Auftragsverarbeitungsvertrag: Wann ist ein AVV Pflicht?

Einen Auftragsverarbeitungsvertrag (AVV, auch AV-Vertrag) braucht jeder Betrieb, der einen Dienstleister personenbezogene Daten nach seinen Weisungen verarbeiten lässt, etwa in der Cloud, im Newsletter-Tool oder bei der IT-Betreuung. Fehlt der Vertrag, liegt ein Verstoß gegen Art. 28 Abs. 3 DSGVO vor, für den Art. 83 Abs. 4 DSGVO Geldbußen bis 10 Millionen Euro oder 2 Prozent des weltweiten Vorjahresumsatzes vorsieht.

Gemeint ist der höhere der beiden Beträge. Für kleine Betriebe fallen die Bußgelder in der Praxis deutlich niedriger aus. Der Vertrag selbst ist dagegen schnell geschlossen, weil große Anbieter ihn fertig bereitstellen und Aufsichtsbehörden Muster veröffentlichen.

Der Beitrag beschreibt die allgemeine Rechtslage nach Datenschutz-Grundverordnung, Stand Oktober 2026. Ob im Einzelfall Auftragsverarbeitung vorliegt, klären Datenschutzbeauftragte oder Fachanwälte für IT-Recht.

Wann ein AV-Vertrag Pflicht ist

Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO, wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Der Auftraggeber entscheidet über Zweck und Mittel, der Dienstleister führt aus. Nach Art. 29 DSGVO ist er dabei an Weisungen gebunden, und seine Verarbeitung wird dem Auftraggeber zugerechnet.

Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) fasst die Prüfung in seiner Abgrenzungshilfe nach den Leitlinien 07/2020 des Europäischen Datenschutzausschusses (EDSA) zusammen. Auftragsverarbeitung liegt danach in der Regel vor, wenn die Dienstleistung gezielt auf Datenverarbeitung ausgerichtet ist oder die Verarbeitung ein Kernbestandteil der Leistung ist. Sie liegt auch vor, wenn der Dienstleister systematisch und dauerhaft Zugriff auf personenbezogene Daten hat, obwohl seine eigentliche Aufgabe eine andere ist.

Die alte deutsche „Funktionsübertragung“, mit der früher viele Auslagerungen aus der Auftragsverarbeitung herausgerechnet wurden, gibt es unter der DSGVO nicht mehr. Das betonen DSK und BayLDA ausdrücklich. Entscheiden zwei Stellen gemeinsam über Zwecke und Mittel, gilt Art. 26 DSGVO, dann ist eine Vereinbarung über gemeinsame Verantwortlichkeit nötig, kein AVV.

Typische Dienstleister im Überblick

Die Tabelle zeigt den Regelfall. Hinter demselben Schlagwort stecken oft sehr unterschiedliche Abläufe, weshalb das BayLDA inzwischen bewusst keinen festen Tätigkeitskatalog mehr führt. Ein Beispiel ist die Lohnbuchhaltung: Beim Abrechnungsdienstleister ist sie Auftragsverarbeitung, beim Steuerberater nicht. Dort legt § 11 Abs. 2 StBerG fest, dass Steuerberater bei sämtlichen Mandantendaten Verantwortliche sind und weisungsfrei arbeiten.

Was in den Auftragsverarbeitungsvertrag gehört

Art. 28 Abs. 3 DSGVO schreibt zunächst Rahmendaten vor: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Der EDSA verlangt dabei konkrete Angaben. Die bloße Formel „personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO“ reicht nach den Leitlinien 07/2020 nicht. Besser: „Name, Anschrift und Bestellhistorie von Onlineshop-Kunden“.

Dazu kommen acht Pflichten des Dienstleisters, die Art. 28 Abs. 3 Buchstabe a bis h aufzählt:

Einen Punkt unterschätzen viele Betriebe: die Meldefrist bei Datenpannen. Der Verantwortliche muss eine Verletzung des Schutzes personenbezogener Daten in der Regel binnen 72 Stunden der Aufsichtsbehörde melden, der Auftragsverarbeiter muss ihn nach Art. 33 Abs. 2 DSGVO „unverzüglich“ informieren. Der EDSA empfiehlt deshalb, im Vertrag eine feste Stundenzahl samt Kontaktstelle festzuhalten. Eine vereinbarte Frist von zum Beispiel 24 oder 48 Stunden lässt dem Betrieb Zeit für die eigene Meldung.

