Auftragsverarbeitungsvertrag prüfen: 9 Klauseln, die drin sein müssen

Definition: Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Ein Auftragsverarbeitungsvertrag regelt die rechtliche Beziehung zwischen dem Verantwortlichen und einem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet. Ohne diesen Vertrag ist die Übermittlung von Daten an Dritte für Verarbeitungszwecke unzulässig. Art. 28 DSGVO schreibt verbindlich vor, welche Mindestinhalte der Vertrag enthalten muss – fehlt auch nur eine Klausel, wird die Verarbeitung rechtswidrig.

Der AVV legt fest, welche Datenkategorien verarbeitet werden, welche Personengruppen betroffen sind und welchen Zweck die Verarbeitung verfolgt. Er bindet den Auftragsverarbeiter an die Weisungen des Verantwortlichen und verpflichtet ihn zu Vertraulichkeit sowie zur Implementierung technisch-organisatorischer Maßnahmen nach Art. 28 DSGVO. Dazu zählen Zugangs-, Zugriffs- und Weitergabekontrolle, aber auch Maßnahmen zur Sicherung der Verfügbarkeit und Belastbarkeit der Systeme.

Die Schriftform ist zwingend. Elektronische Signaturen (z. B. DocuSign) oder ein Klick im Admin-Panel genügen, ein formloser E-Mail-Austausch ohne Signatur reicht nicht. Auch Unterauftragsverarbeitungen müssen vertraglich geregelt sein: Der Hauptauftragsverarbeiter darf Sub-Dienstleister nur mit vorheriger Genehmigung einsetzen und muss deren Pflichten vertraglich durchreichen.

In der Praxis scheitern viele Verträge an unkonkreten Sicherheitsbeschreibungen. Formulierungen wie „angemessene Maßnahmen“ werden von Aufsichtsbehörden beanstandet. Stattdessen müssen die konkreten Maßnahmen für den jeweiligen Verarbeitungsvorgang benannt werden – idealerweise in einer Anlage. Praxisleitfäden empfehlen zudem, Audit-Rechte, Löschfristen und Unterstützung bei Betroffenenrechten explizit zu vereinbaren. Wer Standard-AVVs großer Anbieter ungeprüft übernimmt, übernimmt oft Klauseln, die den Verantwortlichen benachteiligen – etwa bei Drittlandtransfers oder Sub-Prozessor-Transparenz.

Wie funktioniert ein Auftragsverarbeitungsvertrag? – Schritt-für-Schritt-Ablauf

Ein AVV entsteht in neun klaren Schritten. Jeder Schritt übersetzt die Vorgaben von Art. 28 DSGVO in vertragliche Sprache und schafft so Rechtssicherheit für beide Parteien.

1. Vertragsgegenstand und Laufzeit definieren – festlegen, welche Verarbeitung erfasst wird, wann der Vertrag beginnt und unter welchen Bedingungen er endet.
2. Art und Zweck der Verarbeitung beschreiben – konkretisieren, zu welchem Geschäftszweck die Daten verarbeitet werden und welche Ergebnisse erwartet werden.
3. Datenkategorien und betroffene Personengruppen auflisten – alle verarbeiteten Datentypen sowie die Kreise der betroffenen Personen namentlich benennen.
4. Weisungsbindung des Auftragsverarbeiters festlegen – der Auftragsverarbeiter darf ausschließlich nach dokumentierten Weisungen des Verantwortlichen handeln.
5. Technische und organisatorische Maßnahmen (TOMs) konkret benennen – pauschale Formulierungen reichen nicht; die Maßnahmen müssen dem jeweiligen Risiko angepasst sein (Windweiss).
6. Regeln für die Unterauftragsverarbeitung vereinbaren – allgemeine oder spezifische Genehmigung, Informationspflicht bei Wechsel und Durchgriff der Hauptklauseln auf Sub-Dienstleister (Legartis).
7. Betroffenenrechte sichern – Auskunft, Berichtigung, Löschung und Widerspruch müssen vertraglich durchsetzbar und fristgerecht umgesetzt werden.
8. Audit‑ und Kontrollrechte des Verantwortlichen regeln – Vor-Ort-Prüfung, Fragebögen, Zertifikate sowie Kosten‑ und Vertraulichkeitsregeln festlegen.
9. Haftungs‑ und Schlussklauseln sowie Kündigungsmodalitäten festlegen – Haftungsverteilung, Vertragsstrafe, Laufzeitende und geordnete Datenrückgabe bei Beendigung.

Wer jeden Punkt schriftlich fixiert, schafft eine belastbare Grundlage und vermeidet Bußgeldrisiken im Betriebsalltag.

