Kurz erklärt
Ein AVV (Auftragsverarbeitungsvertrag) ist ein Vertrag nach Art. 28 DSGVO zwischen einem Unternehmen und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Er legt fest, wofür die Daten genutzt werden dürfen, wie sie geschützt werden und welche Rechte der Auftraggeber hat. Typische Fälle sind IT-Betreuung, Cloud-Dienste und externe Lohnabrechnung.
Was ist AVV?
Bei einer Auftragsverarbeitung bleibt das beauftragende Unternehmen für die Daten verantwortlich. Der Dienstleister darf sie nur nach dessen Weisung verarbeiten. Art. 28 Abs. 3 DSGVO nennt Mindestinhalte des Vertrags: Gegenstand, Dauer, Art und Zweck der Verarbeitung, Kategorien von Daten und betroffenen Personen, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln für Unterauftragnehmer, Unterstützungspflichten und die Rückgabe oder Löschung der Daten am Vertragsende. Der Vertrag kann auch elektronisch geschlossen werden.
Nicht jede Zusammenarbeit ist eine Auftragsverarbeitung. Ein Steuerberater oder Rechtsanwalt handelt in der Regel eigenverantwortlich, dann ist kein AVV nötig. Entscheiden zwei Unternehmen gemeinsam über Zweck und Mittel, spricht man von gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO. Zum AVV gehört meist eine Anlage mit den technischen und organisatorischen Maßnahmen (TOM) und eine Liste der Unterauftragnehmer. Bei Anbietern außerhalb der EU kommen Regeln für Drittlandübermittlungen hinzu.
Für einen Mittelständler bedeutet das: Jeder Dienstleister, der Zugriff auf Kunden-, Mitarbeiter- oder Patientendaten hat, braucht in der Regel einen AVV. Das gilt auch für IT-Dienstleister mit Fernwartungszugang. Ein erster Schritt ist eine Liste aller externen Dienste und Dienstleister mit Datenzugriff und die Prüfung, ob jeweils ein aktueller Vertrag vorliegt. Bei Fragen zur rechtlichen Einordnung sollten Sie Ihren Datenschutzbeauftragten oder eine Rechtsberatung einbeziehen. Dieser Text ersetzt keine Rechtsberatung.
Typisches Szenario
Eine Steuerkanzlei mit 18 Beschäftigten wechselt zu einem neuen IT-Dienstleister, der per Fernwartung auf die Server zugreift. Vor Beginn der Betreuung schließen beide einen AVV mit Anlage zu den Schutzmaßnahmen. Bei der Gelegenheit prüft die Kanzlei auch die Verträge mit ihrem Cloud-Anbieter und dem Aktenvernichter.
Beispielhafte Situation zur Veranschaulichung, kein Kundenprojekt.
Häufige Fragen zu AVV
Brauche ich einen AVV mit meinem IT-Dienstleister?
In der Regel ja, wenn der Dienstleister bei Wartung, Support oder Betrieb auf personenbezogene Daten zugreifen kann. Das ist bei Fernwartung, Backups oder der Betreuung von E-Mail-Systemen meist der Fall. Seriöse Dienstleister bieten einen AVV von sich aus an. Im Zweifel klären Sie die Einordnung mit Ihrem Datenschutzbeauftragten.
Was passiert, wenn kein AVV abgeschlossen wurde?
Fehlt ein erforderlicher AVV, verstößt das beauftragende Unternehmen gegen Art. 28 DSGVO. Die Aufsichtsbehörde kann das beanstanden und ein Bußgeld verhängen. Praktisch fehlt außerdem eine klare Regelung, was der Dienstleister mit den Daten tun darf. Ein fehlender Vertrag lässt sich nachholen, sobald die Lücke auffällt.
Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung.