Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag regelt, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa Ihr Hoster, Ihr Newsletter-Anbieter oder wir beim Betrieb Ihrer Anwendung. Artikel 28 der DSGVO verlangt dafür einen Vertrag in Schriftform, auch elektronisch. Verantwortlich für die Daten bleiben Sie.
Wann Sie einen brauchen
Immer dann, wenn jemand für Sie mit personenbezogenen Daten umgeht, ohne selbst über Zweck und Mittel zu entscheiden: Hosting und Cloud-Speicher, Newsletter-Versand, Support mit Zugriff auf Kundendaten, Wartung Ihrer Anwendung. Kein Fall für einen solchen Vertrag ist, wenn der Partner selbst entscheidet, was er mit den Daten tut – etwa Ihr Steuerberater oder eine Bank; die sind eigenständig verantwortlich. In der Praxis genügt die Frage: Arbeitet der Dienstleister nach meinen Weisungen?
Was darin stehen muss
Artikel 28 Absatz 3 listet es auf: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen. Dazu die Pflichten des Dienstleisters – nur auf dokumentierte Weisung handeln, Vertraulichkeit der Mitarbeitenden, technische und organisatorische Maßnahmen, Regeln für Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe am Ende, Nachweise und Prüfmöglichkeiten. Praktisch am wichtigsten sind zwei Punkte, die viele überlesen: die Liste der Unterauftragnehmer und die Frage, ob Daten in Länder außerhalb der EU übertragen werden.
Wie wir es handhaben
Wenn wir Anwendungen für Sie betreiben oder im Support Zugriff auf Ihre Daten haben, schließen wir den Vertrag ab – ohne dass Sie danach fragen müssen. Die eingesetzten Unterauftragnehmer legen wir offen, und Serverstandort ist die EU, sofern nichts anderes vereinbart ist. Für Ihre Datenschutzerklärung liefern wir die Angaben zu den Diensten, die auf Ihrer Website laufen. Was wir nicht tun: Rechtsberatung. Ob Ihre Verarbeitung zulässig ist und wie Ihr Verarbeitungsverzeichnis aussieht, gehört zu einer Kanzlei oder Ihrem Datenschutzbeauftragten.
Häufige Fragen
Reicht eine Vorlage aus dem Internet?
Als Grundlage oft ja, prüfen müssen Sie trotzdem: Passen die beschriebenen Datenarten, stimmt die Liste der Unterauftragnehmer, ist die Löschung geregelt? Die Vorlage ist der einfache Teil, die Angaben darin sind der eigentliche Inhalt.
Was hat das mit NIS2 zu tun?
Formal nichts – die DSGVO schützt personenbezogene Daten, das NISG 2026 die Sicherheit Ihrer Systeme. Praktisch überschneidet sich vieles: Wer seine Dienstleister ohnehin vertraglich in die Pflicht nimmt, hat bei der Lieferkettensicherheit nach § 32 schon einen Teil erledigt.
Passt das zu Ihrem Vorhaben?
Im kostenlosen Erstgespräch sagen wir Ihnen, was in Ihrem Fall sinnvoll ist – auch dann, wenn die Antwort lautet, dass Sie weniger brauchen als gedacht.
Erstgespräch vereinbaren