Die neun Pflichtklauseln nach Art. 28 DSGVO im Überblick

Art. 28 Abs. 3 DSGVO schreibt verbindliche Mindestinhalte vor. Fehlt auch nur eine Klausel, ist der gesamte Auftragsverarbeitungsvertrag unwirksam und die Datenverarbeitung damit rechtswidrig. Die Hamburger Datenschutzexperten listen die neun zwingenden Punkte exakt auf.

1. Gegenstand und Dauer der Verarbeitung – Was wird verarbeitet, wie lange läuft der Auftrag? Beispiel: „Verarbeitung von Kundendaten für CRM-Zwecke, Laufzeit 24 Monate ab Unterzeichnung.“
2. Art und Zweck – Welche Verarbeitungsvorgänge (Erhebung, Speicherung, Übermittlung) zu welchem Zweck? Beispiel: „Speicherung und Analyse von Nutzungsdaten zur Produktverbesserung.“
3. Datenkategorien – Welche personenbezogenen Datenarten fallen darunter (z. B. Stammdaten, Nutzungsdaten, Gesundheitsdaten)? Aufzählung nach Art. 4 Nr. 1 DSGVO erforderlich.
4. Betroffenengruppen – Wer ist betroffen (Kunden, Mitarbeitende, Bewerber, Website-Besucher)? Konkrete Abgrenzung verhindert Zweckentfremdung.
5. Weisungsbindung – Der Auftragsverarbeiter darf nur auf dokumentierte Weisung des Verantwortlichen handeln. Weisungen müssen schriftlich oder elektronisch erfolgen.
6. Vertraulichkeit der Mitarbeitenden – Alle mit der Verarbeitung befassten Personen müssen zur Verschwiegenheit verpflichtet sein. Verpflichtungserklärungen sind vorzulegen.
7. Technische und organisatorische Maßnahmen (TOMs) – Konkrete Beschreibung der Sicherheitsmaßnahmen nach Art. 32 DSGVO; pauschale Verweise auf „angemessene Sicherheit“ genügen Aufsichtsbehörden nicht. Anlage mit TOM-Katalog zwingend.
8. Unterauftragsverarbeitung – Regelung, ob und wie Sub-Dienstleister eingesetzt werden dürfen (allgemeine vs. spezifische Genehmigung, Informationspflicht bei Wechsel, Durchgriff der Hauptklauseln). Opt-Out-Recht bei 30-Tage-Frist Standard.
9. Betroffenenrechte, Auskunft, Audit – Unterstützung bei Auskunfts-, Lösch- und Berichtigungsbegehren sowie Recht des Verantwortlichen auf Kontrollen, Audits und Informationen.

Standard-AVVs großer Cloud-Anbieter erfüllen diese Punkte oft nur formal. Im Detail – bei Sub-Prozessoren, Drittlandtransfers, TOM-Beschreibung, Auditrechten oder Löschfristen – weichen sie regelmäßig zuungunsten des Verantwortlichen ab. Die Checkmate-Checkliste zeigt typische Lücken auf, die in der Praxis zu Beanstandungen führen. Wer prüft, vergleicht jede Klausel einzeln mit Art. 28 Abs. 3 DSGVO und dokumentiert Abweichungen schriftlich.

KI-Dienste und besondere AVV-Klauseln (Trainingsverbote, Modellnutzung)

KI-basierte Dienste verlangen nach AVV-Klauseln, die über Art. 28 DSGVO hinausgehen. Der Vertrag muss ausdrücklich untersagen, dass Eingabedaten zum Training von Modellen dienen. Ein Trainingsverbot gehört daher in den Hauptvertrag, nicht nur in eine Anlage. Ebenfalls zwingend: Angaben zur Herkunft und Art der Trainingsdaten sowie eine klare Trennung zwischen Entwicklungs- und Produktionsumgebung. Nur so lässt sich die Rechtmäßigkeit der späteren Nutzung nachweisen.

Die EDPB-Stellungnahme 28/2024 (17.12.2024) stellt klar, dass KI-Modelle nicht per se anonym sind. Rechtliche Risiken aus der Trainingsphase schlagen auf die Weitergabe durch. Wer ein vortrainiertes Modell einsetzt, übernimmt Haftungsrisiken für die ursprüngliche Datenbasis. Der AVV muss deshalb regeln, wie der Anbieter die Rechtmäßigkeit des Trainings dokumentiert und welche Garantien er für die Freiheit von Rechten Dritter übernimmt.

Praktisch bedeutet das: Verantwortliche fordern ein Modell-Register, das Versionen, Trainingsdatenquellen und Zweckbindung ausweist. Zusätzlich sollte der Vertrag vorsehen, dass Updates oder Fine-Tuning nur mit vorheriger Prüfung erfolgen. Eine Trennung der Umgebungen verhindert, dass Produktionsdaten unbeabsichtigt in Trainingspipelines fließen. Fehlen diese Klauseln, fehlt die Rechtsgrundlage für die Verarbeitung — mit Folgen für Bußgeld und Schadensersatz.

