Stand: Juni 2026
Definition
Der Auftragsverarbeitungsvertrag (AVV) ist ein zweiseitiger Vertrag zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Er legt Art, Umfang und Zweck der Datenverarbeitung fest. Rechtsgrundlage ist Art. 28 Abs. 3 DSGVO, die neun Pflichtklauseln definiert, darunter Zweckbestimmung, Art der Daten, Dauer, Rechte und Pflichten, Sub-Auftragsverarbeiter, technisch-organisatorische Maßnahmen (TOM) sowie Lösch‑ bzw. Rückgaberegelungen.
Der AVV muss schriftlich erfolgen und die Pflichten beider Parteien klar regeln. Dazu gehört die Verpflichtung des Auftragsverarbeiters, ein Verarbeitungs-Verzeichnis nach Art. 30 DSGVO zu führen Datenschutz-Generator Ratgeber. Weiterhin muss der Verantwortliche ein Kontroll‑ und Prüfungsrecht erhalten, etwa Auditrechte oder Zugang zu Dokumentationen Dr. Datenschutz Blog. Werden diese Elemente nicht vertraglich verankert, kann die Aufsichtsbehörde den AVV für unwirksam erklären.
Zusätzlich fordert Art. 28 Abs. 3 die eindeutige Regelung von Sub-Auftragsverarbeitern, wobei die Haftung beim Haupt-Auftragsverarbeiter bleibt ING-ISM Magazin. Alle Pflichten müssen im Vertrag festgehalten werden, damit beide Seiten ihre gesetzlichen Aufgaben erfüllen können.
Wie funktioniert die Prüfung eines AVV?
Der erste Schritt besteht darin, das Vertragsdokument zu öffnen und die Grunddaten zu erfassen: Name des Verantwortlichen, Name des Auftragsverarbeiters sowie der vertraglich festgelegte Verarbeitungszweck. Fehlende Angaben können die Wirksamkeit des AVV gefährden.
Im Anschluss prüfen Sie, ob alle neun Pflichtklauseln nach Art. 28 Abs. 3 DSGVO enthalten sind. Dazu gehören Zweckbestimmung, Art der Daten, Speicherdauer, Rechte und Pflichten, Sub-Auftragsverarbeiter, Technisch-Organisatorische Maßnahmen (TOM), Lösch‑ bzw. Rückgabeklausel, Dokumentations‑ und Meldepflichten sowie die Prüfrechte des Verantwortlichen.
Kontroll‑ und Prüfungsrechte des Verantwortlichen müssen klar geregelt sein. Der Vertrag sollte Auditrechte, das Recht auf Einsicht in Dokumentationen und die Möglichkeit zur Durchführung von Stichproben enthalten (Beispiel für eine solche Regelung).
Im Abschnitt zu den TOM überprüfen Sie, ob die beschriebenen Maßnahmen aktuell und technisch realisierbar sind. Veraltete Sicherheitsbeschreibungen können bei einer Aufsichtsbehörde zu Beanstandungen führen.
Sub-Auftragsverarbeiter und eventuelle Drittlandtransfers sind nur zulässig, wenn der Verantwortliche schriftlich zustimmt und die geltenden SCCs oder andere zulässige Transferinstrumente eingebunden sind.
Meldepflichten bei Datenschutzverstößen müssen konkretisiert sein: Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, über einen Vorfall informieren.
Abschließend dokumentieren Sie den gesamten Prüfprozess. Ein Prüfbericht, der die festgestellten Lücken, die vorgenommenen Korrekturen und das Reporting an die Geschäftsführung enthält, bildet die Basis für Nachweise gegenüber Aufsichtsbehörden.
Für Unternehmen, die externe Unterstützung suchen, bietet ITMR-Legal spezialisierte Prüf‑ und Beratungsleistungen an, die sich an den genannten Prüfpunkten orientieren.
Pflichtklausel 1 – Zweck und Art der Datenverarbeitung
Der AVV muss den konkreten Verarbeitungszweck sowie die Art der verarbeiteten personenbezogenen Daten exakt benennen. Ohne diese Angaben fehlt die rechtliche Grundlage, und Aufsichtsbehörden können den Vertrag als unwirksam einstufen. Art. 28 Abs. 3 (1) DSGVO verlangt, dass der Verantwortliche dem Auftragsverarbeiter „den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung sowie die Art der Daten“ mitteilt. Die offizielle Definition des Begriffs personenbezogene Daten liegt in der DSGVO selbst.
