der Praxis ist der AVV der erste Beleg, den eine Aufsichtsbehörde bei einer Prüfung anfordert. Wer keinen vorlegen kann, muss erklären, warum er Daten ohne vertragliche Grundlage hat verarbeiten lassen. Das ist regelmäßig teurer als der Vertrag selbst – und bei einem Datenvorfall der Punkt, an dem die Frage nach der Haftung entschieden wird.

Wann ist ein AVV Pflicht?

Immer, wenn ein Dienstleister personenbezogene Daten Ihres Unternehmens weisungsgebunden verarbeitet (Art. 28 Abs. 1 DSGVO). Typische Fälle:

• Hosting, IT-Betrieb, Wartung und Backup
• Buchhaltung, Lohnabrechnung und Steuerberatung
• E-Mail-Versand, Newsletter, CRM- und Cloud-Dienste
• Dienstleister mit Zugriff auf Kundendaten, etwa Kundenservice, Scan- oder Druckdienstleister
• Externe Aktenvernichtung und Entsorgung von Datenträgern
• Callcenter und externe Telefondienstleister mit Zugriff auf Kundendaten

Nicht jeder Dienstleister ist Auftragsverarbeiter. Die Abgrenzung entscheidet über den Vertragstyp – und ist eine der häufigsten Fehlerquellen:

Ein typischer Grenzfall ist der Steuerberater: Er ist oft eigener Verantwortlicher für die Buchführung, nicht Auftragsverarbeiter. Wer hier blind einen AVV unterschreibt, regelt das falsche Verhältnis. Umgekehrt gilt: Wer einen Dienstleister ohne AVV arbeiten lässt, obwohl dieser weisungsgebunden tätig ist, hat eine Vertragslücke nach Art. 28 DSGVO.

AVV, ADV, DPA – was ist gemeint?

Die Begriffe bezeichnen inhaltlich dasselbe, unterscheiden sich aber im Sprachgebrauch:

• AVV (Auftragsverarbeitungsvertrag) ist die Bezeichnung, die sich nach der DSGVO im deutschsprachigen Raum durchgesetzt hat.
• ADV (Auftragsdatenverarbeitungsvertrag) stammt aus dem alten BDSG und wird in vielen Unternehmen und Vertragsvorlagen noch verwendet. Gemeint ist dieselbe Vereinbarung nach Art. 28 DSGVO.
• DPA (Data Processing Agreement) ist der englische Begriff, der in internationalen Verträgen und bei SaaS-Anbietern üblich ist.

Für die Prüfung ist der Name unerheblich. Entscheidend ist, ob der Vertrag die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO vollständig abbildet – und ob er zum tatsächlichen Verhältnis zwischen den Parteien passt.

AVV-Muster: Was fertige Vorlagen leisten – und wo sie enden

„AVV Muster“ ist eine der häufigsten Suchanfragen zum Thema – und die naheliegendste Abkürzung. Die öffentliche Hand stellt ein solches Muster selbst bereit: Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit veröffentlicht ein Muster zur Auftragsverarbeitung (Version 2.1, Stand 2023). Ein Blick in dessen Aufbau zeigt, was ein brauchbares Muster leistet:

• einen Vertragstext mit den Regelungen zu Weisungsbindung, Vertraulichkeit, Unterauftragnehmern, Kontrollrechten und Haftung,
• einen Anhang zur Weisungsbefugnis, in dem konkrete Weisungen dokumentiert werden,
• einen Anhang zu den technischen und organisatorischen Maßnahmen (TOM),
• einen Anhang zu den Subunternehmen.

Genau diese Anhänge sind der Punkt. Ein Muster liefert das Gerüst – die Inhalte, auf die es im Streitfall ankommt, muss jede Partei selbst liefern. Die Leitlinien 07/2020 des Europäischen Datenschutzausschusses zu „Verantwortlicher“ und „Auftragsverarbeiter“ sind dazu deutlich: In der Vereinbarung sollen nicht lediglich die Bestimmungen der DSGVO wiederholt, sondern konkrete Angaben dazu gemacht werden, wie die Vorgaben eingehalten werden und welches Sicherheitsniveau für die jeweilige Verarbeitung gilt (Rz. 113). Ein aus einer Vorlage übernommener, aber nicht angepasster Vertrag erfüllt diese Anforderung nicht.

Zwei Fehler kehren dabei immer wieder: Erstens wird die Vertragsrichtung verwechselt – das Muster wird so ausgefüllt, dass die Rollen von Verantwortlichem und Auftragsverarbeiter vertauscht sind. Zweitens bleibt der TOM-Anhang eine allgemeine Aufzählung, die auf jede denkbare Verarbeitung passt und damit nichts belegt. Beides fällt bei einer Prüfung zuerst auf.

