Ein AVV-Muster hilft, die Verarbeitung personenbezogener Daten durch einen Dienstleister verbindlich zu regeln. Seine Qualität hängt jedoch von den ausgefüllten Anlagen und der tatsächlichen Leistung ab. Eine unverändert übernommene Vorlage kann weder die Rollen der Beteiligten bestimmen noch beweisen, dass zugesagte Sicherheitsmaßnahmen funktionieren. Dieser Beitrag bietet eine Arbeitsstruktur und erklärt, wie Sie die einzelnen Entscheidungen vor dem Abschluss nachvollziehbar treffen.
Artikel 28 DSGVO verlangt für Auftragsverarbeitung einen Vertrag oder einen anderen Rechtsakt nach Unionsrecht oder dem Recht eines Mitgliedstaats, der den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet. Diese Regelung muss schriftlich vorliegen, wobei die elektronische Form eingeschlossen ist. Im gewöhnlichen Dienstleistungsgeschäft erfolgt dies durch einen Vertrag. Die gesetzliche Alternative des bindenden Rechtsakts darf insbesondere bei öffentlich-rechtlichen Konstellationen nicht übersehen werden.
Vor der Vorlage: Welche Rolle hat der Dienstleister?
Auftragsverarbeitung liegt vor, wenn eine Stelle personenbezogene Daten für einen Verantwortlichen verarbeitet. Entscheidend sind die tatsächlichen Entscheidungen über Zwecke und wesentliche Mittel, nicht das Etikett im Angebot. Ein Softwareanbieter kann für die gehosteten Kundendaten Auftragsverarbeiter sein und für eigene Abrechnungsdaten selbst Verantwortlicher. Ordnen Sie deshalb die einzelnen Verarbeitungsvorgänge ein, statt dem gesamten Unternehmen pauschal eine einzige Rolle zuzuweisen.
Der allgemeine Leitfaden zur Auftragsverarbeitung erläutert diese Grundlage. Für die Vertragsvorbereitung sollten Sie festhalten, welche Verarbeitung der Anbieter ausführt, wessen Zwecke sie erfüllt und welchen Spielraum er hat. Technische Detailentscheidungen können beim Auftragsverarbeiter liegen. Daraus folgt nicht zwangsläufig, dass er selbst die Zwecke bestimmt. Nutzt er die Daten für eine eigene zusätzliche Auswertung, muss diese Nutzung gesondert untersucht werden.
Auch Berufsbezeichnungen ersetzen diese Prüfung nicht. Ein Rechtsanwalt oder Steuerberater handelt bei eigenverantwortlicher Beratung regelmäßig anders als ein technischer Hostinganbieter. Daraus lässt sich jedoch kein ausnahmsloser Rollensatz für jede denkbare Zusatzleistung ableiten. Der Beitrag zu Steuerberatern und Mandantendaten hilft bei der fachlichen Einordnung. Berufsgeheimnis und Rollenverteilung sind miteinander zu berücksichtigen, aber rechtlich unterschiedliche Fragen.
Vertragsgegenstand so beschreiben, dass er kontrollierbar bleibt
Artikel 28 Absatz 3 verlangt Angaben zu Gegenstand und Dauer, Art und Zweck der Verarbeitung, Arten personenbezogener Daten, Kategorien betroffener Personen sowie Pflichten und Rechten des Verantwortlichen. Eine Anlage, die lediglich „alle üblichen Daten“ nennt, lässt offen, was tatsächlich vereinbart wurde. Beschreiben Sie die Verarbeitung anhand der realen Funktionen und Grenzen des bestellten Dienstes.
Bei einem hypothetischen Ticketsystem kann die Leistung das Speichern eingehender Anfragen, die Zuordnung zu Bearbeitern und die Bereitstellung für Supportzwecke umfassen. Betroffen sind Kontaktpersonen, Kunden oder Beschäftigte, abhängig vom Einsatz. Die Datenarten ergeben sich aus Formularfeldern und Anhängen. Wenn medizinische Unterlagen nicht vorgesehen sind, sollte geklärt werden, wie ihr versehentliches Hochladen vermieden und wie im Einzelfall damit umgegangen wird.
Vergleichen Sie diese Beschreibung mit dem Verzeichnis der Verarbeitungstätigkeiten. Die beiden Dokumente erfüllen unterschiedliche Aufgaben, sollten aber denselben tatsächlichen Ablauf wiedergeben. Wird später eine zusätzliche Analysefunktion aktiviert, kann eine Anpassung erforderlich sein. Die ursprüngliche Vertragsanlage ist keine unbegrenzte Erlaubnis für alle künftig angebotenen Funktionen. Eine erkennbare Versionshistorie erleichtert es, den jeweils freigegebenen Umfang nachzuweisen.
Arbeitsstruktur für die auszufüllenden Anlagen
Die folgende Struktur ist ein Arbeitsblatt und kein vollständiger, unmittelbar unterschriftsreifer Vertrag. Sie hilft, fehlende Entscheidungen zu erkennen. Die notwendigen rechtlichen Regelungen werden in den nachfolgenden Abschnitten erläutert. Wer ein Muster des Anbieters verwendet, kann die Struktur als Vergleich verwenden und prüfen, in welcher Vertragsbestimmung jeder Punkt tatsächlich verbindlich geregelt ist.
AVV – Arbeitsblatt für die Vorbereitung
Verantwortlicher / Auftragsverarbeiter: [Rechtsträger und Kontakt]
Leistung und Laufzeit: [konkreter Dienst, Beginn, Ende]
Verarbeitung: [Operationen, Zwecke, Datenarten, Personengruppen]
Weisungen: [befugte Rollen, Kanäle, Dokumentation, Eskalation]
Vertraulichkeit: [gebundene Personen, gesetzliche Pflichten]
Sicherheit: [Anlage mit Maßnahmen und Geltungsbereich]
Weitere Auftragsverarbeiter: [Liste, Genehmigung, Änderungen]
Unterstützung: [Rechte, Vorfälle, DSFA, vorherige Konsultation]
Nachweise: [Informationen, Prüfungen, Inspektionen]
Beendigung: [Wahl Rückgabe/Löschung, Kopien, Rechtsausnahmen]
Übermittlungen: [Empfänger, Länder, gesonderte Prüfung]
Versionen und Annahme: [geltende Dokumente, Nachweis]
Übertragen Sie ungeklärte Punkte nicht als unverbindliche Wünsche in eine unterschriebene Anlage. Ein Vermerk wie „Löschung nach Möglichkeit“ kann die benötigte Verpflichtung nicht ersetzen. Trennen Sie zulässige praktische Ausgestaltung von einem fehlenden Mindestinhalt. Vor Beginn der Verarbeitung muss feststehen, dass die erforderliche bindende Regelung besteht und der ausgewählte Auftragsverarbeiter hinreichende Garantien bietet.
Dokumentierte Weisungen und gesetzliche Ausnahme
Der Auftragsverarbeiter verarbeitet grundsätzlich nur auf dokumentierte Weisung des Verantwortlichen; dazu zählen Weisungen zu Übermittlungen an ein Drittland oder eine internationale Organisation. Die Ausnahme betrifft Unionsrecht oder das Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt und das eine Verarbeitung verlangt. Dann informiert er den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht diese Information nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Diese Ausnahme sollte nicht zu einer allgemeinen Klausel für beliebige ausländische Anforderungen oder eigene Geschäftsinteressen ausgeweitet werden. Ebenso wenig sollte der Verantwortliche sämtliche im Alltag handelnden Nutzer zu unbegrenzt Weisungsbefugten erklären. Legen Sie fest, wer insbesondere Massenexporte, Löschungen oder neue Empfänger freigeben darf. Ein nachvollziehbarer Notfallweg kann verhindern, dass berechtigte dringende Weisungen an einer abwesenden Einzelperson scheitern.