Praxis-Tipp: Formulieren Sie den Zweck präzise, z. B. „Erhebung und Analyse von Log-Dateien zum Zweck der IT-Sicherheitsüberwachung“ und listen Sie die betroffenen Datenkategorien (Name, E-Mail-Adresse, IP-Adresse) klar auf. Vermeiden Sie allgemeine Formulierungen wie „Datenverarbeitung für betriebliche Zwecke“, da diese von Aufsichtsbehörden als zu vage gewertet werden.
Ein unvollständiger Verarbeitungszweck kann zu erheblichen Bußgeldern führen und die Durchsetzung von Betroffenenrechten erschweren. Zudem muss die Klausel mit den übrigen Pflichtinhalten nach Art. 28 Abs. 3 DSGVO abgestimmt sein, um ein konsistentes Vertragswerk zu gewährleisten. Weitere Details zu den Pflichtinhalten finden Sie im ING-ISM-Artikel zu Art. 28 DSGVO.
Pflichtklausel 2 – Technisch-Organisatorische Maßnahmen (TOM)
Technisch-Organisatorische Maßnahmen müssen den aktuellen Stand der Technik abbilden und das Risiko für die Rechte der Betroffenen wirksam mindern. Kernbeispiele sind Verschlüsselung von Daten in Ruhe und bei der Übertragung, rollenbasierte Zugriffsbeschränkungen sowie regelmäßige Sicherheits-Updates und Patch-Management. Für KI-gestützte Dienste, die höhere Risiken bergen, empfiehlt die Rechtsprechung ausdrücklich eine zusätzliche Risiko-Analyse und den Nachweis geeigneter Kontrollen.
Der Auftragsverarbeiter ist verpflichtet, alle TOM zu dokumentieren und dem Verantwortlichen auf Anfrage unverzüglich vorzulegen. Diese Dokumentation bildet die Basis für das Kontroll‑ und Prüfungsrecht des Verantwortlichen, das nach Art. 28 Abs. 3 DSGVO zwingend im Vertrag geregelt sein muss. Ohne klare Nachweispflicht kann das Aufsichtsorgan den AVV als unwirksam ansehen.
Besondere Datenkategorien nach Art. 9 und 10 DSGVO verlangen zusätzlich konkrete Maßnahmen wie Ende-zu-Ende-Verschlüsselung oder strikte Zweckbindung. Die neuen Standardvertragsklauseln verdeutlichen diesen Anspruch und stellen exemplarisch die erforderlichen Formulierungen bereit (Datenschutz-Notizen).
Im Kontext des AI-Act gilt seit 2026, dass Hochrisiko-KI-Systeme nur mit nachweislich sicheren TOM eingesetzt werden dürfen. Brandauer Rechtsanwälte weisen darauf hin, dass bei Verstößen gegen die KI-Verordnung Bußgelder bis zu 35 Mio. € drohen (Brandauer Rechtsanwälte). Daher sollten Unternehmen bereits heute prüfen, ob ihre vertraglichen TOM-Klauseln den erweiterten Anforderungen des AI-Acts entsprechen.
Pflichtklausel 3 – Sub-Auftragsverarbeitung
Der Auftragsverarbeiter darf einen Sub-Auftragnehmer nur einsetzen, wenn der Verantwortliche seine schriftliche Zustimmung erteilt hat. Diese Genehmigung muss im AVV festgehalten werden und genau regeln, welche Daten und welche Verarbeitungstätigkeiten ausgelagert werden dürfen.
Auch nach Weitergabe bleibt der ursprüngliche Auftragsverarbeiter gegenüber dem Verantwortlichen haftbar. Das bedeutet, dass Schäden, die der Sub-Auftragnehmer verursacht, vom Hauptauftragsverarbeiter zu ersetzen sind. Deshalb muss der Vertrag eine klare Haftungsregelung enthalten, die den Verantwortlichen schützt und den Risikotransfer zwischen den Dienstleistern definiert.
Eine wirksame Sub-Auftrags-Klausel beinhaltet zudem:
- Beschreibung des zulässigen Verarbeitungszwecks und der betroffenen Datenkategorien.
- Nachweis, dass der Sub-Auftragnehmer die gleichen technischen und organisatorischen Maßnahmen wie der Hauptauftragsverarbeiter umsetzt.
- Verpflichtung zur Meldung von Datenschutzvorfällen innerhalb von 48 Stunden an den Hauptauftragsverarbeiter.
- Regelung zur Rückgabe oder Löschung der Daten nach Vertragsende, dokumentiert durch ein Zertifikat.