Hält der Dienstleister eine Weisung für rechtswidrig, muss er den Auftraggeber nach Art. 28 Abs. 3 DSGVO unverzüglich darauf hinweisen. Verarbeitet er Daten für eigene Zwecke, gilt er nach Art. 28 Abs. 10 insoweit selbst als Verantwortlicher.

Form: schriftlich oder elektronisch

Nach Art. 28 Abs. 9 DSGVO ist der AVV schriftlich abzufassen, ein elektronisches Format genügt. Eine qualifizierte elektronische Signatur ist nach Auffassung des BayLDA nicht zwingend. Die Vertragspartner müssen den Abschluss aber beweiskräftig dokumentieren, etwa durch einen unterschriebenen und eingescannten Vertrag samt E-Mail-Verlauf. Mündliche Absprachen reichen laut EDSA nie.

Bei großen Cloud- und Softwareanbietern wird der AVV meist im Kundenkonto akzeptiert oder ist Teil der Geschäftsbedingungen. Das ist zulässig. Der EDSA stellt in den Leitlinien 07/2020 aber klar, dass ein kleiner Betrieb solche Bedingungen trotzdem prüfen muss. Wer sie akzeptiert, trägt die volle Verantwortung. Ein PDF der akzeptierten Fassung mit Datum gehört deshalb in die Ablage.

Muster und Standardvertragsklauseln

Ein eigener Vertragstext ist nicht nötig. Die EU-Kommission hat am 4. Juni 2021 Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter nach Art. 28 Abs. 7 DSGVO veröffentlicht. Sie lassen Lücken, die die Parteien ausfüllen, etwa die Beschreibung der Verarbeitung und die TOM. Wichtig: Diese Klauseln sind nicht dieselben wie die Standarddatenschutzklauseln für Übermittlungen in Drittländer nach Art. 46 DSGVO. Sitzt der Dienstleister oder ein Subunternehmer außerhalb von EU und EWR, braucht es zusätzlich eine Grundlage nach Art. 44 ff.

Das BayLDA bietet eine Formulierungshilfe an, die vor allem auf klassische IT-Dienstleistungen wie Lohnabrechnung oder Finanzbuchhaltung zugeschnitten ist. Eine AGB-Prüfung nach §§ 307 ff. BGB hat die Behörde dafür nicht vorgenommen. Für Berufsgeheimnisträger, Wartung oder Archivierung muss das Muster angepasst werden.

Und wer muss den Vertrag aufsetzen? Beide Seiten. Nach den EDSA-Leitlinien sind Verantwortlicher und Auftragsverarbeiter gleichermaßen dafür zuständig, dass ein Vertrag besteht, und die Aufsicht kann gegen beide eine Geldbuße verhängen.

DSGVO-Bußgeld und Haftung ohne AVV

Wie ernst die Aufsicht das nimmt, zeigt ein frühes Verfahren aus Hamburg. Der Hamburgische Datenschutzbeauftragte verhängte im Dezember 2018 gegen ein kleines Versandunternehmen 5.000 Euro Bußgeld plus 250 Euro Gebühren, wie heise online berichtete. Das Unternehmen hatte einen Dienstleister mit Kundendaten arbeiten lassen und sich geweigert, selbst einen AVV zu entwerfen, weil es das für Sache des Auftragnehmers hielt. Diese Haltung trug nicht.

Neben dem Bußgeld stehen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. Haften kann auch der Auftragsverarbeiter, wenn er seine speziellen Pflichten verletzt oder Weisungen missachtet, so das DSK-Kurzpapier Nr. 13. Ein fehlender Vertrag macht es dem Betrieb außerdem schwer, im Streitfall nachzuweisen, welche Schutzmaßnahmen vereinbart waren.