Ein Muster ist deshalb ein sinnvoller Startpunkt und ein schlechter Endpunkt. Wer ihn zum Endpunkt macht, hat einen Vertrag – aber keinen Nachweis, dass er zu seiner Verarbeitung passt.

Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Der Vertrag muss insbesondere die folgenden acht Punkte regeln (Art. 28 Abs. 3 Unterabs. 2 Buchstaben a bis h). Die Tabelle zeigt, was jeweils konkret gemeint ist und woran eine Prüfung ansetzt:

Zur Form: Nach Art. 28 Abs. 9 DSGVO ist der Vertrag schriftlich abzufassen, wobei die elektronische Form genügt. In der Praxis hat sich ein Anlagenkonzept bewährt: Hauptvertrag plus Anlagen zu technischen und organisatorischen Maßnahmen, zu Unterauftragnehmern und zum Löschkonzept. Änderungen an einer Anlage sind dann ohne Neuverhandlung des Hauptvertrags möglich.

Drittlandtransfer: Wann Standardvertragsklauseln nötig sind

Ein AVV allein reicht nicht, wenn Daten in ein Land außerhalb des EWR übermittelt werden. Art. 44 ff. DSGVO verlangen zusätzlich eine Garantie: einen Angemessenheitsbeschluss der EU-Kommission, Standardvertragsklauseln (SCC) oder eine Zertifizierung. Fehlt diese Grundlage, ist die Übermittlung unzulässig – unabhängig davon, wie sorgfältig der AVV formuliert ist.

Typische Konstellationen sind US-amerikanische Cloud-Dienste, Support-Zugriffe aus Drittländern und Konzernverbünde mit Muttergesellschaft außerhalb der EU. Bei diesen Verhältnissen muss der AVV den Drittlandbezug benennen und die gewählte Garantie referenzieren. Wer nur den AVV prüft und den Transfer übersieht, hat die Hälfte der Prüfung nicht gemacht.

Was passiert bei fehlendem oder lückenhaftem AVV?

Ein fehlender AVV ist ein Verstoß gegen Art. 28 DSGVO und kann nach Art. 83 Abs. 4 DSGVO mit einem Bußgeld belegt werden. In der Praxis wiegt jedoch ein anderer Punkt schwerer: Bei einem Datenvorfall haftet der Verantwortliche gegenüber Betroffenen – und kann sich nur dann entlasten, wenn er nachweisen kann, dass der Dienstleister vertraglich gebunden war. Ein lückenhafter AVV verschiebt das Risiko also nicht, sondern lässt es beim Verantwortlichen.

Hinzu kommt der Nachweis gegenüber der Aufsichtsbehörde: Wer im Verzeichnis von Verarbeitungstätigkeiten einen Dienstleister führt, muss die vertragliche Grundlage dokumentieren können. Fehlt sie, ist nicht nur der Vertrag unvollständig, sondern auch das Verzeichnis.

So prüfen Sie einen AVV in fünf Schritten

Ein AVV lässt sich in überschaubarer Zeit gegen die Pflichtinhalte abgleichen. Wer strukturiert vorgeht, findet die Lücken schneller als mit einem Satz-für-Satz-Vergleich:

1. Verhältnis klären: Ist der Dienstleister Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsamer Verantwortlicher? Erst danach lässt sich beurteilen, ob der vorliegende Vertragstyp überhaupt passt.
2. Gegenstand und Datenarten abgleichen: Passen die im Vertrag genannten Datenarten und betroffenen Personenkreise zur tatsächlichen Verarbeitung? Häufig ist der Vertrag älter als die Leistung und beschreibt einen Stand, der nicht mehr gilt.
3. Unterauftragsverhältnisse prüfen: Ist die Liste vollständig, aktuell und genehmigt? Gibt es einen Prozess, der neue Unterauftragnehmer erfasst, bevor sie eingesetzt werden?
4. TOM-Anlage bewerten: Sind die technischen und organisatorischen Maßnahmen konkret auf die verarbeiteten Daten bezogen – oder steht dort nur ein allgemeiner Satz zum Stand der Technik, der auf jeden Vertrag passt?
5. Drittland und Laufzeit prüfen: Gibt es einen Transfer außerhalb des EWR, und ist die Garantie benannt? Sind Löschung oder Rückgabe nach Vertragsende geregelt, und ist die Laufzeit aktuell?

Wer diese fünf Punkte durchgeht, hat die typischen Schwachstellen erfasst. Was bleibt, sind Formulierungsfragen – und die brauchen Erfahrung mit vergleichbaren Verträgen, nicht nur den Gesetzestext.