Durch die Verknüpfung dieser Punkte mit den Vorgaben der neuen Standardvertragsklauseln wird sichergestellt, dass die Unterauftragsverarbeitung sowohl rechtlich als auch praktisch kontrollierbar bleibt.
Pflichtklausel 4 – Meldung von Datenschutz-Vorfällen
Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren, wenn eine Verletzung des Schutzes personenbezogener Daten festgestellt wird. Die Frist beträgt maximal 48 Stunden nach Kenntnisnahme. Der AVV muss festlegen, welche Angaben zu übermitteln sind: Art der betroffenen Daten, betroffene Personen, wahrscheinliche Folgen und bereits ergriffene Gegenmaßnahmen. Zudem ist ein klar definiertes Verfahren zur Zusammenarbeit zu beschreiben, etwa die Benennung eines Ansprechpartners, die bevorzugten Kommunikationskanäle und ein Protokoll für regelmäßige Updates.
Eine konkrete Checkliste für diese Meldepflicht findet sich bei der Bayerischen Aufsichtsbehörde, die die erforderlichen Informationen und den Ablauf detailliert beschreibt. Checkliste der BayMEVB unterstützt Unternehmen dabei, die Vertragsklausel präzise zu formulieren.
Fehlt diese Regelung, kann die Aufsichtsbehörde den Vertrag als unwirksam einstufen und Bußgelder verhängen. Deshalb sollte jede Meldungspflicht im AVV eindeutig verankert werden, um klare Verantwortlichkeiten und schnelle Reaktionszeiten sicherzustellen.
Pflichtklausel 5 – Lösch‑ bzw. Rückgabeklausel
Nach Beendigung des Auftrags muss der Auftragsverarbeiter sämtliche personenbezogenen Daten entweder unwiderruflich löschen oder dem Verantwortlichen zurückgeben. Der Vertrag muss festlegen, bis wann diese Maßnahme erfolgt – typischerweise innerhalb von 30 Tagen nach Laufzeitende. Zusätzlich ist ein schriftliches Lösch‑ bzw. Rückgabeverfahren zu vereinbaren, das die zu deletenden Datensätze und die verantwortliche Methode beschreibt.
Um die Einhaltung nachzuweisen, verlangt die Klausel ein vom Auftragsverarbeiter ausgestelltes Zertifikat, das die erfolgte Löschung oder Rückgabe bestätigt. Dieses Dokument dient als Nachweis gegenüber Aufsichtsbehörden und ermöglicht dem Verantwortlichen, seine Dokumentationspflichten nach Art. 30 DSGVO zu erfüllen.
Ein fehlendes oder vage formuliertes Rückgabeverfahren kann die Wirksamkeit des gesamten Auftragsverarbeitungsvertrags gefährden. Deshalb sollten Unternehmen klare Fristen, Prüfkriterien und das Zertifizierungsformat – etwa ein unterschriebenes PDF oder ein digital signiertes Protokoll – im Vertrag festschreiben.
Weitere Details zur rechtlichen Grundlage und Praxisempfehlungen finden Sie im ING-ISM-Magazin zu Art. 28 DSGVO.
Pflichtklausel 6 – Drittlandtransfer-Klauseln
Wird personenbezogenes Material in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, muss der AVV ein zulässiges Transferinstrument benennen. Aktuell gelten die von der EU entwickelten Standardvertragsklauseln (SCC). Der Vertrag muss die genaue Rechtsgrundlage, das Herkunfts‑ und das Ziel-Land sowie etwaige ergänzende Garantien – zum Beispiel Ende-zu-Ende-Verschlüsselung oder Binding Corporate Rules – anführen.
Die e-Recht24 erklärt, dass die modularen SCC-Versionen je nach Szenario (EU-EU, EU-Drittland, Cloud-Provider) auszuwählen und fortlaufend zu prüfen sind. Werden die Klauseln nicht integriert, kann die Aufsichtsbehörde den Vertrag als unwirksam einstufen.
Ein weiteres Beispiel aus der Praxis: Bei Cloud-Diensten, die Daten in den USA verarbeiten, muss der AVV sowohl die aktuelle SCC-Version als auch zusätzliche technische Maßnahmen wie Verschlüsselung im Ruhezustand dokumentieren. Ohne diese Zusatzgarantie bleibt das Risiko einer Durchsetzung von Betroffenenrechten unzureichend.
Unternehmen sollten außerdem prüfen, ob das Drittland ein angemessenes Datenschutzniveau bietet. Fehlt ein solches Niveau, sind zusätzliche vertragliche Garantien erforderlich, um die Vorgaben von Art. 45 DSGVO zu erfüllen.
Weitere Details zu den neuen SCCs finden Sie bei eRecht24 und zu Statistik-Problemen beim AVV-Check bei Plotdesk.
Pflichtklausel 7 – Haftungs‑ und Schadensersatzregelungen
Der Auftragsverarbeitungsvertrag muss eindeutig festlegen, welche Partei bei einer Datenschutzverletzung haftet und welche Entschädigungen zu leisten sind. Ohne klare Zuordnung kann die Haftung im Streitfall unvorhersehbar werden.
Typischerweise wird dem Auftragsverarbeiter die volle Verantwortung für Verstöße auferlegt, die aus seiner Verarbeitungstätigkeit resultieren. Der Vertrag sollte zudem :
- konkrete Höchstgrenzen oder Vertragsstrafen für jede Verletzung benennen,
- die Höhe von Schadensersatzansprüchen definieren und
- die Pflichten zur Zusammenarbeit bei der Schadenbegrenzung beschreiben.
Im Kontext von KI-Dienstleistungen ergeben sich zusätzliche Anforderungen. Der AI-Act führt für Hochrisiko-KI neue Haftungsaspekte ein, die im AVV berücksichtigt werden müssen. Hier können Regelungen zu Modell‑ und Daten-Governance sowie zu eventuellen Haftungsbegrenzungen für den Anbieter aufgenommen werden.
Eine zentrale Praxis ist, Vertragsstrafen zu vereinbaren, die das Risiko für den Verantwortlichen mindern. Solche Strafklauseln wirken präventiv und geben beiden Seiten Planungssicherheit. Für die konkrete Ausgestaltung liefert Dataguard praxisnahe Empfehlungen, wie Haftungs- und Schadensersatzklauseln formuliert werden sollten, um den Vorgaben von Art. 28 Abs. 3 DSGVO zu entsprechen.
Pflichtklausel 8 – Dokumentations‑ und Meldepflichten nach Art. 30 DSGVO
Der Auftragsverarbeiter muss ein Verzeichnis aller Verarbeitungstätigkeiten führen. Dieses Dokument enthält Zweck, Rechtsgrundlage, Kategorien betroffener Personen und technische-organisatorische Maßnahmen. Der Verantwortliche hat das Recht, das Verzeichnis jederzeit anzufordern und zu prüfen.
Art. 30 DSGVO macht die Dokumentation zur Pflicht, nicht zur bloßen Empfehlung. Im Auftragsverarbeitungsvertrag muss deshalb ein kurzer Verweis auf das Verzeichnis aufgenommen werden, etwa: „Der Auftragsverarbeiter führt ein Verzeichnis gemäß Art. 30 DSGVO und stellt es dem Verantwortlichen auf Anfrage unverzüglich zur Verfügung.“
Zusätzlich verlangt die Verordnung, dass Datenschutz-Vorfälle unverzüglich – spätestens innerhalb von 48 Stunden – dem Verantwortlichen gemeldet werden. Diese Meldung muss Details zum Vorfall, den betroffenen Daten und den ergriffenen Gegenmaßnahmen enthalten, damit eine Meldung an die Aufsichtsbehörde fristgerecht erfolgen kann.
Eine präzise Formulierung der Dokumentations‑ und Meldepflichten verhindert Vertragslücken und reduziert das Risiko, dass Aufsichtsbehörden den AVV als unwirksam einstufen. Weitere Informationen zur Pflicht des Verarbeitungs-Verzeichnisses finden sich beim Datenschutz-Generator Ratgeber.
Pflichtklausel 9 – Spezialklauseln für besonders sensible Daten (Art. positive Bewertungen DSGVO)
Verarbeitet ein Auftragsverarbeiter Gesundheits‑, genetische oder biometrische Informationen, verlangt die DSGVO zusätzliche Garantien. Der AVV muss deshalb eindeutig festlegen, dass sämtliche Daten verschlüsselt zu übertragen und zu speichern sind. Ebenso muss die Verarbeitung strikt zweckgebunden bleiben; jede weitere Nutzung erfordert die ausdrückliche Zustimmung des Verantwortlichen.
Erweiterte Prüfrechte gehören ebenfalls dazu. Der Verantwortliche soll das Recht erhalten, regelmäßige Audits durchzuführen oder jederzeit auf technische und organisatorische Dokumentationen zuzugreifen. Diese Rechte dürfen nicht bloß vage formuliert, sondern konkret mit Fristen und Abläufen versehen werden.
