Definition
Der Auftragsverarbeitungsvertrag (AVV) ist ein schriftlicher Vertrag – elektronisch zulässig – zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er muss Art, Umfang und Zweck der Datenverarbeitung exakt festlegen, die betroffenen Datenarten und Personen benennen sowie die zulässige Verarbeitungsdauer bestimmen. Darüber hinaus enthält er die technischen und organisatorischen Maßnahmen (TOM), die der Auftragsverarbeiter ergreift, um die Sicherheit der Daten zu gewährleisten, und regelt Haftungsfragen bei Verstößen.
Grundlage bildet Art. 28 DSGVO, der den Abschluss eines AVV bei jeder Verarbeitung personenbezogener Daten durch Dritte vorschreibt. Ohne einen solchen Vertrag gilt die Verarbeitung als unzulässig, selbst wenn die Daten lediglich in einer Cloud gespeichert werden.
Der Vertrag muss vor Beginn der Verarbeitung vorliegen und sowohl die Pflichten des Auftragsverarbeiters als auch die Kontroll- und Prüfrechte des Verantwortlichen enthalten. Typische Inhalte sind Vertraulichkeitspflichten, Vorgaben zur Datenlöschung nach Vertragsende und Regelungen zum Einsatz von Sub-Auftragsverarbeitern.
Weitere Details zur gesetzlichen Grundlage und den Mindestinhalten finden Sie im Ratgeber von Windweiss sowie im eRecht24‑Artikel zur Auftragsdatenverarbeitung.
Wie funktioniert die Prüfung eines AVV?
Zunächst erhalten Sie den Vertragsentwurf vom Auftragsverarbeiter. Anschließend gleichen Sie Gegenstand, Dauer und Zweck der Verarbeitung mit den internen Verarbeitungsvorgängen ab. Dabei prüfen Sie, ob die acht Pflichtinhalte nach Art. 28 Abs. 3 – Gegenstand, Dauer, Zweck, Art der Daten, Kategorien betroffener Personen, Pflichten des Auftragsverarbeiters, Vertraulichkeit und technische / organisatorische Maßnahmen (TOM) – im Dokument enthalten sind. Die vollständige Auflistung finden Sie in der AVV-Vorlage von Compliance-Kit.
Fehlen Pflichtklauseln, ergänzen Sie praxisrelevante Bestimmungen: Sub-Auftragsverarbeiter, Drittlandtransfer, Meldepflicht bei Datenschutzverletzungen, Rückgabe‑ bzw. Löschklauseln und Nachweis‑/Prüfrechte des Verantwortlichen. Die Checkliste von Datenschutz-Guru listet diese zusätzlichen Punkte übersichtlich auf.
Im nächsten Schritt prüfen Sie die TOM detailliert. Beschreibungen sollten konkret sein, etwa Verschlüsselungsstandards, Zugriffs‑ und Rollenmodelle sowie regelmäßige Prüfungen. Kontroll‑ und Audit-Rechte des Verantwortlichen müssen eindeutig vertraglich verankert sein, damit Vor-Ort-Prüfungen oder Audit-Reports möglich sind.
Abschließend dokumentieren Sie die Ergebnisse im Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Bei komplexen Klauseln empfiehlt sich die Einbindung externer Rechtsberatung, um Fehlinterpretationen zu vermeiden und die Vertragssicherheit zu erhöhen.
Beispiele aus der Praxis
Ein mittelständisches Unternehmen aus Hamburg nutzte eine Cloud-Buchhaltungssoftware, ohne im AVV eine Sub-Auftragsklausel aufzunehmen. Die Aufsichtsbehörde stellte nach einem Datenleck fest, dass die Haftung für Datenschutzverstöße nicht geregelt war, und verhängte ein Bußgeld von 150.auf Anfrage nach aktuellem Präzedenzfall.
Ein Dienstleister im Bereich IT-Support implementierte die Meldung von Datenschutzverletzungen nach dem VEDA-Muster. Bei einem Vorfall meldete er den Vorfall innerhalb von 72 Stunden, erfüllte damit Art. 33 DSGVO und erhielt Lob von der Aufsichtsbehörde für die proaktive Vorgehensweise.
Ein KI-Startup ergänzte seinen AVV um spezielle Garantien für die Verarbeitung besonders sensibler Art‑9‑Daten. Durch diese Erweiterungen entstanden keine Beanstandungen im abschließenden Audit, das die Einhaltung der Vorgaben für KI-Dienste prüfte wie in der Branchenanalyse beschrieben. Das Unternehmen kann nun KI-Modelle einsetzen, ohne zusätzliche Haftungsrisiken zu bergen.