Was eine gute TOM-Anlage enthält

Die Anlage zu den technischen und organisatorischen Maßnahmen ist in der Praxis der schwächste Teil vieler AVVs. Sie ist oft ein Textbaustein, der auf jede Verarbeitung passt – und damit genau den Nachweis nicht erbringt, den Art. 32 DSGVO verlangt. Eine belastbare TOM-Anlage nennt zu jeder Maßnahme die konkrete Umsetzung:

• Vertraulichkeit: Wer hat Zugriff, über welche Rollen, mit welcher Authentifizierung? Gibt es eine dokumentierte Berechtigungsvergabe und -prüfung?
• Integrität: Wie werden Daten gegen Veränderung geschützt? Gibt es Protokollierung, Versionierung, Prüfsummen?
• Verfügbarkeit und Belastbarkeit: Welche Backup-Strategie, welche Wiederherstellungszeiten, welche Ausfallkonzepte?
• Pseudonymisierung und Verschlüsselung: Welche Verfahren, an welchen Stellen, mit welcher Schlüsselverwaltung?
• Prüfverfahren: Wie wird die Wirksamkeit der Maßnahmen regelmäßig überprüft – und wer dokumentiert das Ergebnis?

Der Unterschied zwischen einer guten und einer schwachen TOM-Anlage ist im Streitfall erheblich: Wer nur „Stand der Technik“ schreibt, kann im Audit nicht belegen, welche Maßnahmen tatsächlich umgesetzt sind.

Häufige Fehler, die bei einer AVV-Prüfung auffallen

Die folgenden Punkte sind keine Ausnahmefälle – sie kehren in Prüfungen regelmäßig wieder. Wer diese Liste systematisch abarbeitet, hat bereits einen großen Teil der Prüfung selbst erledigt.

• Die Liste der Unterauftragnehmer fehlt oder ist veraltet, und es gibt keinen Prozess für Änderungen.
• Die Anlage zu den technischen und organisatorischen Maßnahmen bleibt allgemein und nimmt keinen Bezug auf die konkret verarbeiteten Daten.
• Datenarten und betroffene Personenkreise sind nur pauschal benannt („personenbezogene Daten aller Art“).
• Ein bestehender Drittlandbezug bleibt unerwähnt, obwohl Art. 44 ff. DSGVO Garantien verlangen.
• Weisungen werden mündlich erteilt und nirgends dokumentiert.
• Lösch- und Rückgabepflichten nach Vertragsende sind unklar.
• Der Vertragstyp passt nicht: Bei eigener Zweck- und Mittelentscheidung des Dienstleisters braucht es keinen AVV, sondern eine andere Grundlage.
• Die Vertraulichkeitsverpflichtung der eingesetzten Personen fehlt oder ist nur pauschal erwähnt.
• Die Unterstützung bei Betroffenenrechten ist nicht geregelt, obwohl Art. 28 Abs. 3 lit. f DSGVO sie ausdrücklich verlangt.
• Die Meldepflicht bei Datenverletzungen ist nicht auf den Auftragsverarbeiter erstreckt.

Kurz-Checkliste für den Bestand

• Sind Gegenstand, Dauer, Zweck, Datenarten und betroffene Personen konkret beschrieben?
• Ist die Weisungsbindung geregelt und werden Weisungen dokumentiert?
• Sind technische und organisatorische Maßnahmen spezifisch genug für Ihre Daten?
• Sind alle Unterauftragnehmer aufgeführt, genehmigt und vertraglich gebunden?
• Sind Betroffenenrechte, Meldepflichten und Datenschutz-Folgenabschätzung abgedeckt?
• Sind Löschung oder Rückgabe nach Vertragsende und Kontrollrechte geregelt?
• Ist der Vertragstyp für jedes Verhältnis korrekt (eigener Verantwortlicher, Art. 26 oder Art. 28 DSGVO)?
• Ist der Drittlandtransfer benannt und mit einer gültigen Garantie unterlegt?
• Sind die Vertraulichkeitspflichten der eingesetzten Personen nachweisbar?
• Gibt es einen Prozess, der neue Dienstleister und Vertragsänderungen erfasst?

Häufige Fragen zum AVV

Reicht ein Mustervertrag als AVV aus?

Ein Muster ist ein guter Ausgangspunkt, aber kein fertiger AVV. Es muss an die konkrete Verarbeitung angepasst werden: Welche Daten werden verarbeitet, welche Unterauftragnehmer sind beteiligt, gibt es einen Drittlandbezug. Ein unverändertes Muster lässt regelmäßig genau die Punkte offen, die im Einzelfall entscheidend sind.