Checkliste: AV-Verträge im Betrieb aufräumen

1. Alle Dienstleister aus der Kreditorenliste der Buchhaltung ziehen, inklusive Software-Abos und Kreditkartenzahlungen.
2. Für jeden prüfen, ob er personenbezogene Daten verarbeitet oder dauerhaft Zugriff darauf hat.
3. Rolle festlegen: Auftragsverarbeiter, eigener Verantwortlicher oder gemeinsam Verantwortlicher (Tabelle oben als Orientierung).
4. Bei Auftragsverarbeitern den AVV anfordern oder im Kundenkonto abschließen, sonst Standardvertragsklauseln oder BayLDA-Muster verwenden.
5. Vertrag gegen die acht Pflichten aus Art. 28 Abs. 3 lit. a bis h abgleichen, TOM-Anlage und Subunternehmerliste prüfen.
6. Sitz von Dienstleister und Subunternehmern prüfen, bei Drittländern die Übermittlungsgrundlage klären.
7. Meldefrist für Datenpannen in Stunden eintragen und Ansprechpartner benennen.
8. Verträge mit Datum ablegen und die Dienstleister als Empfänger im Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führen.
9. Einmal im Jahr und bei jedem neuen Tool wiederholen.

Häufige Fragen

Wann liegt keine Auftragsverarbeitung vor?

Keine Auftragsverarbeitung ist die Inanspruchnahme fremder Fachleistungen bei Stellen, die selbst verantwortlich sind: Steuerberater, Rechtsanwälte, Wirtschaftsprüfer, externe Betriebsärzte, Banken für den Zahlungsverkehr, Post für den Brieftransport. Für die Datenweitergabe an sie braucht der Betrieb eine eigene Rechtsgrundlage nach Art. 6 DSGVO, aber keinen AVV.

Gibt es ein Muster für einen Auftragsverarbeitungsvertrag?

Ja. Kostenlos verfügbar sind die Standardvertragsklauseln der EU-Kommission von 2021 und die Formulierungshilfe des BayLDA. Beide müssen an den konkreten Auftrag angepasst werden.

Muss auch der Dienstleister auf einen AVV achten?

Ja. Die Pflicht trifft beide Vertragspartner, und die Aufsicht kann nach den EDSA-Leitlinien gegen beide vorgehen. Alte Verträge nach dem früheren Bundesdatenschutzgesetz gelten laut DSK nur fort, wenn sie die Anforderungen des Art. 28 DSGVO erfüllen, etwa beim Einsatz von Subunternehmern. Wurde ein Altvertrag nicht angepasst, liegt nach den EDSA-Leitlinien ein Verstoß gegen Art. 28 Abs. 3 DSGVO vor.

Fazit

Ein Auftragsverarbeitungsvertrag ist Pflicht, sobald ein Dienstleister weisungsgebunden mit personenbezogenen Daten des Betriebs arbeitet, und das betrifft heute fast jeden Betrieb mit Cloud, Website-Formular oder IT-Betreuung. Steuerberater, Banken und Post fallen nicht darunter. Sinnvoll ist eine einmalige Bestandsaufnahme anhand der Kreditorenliste, danach genügt eine jährliche Prüfung. Bei der Durchsicht der Verträge lohnt der Blick auf die Meldefrist für Datenpannen und die Subunternehmerliste.

Quellen

• Datenschutzkonferenz (DSK) · Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO · Abruf 10/2026
• Europäischer Datenschutzausschuss · Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“ · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Auftragsverarbeitung · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Abgrenzungshilfe Auftragsverarbeitung · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Auslegungshilfe Formerfordernis nach Art. 28 Abs. 9 DS-GVO · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Auslegungshilfe Hosting statischer Websites · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Formulierungshilfe für einen Auftragsverarbeitungsvertrag · Abruf 10/2026
• Bayerisches Landesamt für Datenschutzaufsicht · Meldung einer Datenschutzverletzung · Abruf 10/2026
• Bundesministerium der Justiz · § 11 Steuerberatungsgesetz · Abruf 10/2026
• Europäische Kommission · Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter in der EU / im EWR · Abruf 10/2026
• heise online · DSGVO: 5000 Euro Bußgeld für fehlenden Auftragsverarbeitungsvertrag · Abruf 10/2026