Gegenstand, Dauer und Zweck der Verarbeitung
Der AVV muss den konkreten Gegenstand der Auftragsverarbeitung eindeutig benennen, etwa Cloud-Hosting oder Lohn‑/Gehaltsabrechnung. Die Quelle Windweiss erklärt, dass ohne diese Angabe der Vertrag unwirksam ist. Ebenso ist die vertraglich festgelegte Dauer zu dokumentieren – von der einmaligen Projektlaufzeit bis zum unbefristeten Service. Der Zweck, also der konkrete Verarbeitungsgrund, muss klar formuliert sein, damit der Auftragsverarbeiter nicht darüber hinaus Daten nutzt.
Fehlen Gegenstand, Laufzeit oder Zweck, droht ein Verstoß gegen Art. 28 Abs. 3 DSGVO. Die Compliance-Kit-Vorlage listet diese drei Punkte als unverzichtbare Pflichtinhalte auf. Auch die Aufsichtsbehörden prüfen exakt diese Angaben in ihren Checklisten.
Beispiel: Ein Unternehmen schließt einen Vertrag für die Lohn‑/Gehaltsabrechnung ab, definiert aber nur „Datenverarbeitung“. Die Aufsichtsbehörde kann das Fehlen des Zwecks als formale Lücke werten und Bußgelder von bis zu 20 Mio. € oder 4 % des Jahresumsatzes verhängen.
Um die Wirksamkeit zu sichern, sollte der Vertrag vor Beginn der Verarbeitung schriftlich (auch elektronisch) festgehalten werden. Der Verantwortliche behält das Recht, die Umsetzung des definierten Zwecks zu prüfen und bei Abweichungen Nachbesserungen zu fordern.
Pflichten des Auftragsverarbeiters und technische/organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter muss eine unverzichtbare Vertraulichkeitsverpflichtung übernehmen. In der Praxis bedeutet das, dass alle Personen, die Zugang zu personenbezogenen Daten haben, eine schriftliche Verschwiegenheitsvereinbarung unterschreiben und sich an die Vorgaben des Art. 28 Abs. 3 DSGVO halten.
Gleichzeitig ist die Implementierung angemessener technischer und organisatorischer Maßnahmen (TOM) erforderlich. Beispiele sind:
- Verschlüsselung ruhender und übertragener Daten, um unbefugte Einsicht zu verhindern.
- Zugriffskontrollen, die Rollen‑ und Aufgaben-basiert definiert sind und regelmäßig geprüft werden.
- Audits und Pen-Tests in festgelegten Intervallen, um die Wirksamkeit der Maßnahmen zu messen.
Der Vertrag muss festlegen, dass solche Kontrollen nachvollziehbar dokumentiert und dem Verantwortlichen auf Anfrage zur Verfügung gestellt werden. Darüber hinaus muss der Auftragsverarbeiter den Verantwortlichen aktiv beim Ausüben von Betroffenenrechten unterstützen, etwa bei Auskunfts‑ oder Löschanfragen.
Messbare Kriterien – zum Beispiel ein festes Prüfintervall von sechs Monaten oder ein festgelegter Prozentsatz verschlüsselter Datensätze – machen die Verpflichtungen prüfbar. Ein fehlender Nachweis kann laut Compliance-Kit-Vorlage zu einer Vertragsverletzung führen.
Zur praktischen Umsetzung empfiehlt die Checkliste von Datenschutz-Guru die Aufnahme von Audit-Rechten, konkreten Verschlüsselungsstandards und klaren Fristen für die Unterstützung bei Betroffenenanfragen.
Sub-Auftragsverarbeiter – Genehmigung und Audit-Rechte
Der AVV muss klar regeln, dass ein Auftragsverarbeiter Sub-Auftragsverarbeiter nur nach schriftlicher Genehmigung des Verantwortlichen einsetzen darf. Diese Vorgabe stammt aus der Standard-Klausel 7.6 d, die ausdrücklich das Einverständnis des Verantwortlichen verlangt, bevor ein Dritter in die Datenverarbeitung eingebunden wird.Datenschutz-Notizen beschreibt die Formulierung dieser Klausel. Gleichzeitig muss der Vertrag das Recht des Verantwortlichen festlegen, Audits bei den Sub-Auftragsverarbeitern durchzuführen. Solche Auditrechte umfassen Vor-Ort-Kontrollen, die Anforderung von Sicherheitsnachweisen und die Möglichkeit, Prüfberichte einzusehen.
Praxisnah bedeutet das, dass der Verantwortliche prüfen kann, ob der Sub-Verarbeiter die gleichen technischen und organisatorischen Maßnahmen (TOM) umsetzt wie im Hauptvertrag vereinbart. Das Audit-rechtliche Vorgehen wird häufig in einem separaten Anhang definiert, in dem Fristen, Umfang und Vertraulichkeitsbedingungen festgeschrieben sind. Ohne diese Regelung kann der Verantwortliche kaum nachweisen, dass die gesamte Verarbeitungskette DSGVO-konform bleibt.
Wird das Genehmigungs‑ und Audit-Verfahren nicht vertraglich verankert, besteht das Risiko, dass ein Sub-Auftragsverarbeiter eigenständig Daten verarbeitet – ein klarer Verstoß gegen Art. 28 DSGVO. Der Aufsichtsbehörden-Checklisten-Ansatz empfiehlt, diese Rechte bereits im Entwurf des AVV zu prüfen, um spätere Rechtsunsicherheiten zu vermeiden.ITMR-Legal liefert praktische Hinweise zur Umsetzung.
Drittlandtransfer – Garantien und geeignete Rechtsgrundlagen
Wird im Auftragsverarbeitungsvertrag ein Datentransfer in ein Land außerhalb der EU/EWR geplant, muss der Vertrag klare Garantien enthalten. Ohne solche Regelungen gilt die Verarbeitung als unzulässig. Die gängigsten Sicherungsinstrumente sind von der EU-Kommission bereitgestellte Standardvertragsklauseln (SCC) sowie unternehmensinterne Binding Corporate Rules (BCR). Beide Modelle schaffen verbindliche Datenschutz‑ und Sicherheitsstandards, die vom Empfängerland anerkannt werden.
Ein Vertrag darf zudem Ausnahmeregelungen nutzen, wenn der Betroffene ausdrücklich in die Übermittlung einwilligt. Die Einwilligung muss freiwillig, informiert und nachweisbar dokumentiert sein. Ohne ausdrückliche Zustimmung oder eine der genannten Garantien verletzt der Auftragsverarbeiter Art. 28 Abs. 3 DSGVO.
Fehlt die Transferklausel, droht nicht nur ein Verstoß gegen die DSGVO, sondern auch erhebliche Bußgelder laut Art. 83 DSGVO. Praktisch bedeutet das: Prüfen Sie vor Abschluss des AVV, ob SCC‑ oder BCR-Verweise enthalten sind, und ergänzen Sie bei Bedarf eine Einwilligungs‑ oder sonstige Ausnahmeklausel.
Weitere Details zur Gestaltung eines rechtskonformen AVV finden Sie bei ITMR-Legal, wo konkrete Formulierungs-Beispiele und Checklisten bereitgestellt werden.
Meldung von Datenschutzverletzungen
Der AVV muss festlegen, dass der Auftragsverarbeiter unverzüglich, spätestens innerhalb von 72 Stunden, jede Datenschutzverletzung an den Verantwortlichen meldet. Die Meldung muss die Art der betroffenen Daten, den betroffenen Personen-kreis und die wahrscheinliche Folge für die Betroffenen beschreiben. Zusätzlich muss der Auftragsverarbeiter dem Verantwortlichen alle Informationen bereitstellen, die für die Benachrichtigung der Aufsichtsbehörde und ggf. der betroffenen Personen nötig sind.
Der Muster-AVV von VEDA enthält eine bewährte Formulierung, die genau diese Pflichten definiert. Sie verlangt, dass der Auftragsverarbeiter nach der Meldung sofort unterstützende Leistungen erbringt – etwa beim Erstellen der Meldung an die Aufsichtsbehörde oder bei der Kommunikation mit den Betroffenen.
Ein Versäumnis kann erhebliche Bußgelder nach sich ziehen. Laut Meetergo können Verstöße bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes kosten. Deshalb sollten Unternehmen prüfen, ob ihr Vertrag klare Fristen, genaue Inhaltsangaben und konkrete Unterstützungsleistungen festschreibt.
Die Einbindung der VEDA-Formulierung und die regelmäßige Überprüfung der Meldungsprozesse erhöhen die Chance, im Ernstfall schnell und regelkonform zu reagieren.
Weitere Informationen finden Sie im Veda-Muster-AVV und im Meetergo-Blog zur AVV-Praxis.
Lösch‑ und Rückgabeklauseln
Der AVV muss eindeutig regeln, was nach Vertragsende mit den personenbezogenen Daten geschieht. Ein gängiger Ansatz verlangt, dass der Auftragsverarbeiter sämtliche Daten entweder an den Verantwortlichen zurückgibt oder sie nach einem definierten Zeitraum vollständig und nachweislich löscht. Die Klausel sollte das Verfahren, die Frist und die Art des Nachweises festlegen, um spätere Haftungsrisiken zu minimieren.
Ein konkretes Beispiel: Der Vertrag kann vorsehen, dass innerhalb von 30 Tagen nach Beendigung alle Daten auf dem System des Dienstleisters gelöscht werden. Der Auftragsverarbeiter muss anschließend ein Löschprotokoll erstellen, das von beiden Parteien unterschrieben wird. Dieses Protokoll dient als Beweismittel, falls Aufsichtsbehörden die Einhaltung prüfen.