Muss der AVV unterschrieben sein?

Die Schriftform ist nach Art. 28 Abs. 9 DSGVO erforderlich, die elektronische Form genügt. In der Praxis ist eine qualifizierte elektronische Signatur nicht zwingend, aber ein nachweisbarer Abschluss – etwa durch beidseitige Bestätigung – ist ratsam. Wer nur eine PDF ohne Unterschrift archiviert, kann im Streitfall schwer belegen, dass der Vertrag geschlossen wurde.

Wer braucht keinen AVV?

Wer als Dienstleister selbst über Zweck und Mittel der Verarbeitung entscheidet, ist eigener Verantwortlicher – dann braucht es keinen AVV, sondern eine andere Rechtsgrundlage. Auch bei gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) gilt ein anderer Vertragstyp. Die Abgrenzung ist im Einzelfall zu prüfen und einer der häufigsten Fehler in der Praxis.

Wie oft muss ein AVV geprüft werden?

Es gibt keine gesetzliche Prüffrist. Sinnvoll ist eine Prüfung bei jeder wesentlichen Änderung – neue Dienstleister, neue Verarbeitungstätigkeiten, neue Drittlandbezüge – und zusätzlich in einem festen Rhythmus, üblicherweise einmal jährlich. Wer die Prüfung nur bei Vertragsschluss macht, übersieht spätere Änderungen.

Was kostet ein fehlender AVV?

Bußgelder nach Art. 83 Abs. 4 DSGVO können je nach Mitgliedstaat und Schwere erheblich ausfallen. Der größere Posten ist regelmäßig die Haftung bei einem Datenvorfall, weil der Verantwortliche ohne vertragliche Bindung nicht nachweisen kann, dass er den Dienstleister kontrolliert hat. Der Vertrag selbst ist dagegen vergleichsweise günstig.

Gilt ein AVV auch für US-Anbieter wie Microsoft oder Amazon?

Ja, aber ein AVV allein genügt dort nicht. Die Anbieter stellen in der Regel eigene Vertragswerke (Microsoft DPA, AWS DPA) bereit, die den Art. 28 DSGVO abbilden sollen. Zusätzlich braucht es für die Übermittlung in die USA eine Garantie nach Art. 44 ff. DSGVO – etwa den EU-US Data Privacy Framework-Angemessenheitsbeschluss oder Standardvertragsklauseln. Wer nur den AVV archiviert und den Transfer nicht dokumentiert, hat eine offene Lücke.

Cloud-Anbieter gesondert betrachtet: Wie Microsoft 365 und Google Workspace vertraglich einzuordnen sind – und was die Anbieterbedingungen offen lassen – steht auf der Seite AVV bei Microsoft 365 und Google Workspace prüfen.

Wer haftet, wenn der Unterauftragnehmer gegen den AVV verstößt?

Gegenüber dem Betroffenen haftet der Verantwortliche, nicht der Unterauftragnehmer. Der Auftragsverarbeiter muss jedoch vertraglich sicherstellen, dass er seine Unterauftragnehmer ebenso verpflichtet (Art. 28 Abs. 4 DSGVO). Verstößt ein Unterauftragnehmer, ist das regelmäßig auch ein Organisationsverschulden des Auftragsverarbeiters – und damit ein Punkt, den eine Aufsichtsbehörde im Audit prüft.

Reicht ein AVV, wenn der Dienstleister nur den Server hostet?

Ja, sofern der Dienstleister ausschließlich weisungsgebunden tätig wird und keine eigenen Entscheidungen über Zweck oder Mittel trifft. Beim reinen Hosting ist das typischerweise der Fall. Sobald der Anbieter aber eigene Zwecke verfolgt – etwa Telemetrie für eigene Produktverbesserungen – ist die Grenze zur eigenen Verantwortlichkeit überschritten und der Vertragstyp zu prüfen.

AVV prüfen lassen – Ergebnis in 24 Stunden

Sie müssen den AVV nicht selbst gegen die acht Pflichtinhalte abgleichen: Wir prüfen Ihren bestehenden Auftragsverarbeitungsvertrag innerhalb von 24 Stunden und melden konkret zurück, welche Punkte fehlen, wo Formulierungen zu unbestimmt sind und was Sie zuerst ändern sollten. 22,99 € Festpreis (inkl. 19 % USt.), ohne Beratungstermin.

Zur AVV-Prüfung in 24 h · Direkt zum Bestellformular

Stand: Oktober 2026. Diese Seite dient der ersten Orientierung und ersetzt keine Rechtsberatung im Einzelfall.