AVV prüfen: Was bei Auftragsverarbeitung nach DSGVO wichtig ist
Ein Vertrag zur Auftragsverarbeitung, kurz AVV, ist immer dann relevant, wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Typische Beispiele sind Hosting, CRM, Newsletter-Tools, Support-Systeme oder externe IT-Dienstleister.
Bei der Prüfung geht es nicht nur darum, ob ein AVV vorhanden ist. Entscheidend ist, ob die Pflichten, Sicherheitsmaßnahmen und Prozesse konkret genug geregelt sind.
Verantwortlicher oder Auftragsverarbeiter – wer ist was?
Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung – das sind in der Regel Sie als Auftraggeber. Der Auftragsverarbeiter verarbeitet Daten ausschließlich nach Ihrer Weisung – etwa der Hosting-Anbieter. Diese Rollenverteilung ist wichtig, weil der Verantwortliche die Hauptpflichten der DSGVO trägt: Er muss den Dienstleister sorgfältig auswählen und die vertragliche Grundlage sicherstellen. Entscheiden beide Seiten gemeinsam über Zwecke und Mittel, liegt keine Auftragsverarbeitung vor, sondern gemeinsame Verantwortlichkeit (Art. 26 DSGVO) – dann ist statt des AVV eine andere Vereinbarung nötig.
Gegenstand, Dauer und Zweck der Verarbeitung
Der AVV sollte klar beschreiben, welche Daten zu welchem Zweck verarbeitet werden und wie lange die Verarbeitung dauert. Pauschale Formulierungen sind ein Warnsignal.
Art der Daten und Kategorien betroffener Personen
Prüfen Sie, ob Kundendaten, Beschäftigtendaten, Kontaktdaten oder besondere Kategorien personenbezogener Daten konkret benannt sind.
Technische und organisatorische Maßnahmen
Die TOMs sollten mehr sein als eine Floskel. Relevant sind unter anderem Zugriffsschutz, Verschlüsselung, Backups, Protokollierung, Rollenrechte und Wiederherstellbarkeit.
Subunternehmer und Drittlandtransfer
Der AVV sollte regeln, welche Subunternehmer eingesetzt werden, wie Änderungen mitgeteilt werden und ob Daten außerhalb der EU verarbeitet werden.
Bei Verarbeitung außerhalb der EU muss zusätzlich ein Transfermechanismus nach Art. 44 ff. DSGVO greifen – etwa ein Angemessenheitsbeschluss der EU-Kommission oder die EU-Standardvertragsklauseln (SCC). Prüfen Sie, ob der AVV benennt, welcher Mechanismus gilt und für welche Subunternehmer.
Löschung und Rückgabe nach Vertragsende
Nach Ende des Auftrags muss klar sein, ob Daten gelöscht oder zurückgegeben werden, in welcher Frist das passiert und wie Nachweise erbracht werden.
Weisungsbindung und Vertraulichkeit
Der Auftragsverarbeiter darf Daten nur auf dokumentierte Weisung verarbeiten (Art. 28 Abs. 3 lit. a DSGVO), und die mit der Verarbeitung befassten Personen müssen zur Vertraulichkeit verpflichtet sein (lit. b). Prüfen Sie, ob der AVV ein klares Weisungsverfahren beschreibt – und ob er ein Recht des Dienstleisters enthält, Weisungen ohne triftigen Grund zurückzuweisen.
Unterstützungspflichten des Dienstleisters
Betroffene können ihre Rechte (Auskunft, Löschung, Datenübertragbarkeit) bei Ihnen geltend machen – der Dienstleister muss Sie dabei unterstützen, ebenso bei Datenschutzverletzungen und Folgenabschätzungen (Art. 28 Abs. 3 lit. e und f DSGVO). Achten Sie auf konkrete Reaktionsfristen, besonders für die Meldung von Datenpannen: Ihre eigene 72-Stunden-Frist nach Art. 33 DSGVO läuft ab Kenntnis.
Nachweis- und Kontrollrechte
Der AVV muss Ihnen ermöglichen, die Einhaltung der Pflichten zu überprüfen – durch Informationsrechte, Audits oder anerkannte Zertifizierungen (Art. 28 Abs. 3 lit. h DSGVO). In der Praxis genügen bei Standard-Dienstleistern meist aktuelle Zertifikate und Auditberichte; wichtig ist, dass das Recht auf eigene Kontrollen nicht vollständig ausgeschlossen wird.
Warum die AVV-Prüfung in der Praxis wichtig ist
Ein unklarer AVV kann bei Datenschutzanfragen, Audits oder Sicherheitsvorfällen schnell zum Problem werden. Unternehmen sollten deshalb dokumentieren, welche Dienstleister Daten verarbeiten und ob die vertraglichen Grundlagen vollständig sind. Der fehlende oder lückenhafte AVV gehört nicht zufällig zu den häufigsten Vertragsfallen für kleine Unternehmen – er fällt erst auf, wenn es ernst wird.
Prüfen Sie neue Dienstleisterverträge deshalb immer in beide Richtungen: den Hauptvertrag anhand der allgemeinen Prüfpunkte und die Datenverarbeitung anhand dieser Checkliste.
Häufige Fragen zum AVV
Wann brauche ich einen AVV?
Immer wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa Hosting, CRM, Newsletter-Tools, Support-Systeme oder externe IT-Dienstleister. Ohne AVV verstößt die Zusammenarbeit gegen Art. 28 DSGVO.
Was muss ein AVV nach Art. 28 DSGVO enthalten?
Mindestens: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen, technische und organisatorische Maßnahmen (TOMs), Regelungen zu Subunternehmern und Drittlandtransfer, Unterstützungs- und Nachweispflichten des Auftragsverarbeiters sowie Löschung oder Rückgabe der Daten nach Vertragsende.
Wer muss den AVV bereitstellen – Auftraggeber oder Dienstleister?
Das Gesetz schreibt keine Seite vor. In der Praxis stellt meist der Dienstleister einen Standard-AVV bereit. Als Verantwortlicher bleiben Sie aber in der Pflicht zu prüfen, ob dieser AVV vollständig und konkret genug ist.
Was droht, wenn kein AVV abgeschlossen wurde?
Die Verarbeitung ohne AVV verstößt gegen Art. 28 DSGVO und kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – zusätzlich zu möglichen Schadensersatzansprüchen Betroffener. Betroffen sind dabei beide Seiten: Verantwortlicher und Auftragsverarbeiter.
Muss der AVV schriftlich abgeschlossen werden?
Der AVV muss schriftlich vorliegen, ein elektronisches Format genügt aber ausdrücklich (Art. 28 Abs. 9 DSGVO). Online abgeschlossene Standard-AVVs, etwa per Checkbox im Kundenkonto eines SaaS-Anbieters, sind daher formal in Ordnung – inhaltlich prüfen müssen Sie sie trotzdem.
AVV und Datenschutzklauseln schneller prüfen
Klaro erkennt Datenschutz- und Auftragsverarbeitungsklauseln und erklärt, welche Punkte Sie prüfen sollten.
Kostenlos startenDieser Beitrag wurde KI-gestützt erstellt. Wie Klaros KI arbeitet, worauf sie sich stützt und wo ihre Grenzen liegen, lesen Sie unter KI-Transparenz.
Hinweis: Diese Checkliste dient der allgemeinen Information und ersetzt keine rechtliche Beratung im Einzelfall.