Wird die Rückgabe gewählt, muss der Verantwortliche festlegen, in welchem Format die Daten übergeben werden (z. B. verschlüsselte CSV-Datei). Gleichzeitig muss der Auftragsverarbeiter bestätigen, dass sämtliche Kopien, Backups und Zwischenspeicher gelöscht wurden.
Fehlende oder vage Formulierungen können zu erheblichen Bußgeldern führen, weil unklare Datenlöschungen als Verstoß gegen Art. 28 Abs. 3 DSGVO gewertet werden. Die AVV-Checkliste von ITMR Legal empfiehlt, die technische Vorgehensweise (Secure-Erase, Datenvernichtung nach NIST-Standard) explizit zu beschreiben.
Die Checkliste des Datenschutz-Gurus ergänzt, dass der Verantwortliche ein Recht auf Auditreporte erhalten sollte, um die ordnungsgemäße Datenlöschung zu verifizieren.
Kontroll‑ und Auditrechte des Verantwortlichen
Der Auftragsverarbeitungsvertrag muss dem Verantwortlichen das Recht einräumen, die Einhaltung technischer und organisatorischer Maßnahmen (TOM) zu prüfen. Hierzu gehören Vor-Ort-Prüfungen, das Anfordern von Auditreports und die Einsicht in die zugehörige Dokumentation. Ohne diese Rechte kann die Aufsichtsbehörde nicht beurteilen, ob der Vertrag tatsächlich wirksam ist. Die neuen Standard-Vertragsklauseln fordern ausdrücklich die Möglichkeit zur Durchführung von Audits (Klausel 7.6 d), wobei der Auftragsverarbeiter die erforderlichen Nachweise unverzüglich bereitstellen muss nach Datenschutz-Notizen.
Ein praktischer Hinweis aus der Checkliste der Aufsichtsbehörden betont, dass der Verantwortliche nicht nur das Recht, sondern auch die Pflicht hat, regelmäßig die Wirksamkeit der vereinbarten TOM zu validieren CR-online. Der Vertrag sollte festlegen, dass Audits mindestens einmal jährlich stattfinden und bei wesentlichen Änderungen der Verarbeitung erneut durchgeführt werden. Ergebnisse müssen dokumentiert und dem Verantwortlichen zur Verfügung gestellt werden.
Fehlt diese Klausel, drohen nach § 35 DSGVO Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes, weil die Aufsichtsbehörde die Wirksamkeit des AVV nicht prüfen kann. Ein gut formulierter Audit-Mechanismus schützt beide Parteien: Der Verantwortliche erhält Sicherheit, der Auftragsverarbeiter demonstriert seine Compliance.
Trend 2026: KI-Dienste und erweiterte AVV-Klauseln
KI‑ und Machine-Learning-Anwendungen verarbeiten häufig besonders sensible Daten nach Art. 9 und 10 DSGVO. Deshalb verlangen Dienstleister zusätzliche Garantien, die über die klassischen Pflichten aus Art. 28 Abs. 3 hinausgehen.
Ein zentrales Element ist die Weitergabe‑ und Löschgarantie für Art‑9‑Daten. Der Auftragsverarbeiter muss nachweisen, dass er keine Daten an Dritte weitergibt, die nicht ausdrücklich vom Verantwortlichen genehmigt wurden. Zudem muss er eine verbindliche Frist für die unverzügliche Löschung nach Vertragsende garantieren.
Da KI-Modelle häufig Entscheidungen automatisieren, verlangen Aufsichtsbehörden eine Dokumentationspflicht für automatisierte Entscheidungen. Der Vertrag muss festlegen, dass der Auftragsverarbeiter jederzeit nachvollziehbare Protokolle über Eingaben, Modellparameter und Ergebnisgenerierung liefert. Diese Transparenz ermöglicht dem Verantwortlichen, die Vorgänge gemäß Art. 35 DSGVO zu prüfen.
Erweiterte Audit-Rechte gehören ebenfalls zu den neuen Standardklauseln. Der Verantwortliche erhält das Recht auf vorzeitige Vor-Ort-Prüfungen und auf die Anforderung von audit-bezogenen Reports, die die Wirksamkeit der technischen und organisatorischen Maßnahmen (TOM) belegen.
Um diese Punkte frühzeitig zu verankern, sollten Unternehmen bereits im Entwurf des AVV festlegen, welche KI-spezifischen Garantien gelten und welche Dokumentations- sowie Prüfungsprozesse aktiviert werden. So lassen sich spätere Compliance-Lücken vermeiden, die andernfalls zu hohen Bußgeldern führen können.
Die Aufsichtsbehörden unterstützen diese Praxis mit strukturierten Checklisten, die neben den klassischen AVV-Pflichten auch KI-bezogene Anforderungen abdecken.