Der Auftragsverarbeiter muss außerdem unverzüglich informieren, wenn er eine Weisung für einen Verstoß gegen die DSGVO oder andere einschlägige Datenschutzbestimmungen der Union beziehungsweise der Mitgliedstaaten hält. Regeln Sie, an wen dieser Hinweis geht und wie die Beteiligten die Frage klären. Ein Kundenportal kann die Dokumentation unterstützen, sofern Informationen zuverlässig auffindbar bleiben und spätere Änderungen den ursprünglichen Inhalt nicht unsichtbar überschreiben.
Vertraulichkeit und Zugriff auf Kundendaten
Artikel 28 verlangt, dass zur Verarbeitung befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die gesetzliche Alternative gehört in die Prüfung. Eine zusätzliche unterschriebene Erklärung ist nicht in jeder Situation der allein zulässige Nachweis. Entscheidend ist, dass die eingesetzten Personen tatsächlich gebunden sind und nur im vorgesehenen Umfang Zugang erhalten.
Lassen Sie sich erklären, welche Rollen beim Anbieter produktive Kundendaten sehen können. Ein Vertriebsteam benötigt andere Informationen als ein Supportmitarbeiter, der einen konkreten Fehler untersucht. Prüfen Sie Freigaben für Fernzugriff, die Protokollierung und die Beendigung der Berechtigung. Eine allgemeine Zusicherung „nur berechtigte Mitarbeiter“ ist wenig hilfreich, wenn niemand beschreiben kann, wie diese Berechtigung vergeben und kontrolliert wird.
Die Prüfung sollte verhältnismäßig bleiben. Der Verantwortliche braucht gewöhnlich keine Sammlung persönlicher Verpflichtungserklärungen sämtlicher Beschäftigter des Dienstleisters. Geeignete Verfahrensbeschreibungen und belastbare Nachweise können ausreichen, je nach Risiko. Vermeiden Sie, durch die Lieferantenprüfung selbst unnötige personenbezogene Daten anzuhäufen. Dokumentieren Sie vielmehr, welches Kontrollziel geprüft wurde und weshalb die erhaltenen Informationen dafür genügen.
TOM: versprochene Maßnahmen mit der bestellten Leistung verbinden
Der Vertrag muss die Verpflichtung zu den nach Artikel 32 erforderlichen Maßnahmen enthalten. Eine Anlage mit technischen und organisatorischen Maßnahmen macht diese Verpflichtung für die konkrete Leistung überprüfbar. Unterscheiden Sie Maßnahmen, die der Anbieter selbst umsetzt, und Konfigurationen, die der Kunde aktivieren muss. Ein angebotenes Sicherheitsmerkmal schützt nicht, wenn es im bestellten Tarif fehlt oder ausgeschaltet bleibt.
Prüfen Sie etwa Mandantentrennung, Berechtigungen, Verschlüsselung, Wiederherstellung und den Umgang mit Sicherheitsänderungen. Bei einer Zertifizierung oder einem Prüfbericht sind Rechtsträger, Systemumfang, Zeitraum und Ausnahmen relevant. Ein Zertifikat einer anderen Gesellschaft oder einer unbeteiligten Plattform belegt nicht automatisch die Sicherheit der genutzten Leistung. Ebenso ersetzt ein Prüfbericht keine Beurteilung der eigenen Kundenkonfiguration.
Ein hypothetischer Anbieter verspricht eine starke Zugangssicherung, während seine Supportkonten gemeinsam genutzt werden. Die Diskrepanz muss vor der Freigabe geklärt werden. Eine Ergänzung der Vertragsanlage kann notwendig sein, löst aber allein noch nicht das technische Problem. Die Auswahlentscheidung nach Artikel 28 Absatz 1 und die vertragliche Verpflichtung ergänzen sich: Der Verantwortliche soll einen geeigneten Anbieter beauftragen und dessen Leistung passend regeln.