Praxisbeispiele: AVV-Check bei Cloud-Speicher, KI-Chatbot und HR-Software

Ein deutscher Cloud-Speicheranbieter benennt im Auftragsverarbeitungsvertrag exakt die betroffenen Datenkategorien: Kundendaten, Metadaten, Zugriffsprotokolle. Die technischen und organisatorischen Maßnahmen (TOMs) führt er nicht pauschal auf, sondern konkret: AES-256 für Daten at rest, TLS 1.3 für die Übertragung. Ein Verweis auf ISO 27001 allein genügt der Aufsichtsbehörde nicht – sie fordert die Beschreibung der Maßnahmen für diesen konkreten Verarbeitungsvorgang.

Bei einem KI-Chatbot für den Kundenservice muss der AVV die Zweckbindung scharf ziehen. Der Auftragsverarbeiter verpflichtet sich, Chatverläufe ausschließlich zur Beantwortung der Anfragen zu verarbeiten. Ein Trainingsverbot für das zugrundeliegende Sprachmodell gehört zwingend hinein. Die EDPB-Stellungnahme 28/2024 stellt klar: KI-Modelle sind nicht per se anonym, die Rechtmäßigkeit der Trainingsphase wirkt auf die spätere Nutzung durch. Wer hier nur Standardklauseln übernimmt, trägt das Risiko allein. Juristische Begleitung lohnt sich vor Vertragsschluss.

Eine HR-SaaS-Plattform listet im AVV Mitarbeiterstammdaten, Gehaltsinformationen und Leistungsbewertungen als separate Datenkategorien auf. Kritisch: die Regelung zu Sub-Prozessoren. Der Anbieter nennt namentlich alle nachgelagerten Dienstleister, offenlegt deren Standorte (Drittland ja/nein) und gewährt dem Verantwortlichen ein 30-Tage-Opt-Out-Recht bei Wechseln. Ohne diese Frist und ohne namentliche Transparenz bleibt der Verantwortliche blind. Checklisten der Aufsichtsbehörden machen diese Punkte regelmäßig zum Prüfschwerpunkt.

Ein weiteres Beispiel: Ein E-Mail-Marketing-Dienst verarbeitet Öffnungs- und Klickraten. Der AVV muss regeln, dass Pseudonymisierung nach 30 Tagen erfolgt und Rohdaten nach 90 Tagen gelöscht werden. Fehlende Löschfristen führen regelmäßig zu Beanstandungen durch Landesdatenschutzbehörden.

Audit-Rechte durchsetzbar gestalten & Unterauftragsregelung sicher handhaben

Ein bloßes „Recht auf Audit“ im Vertragstext reicht Aufsichtsbehörden nicht. Die Klausel muss Durchführbarkeit regeln: Vorankündigungsfristen – in der Praxis oft 14 Tage –, Kostenübernahme durch den Auftragsverarbeiter, Vertraulichkeit der Prüfergebnisse und die Anerkennung anerkannter Zertifikate wie ISO 27001 oder SOC 2 als Nachweisersatz. Ohne diese Details bleibt das Audit-Recht theoretisch und im Streitfall kaum durchsetzbar.

Bei der Unterauftragsverarbeitung bietet Art. 28 Abs. 2 DSGVO zwei Modelle: eine allgemeine Genehmigung mit Informationspflicht bei jedem Wechsel oder eine spezifische Einzelfreigabe pro Sub-Prozessor. Beide Varianten verlangen, dass der Verantwortliche den Standort jedes Sub-Dienstleisters – auch in Drittländern – kennt. Ein Opt-Out-Recht bei Bedenken, häufig mit 30‑Tage-Frist ausgestaltet, schützt vor ungewollten Übermittlungen. Die Checkliste von Legartis empfiehlt zudem, die Haupt-AVV-Klauseln vertraglich auf alle nachgelagerten Prozessoren durchzugreifen.

Praxisnah bedeutet das: Verträge dürfen keine pauschalen Verweise auf „angemessene Maßnahmen“ enthalten. Stattdessen sind konkrete TOM-Beschreibungen für den jeweiligen Verarbeitungsvorgang anzufordern. Die Analyse von Dataguard zeigt, dass Standard-AVVs großer Anbieter hier oft Lücken aufweisen – besonders bei Sub-Prozessor-Transparenz, Drittlandtransfer und Löschfristen. Wer prüft, sollte daher jede Klausel auf Durchgriffsfähigkeit und operative Umsetzbarkeit hin testen, nicht nur auf formale Vollständigkeit.