Weitere obligatorische Punkte umfassen:
- Nachweisbare Protokollierung jedes Zugriffs auf die sensiblen Datensätze.
- Verpflichtung zur sofortigen Meldung von Vorfällen, die die Sicherheit der Daten gefährden.
- Klare Regelungen zur Löschung oder Rückgabe nach Vertragsende, idealerweise durch ein Zertifikat.
Die neuen Standardvertragsklauseln für Art. positive Bewertungen DSGVO geben hierfür einen praxisnahen Rahmen vor Datenschutz-Notizen. Jeder AVV, der ohne diese Spezialklauseln auskommt, riskiert, von Aufsichtsbehörden als unwirksam eingestuft zu werden.
Aktuelle Trends 2026 – AI-Act, Data Act und neue SCCs
Der AI-Act verlangt in Auftragsverarbeitungsverträgen für Hochrisiko-KI-Systeme zwingende Klauseln zu Modell‑ und Daten-Governance sowie klare Haftungsregelungen. Unternehmen, die KI-Tools einsetzen, müssen deshalb ihre AVVs um diese Punkte erweitern nach dem AI-Act.
Der Data Act führt ab dem 12. September 2026 eine Design-Pflicht für vernetzte Produkte ein. Damit müssen AVVs künftig Bestimmungen zur Datenlizenzierung, Weitergabe an Dritte und zur Sicherstellung von Nutzer-rechten enthalten wie der Data Act verlangt.
Die EU-Standardvertragsklauseln werden modularer. Je nach Transfer-Szenario – innerhalb der EU, in Drittländer oder über Cloud-Provider – ist das passende Modul zu wählen und regelmäßig zu prüfen laut aktueller Guidance. Unternehmen sollten ihre AVVs mindestens einmal jährlich aktualisieren, um allen drei Änderungen gerecht zu werden.
Praxisbeispiele aus der Industrie
Ein Logistikdienstleister aus Hamburg hat 2023 KI-gestützte Routenoptimierung eingeführt. Die bestehende Auftragsverarbeitungsvereinbarung (AVV) enthielt keine Klauseln zum AI-Act. Um Haftungsrisiken zu begrenzen, musste der Vertrag um spezielle Regelungen zu Modell‑ und Daten-Governance sowie zu eventuellen Schadenersatzansprüchen ergänzt werden.
Ein mittelständisches SaaS-Unternehmen nutzte US-Cloud-Services, als die EU die neuen Standardvertragsklauseln (SCC) aktualisierte. Ohne die neuen Transferklauseln hätte das Unternehmen gegen die Vorgaben des Art. 45 DSGVO verstoßen und Gefahr gelaufen, ein Bußgeld zu erhalten. Die ergänzten Klauseln regeln jetzt klar, welche Daten in die USA fließen und welche Garantien der Cloud-Provider erbringen muss.
Beide Fälle verdeutlichen, dass eine regelmäßige Vertragsprüfung unverzichtbar ist. Sie verhindert nicht nur teure Sanktionen, sondern sorgt dafür, dass neue regulatorische Anforderungen – sei es der AI-Act oder aktualisierte SCCs – zeitnah integriert werden.
Checkliste für die AVV-Prüfung – TL;DR
Neun Pflichtklauseln nach Art. 28 Abs. 3 DSGVO: Zweckbestimmung, Art der Daten, Verarbeitungsdauer, Rechte und Pflichten, Sub-Auftragsverarbeiter, Technisch-Organisatorische Maßnahmen, Lösch‑/Rückgabeklausel, Dokumentations‑ und Meldepflichten, Prüfrechte des Verantwortlichen.
2026‑Trends im Blick: KI-Act fordert KI-spezifische Regelungen, Data Act verlangt Design-Pflichten für vernetzte Produkte, modulare SCCs erfordern regelmäßige Aktualisierung, digitale Audits steigen, Bußgelder für mangelhafte AVVs sind um 30 % gewachsen.
Wie prüfen? Stichwortartig prüfen: Zweck ↔ Zweckbindung, Datenarten ↔ Art. positive Bewertungen-Klauseln, Dauer ↔ Löschfristen, Rechte ↔ Betroffenenrechte, Sub-Aufträge ↔ Genehmigungsnachweis, TOM ↔ Technische Maßnahmen, Löschung ↔ Nachweis, Dokumentation ↔ Verarbeitungs-Verzeichnis, Prüfungsrecht ↔ Audit-Klausel.
Für detaillierte Vorgaben und aktuelle Musterverträge siehe die Checkliste der Aufsichtsbehörden sowie die Datenschutz-Guru-Checkliste.