Weitere Auftragsverarbeiter richtig einbinden
Vor der Beauftragung eines weiteren Auftragsverarbeiters ist eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen nötig. Bei allgemeiner Genehmigung muss der Auftragsverarbeiter über beabsichtigte Änderungen durch Hinzuziehung oder Ersetzung informieren und Gelegenheit zum Einspruch geben. Eine lediglich irgendwo aktualisierte Liste ohne wirksamen Informationsweg kann den vereinbarten Entscheidungsprozess praktisch entwerten.
Dem weiteren Auftragsverarbeiter müssen durch Vertrag oder anderen bindenden Rechtsakt dieselben Datenschutzpflichten auferlegt werden, insbesondere ausreichende Garantien für geeignete Maßnahmen. Die Regelung muss schriftlich, einschließlich elektronischer Form, vorliegen. Erfüllt der weitere Auftragsverarbeiter seine Pflichten nicht, bleibt der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für deren Einhaltung voll haftbar. Eine pauschale Abwälzung auf den Unterauftragnehmer entspricht diesem Verhältnis nicht.
Für die Bewertung einer Änderung helfen Identität, Aufgabe, Zugriffsumfang und Verarbeitungsorte. Nicht jeder gewöhnliche Lieferant des Anbieters ist zugleich weiterer Auftragsverarbeiter für Ihre Daten. Die Prüfliste für geänderte Unterauftragsverarbeiter verbindet diese Fragen mit einer dokumentierten Reaktion. Vereinbaren Sie praktische Folgen eines begründeten Einspruchs, ohne aus dem Einspruchsrecht eine unbegründete Garantie für jeden beliebigen Ersatzanbieter zu machen.
Unterstützung bei Rechten und Sicherheitsvorfällen
Der Auftragsverarbeiter unterstützt unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen, soweit möglich, bei der Beantwortung von Anträgen betroffener Personen. Besprechen Sie, wie Daten gefunden, exportiert, berichtigt oder gelöscht werden können. Der Verantwortliche bleibt für seine Entscheidung über den Antrag zuständig. Ein Anbieter sollte eine unmittelbar eingehende Anfrage deshalb nach dem vereinbarten Ablauf weiterleiten, statt ohne geklärte Zuständigkeit vollständige Kundendaten herauszugeben.
Bei einer Verletzung des Schutzes personenbezogener Daten informiert der Auftragsverarbeiter den Verantwortlichen nach Artikel 33 Absatz 2 unverzüglich nach Bekanntwerden. Eine vertraglich bestimmte zusätzliche Stundenfrist kann den Ablauf konkretisieren, ist aber keine gesetzliche allgemeine 24-Stunden-Frist. Sie darf eine frühere unverzügliche Information nicht verzögern. Lassen Sie auch unvollständige Erstinformationen mit späteren Ergänzungen zu, damit auf eine fertige Ursachenanalyse nicht gewartet wird.
Für den Verantwortlichen gilt die Meldung an die Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für Rechte und Freiheiten. Verspätungen sind zu begründen. Jede Datenschutzverletzung muss dokumentiert werden; eine Benachrichtigung nach Artikel 34 ist gesondert zu prüfen. Der Ablauf einer Datenpannenmeldung benötigt dafür passende Lieferantenkontakte. Zusätzlich umfasst die Unterstützung nach Artikel 28 die Pflichten aus Artikeln 32 bis 36 unter den dort genannten Berücksichtigungskriterien.
Rückgabe, Löschung und vorhandene Kopien
Nach Abschluss der Verarbeitungsleistungen werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben und vorhandene Kopien gelöscht. Die Ausnahme betrifft eine gesetzliche Speicherungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats. Sie gilt nicht pauschal für jede interne Aufbewahrungspolitik des Anbieters. Auch bei Rückgabe müssen deshalb die zurückbehaltenen Kopien und ihre Rechtsgrundlage geklärt werden.
Vereinbaren Sie ein praktisch nutzbares Exportformat und prüfen Sie es vor dem Vertragsende. Ein Archiv mit unlesbaren internen Kennungen kann die zugesagte Rückgabe faktisch wertlos machen. Anschließend sind aktive Konten, Schnittstellen und Unterstützungskanäle geordnet zu schließen. Eine Bestätigung sollte den tatsächlich erledigten Umfang benennen. Das bloße Ende der Rechnungsstellung ist kein Nachweis, dass Daten und Zugriffe verschwunden sind.
Sicherungen brauchen eine nachvollziehbare technische Behandlung. Legen Sie fest, wie die Löschung oder das Auslaufen von Sicherungskopien erfolgt und wie Daten bei einer Wiederherstellung erneut entfernt beziehungsweise gesperrt werden. Erfinden Sie keine universelle sofortige technische Löschfrist. Eine vereinbarte Handhabung muss den rechtlichen Pflichten entsprechen und darf Sicherungen nicht zur unbegrenzten weiteren Nutzung oder zum dauerhaften Umgehen der Löschentscheidung machen.
Nachweise, Audits und angemessene Vertragsbedingungen
Artikel 28 verlangt alle notwendigen Informationen zum Nachweis der Pflichterfüllung sowie die Ermöglichung von und Mitwirkung bei Überprüfungen einschließlich Inspektionen. Praktische Regelungen dürfen Sicherheit, Vertraulichkeit und den Schutz anderer Kunden berücksichtigen. Sie dürfen die Überprüfung aber nicht leerlaufen lassen. Ein ausschließlich veralteter Bericht über einen unpassenden Prüfbereich beantwortet eine konkrete berechtigte Frage nicht.
Legen Sie fest, wie Routinefragen und besondere Anlässe behandelt werden. Ein aktueller, einschlägiger Prüfbericht kann viele gewöhnliche Fragen abdecken. Nach einem erheblichen Vorfall kann zusätzlicher Aufklärungsbedarf entstehen. Prüfen Sie Gebühren- und Terminregelungen darauf, ob die notwendige Unterstützung erreichbar bleibt. Der Vertrag sollte nicht auf der Annahme beruhen, dass nur einmal vor dem ersten Auftrag kontrolliert wird.
Die BfDI veröffentlichte am 3. Juni 2025 zwei Geldbußen gegen Vodafone in Höhe von insgesamt 45 Millionen Euro. Davon betrafen 15 Millionen Euro unzureichende Prüfung und Überwachung von Partneragenturen; die weitere Geldbuße von 30 Millionen Euro betraf Sicherheitsmängel bei der Authentifizierung. Der Fall ist deshalb kein Beleg für eine pauschale Strafe von 45 Millionen Euro wegen eines fehlenden AVV.
Drittlandübermittlungen gesondert prüfen
Eine Regelung nach Artikel 28 ersetzt nicht die Prüfung internationaler Übermittlungen nach Kapitel V. Die Frage beginnt nicht erst beim Standort des Hauptservers. Ermitteln Sie mögliche Empfänger außerhalb des EWR, einschließlich eigenständiger Supportgesellschaften und weiterer Auftragsverarbeiter. Prüfen Sie anschließend, welches Instrument unter den tatsächlichen Umständen zur Verfügung steht und ob zusätzliche Bewertungen oder Maßnahmen notwendig sind.
Standardvertragsklauseln für Drittlandübermittlungen sind nicht in jedem Fall die einzig mögliche Grundlage. Ein einschlägiger Angemessenheitsbeschluss kann relevant sein; seine konkrete Reichweite muss passen. Andere Garantien oder eng auszulegende Ausnahmen sind gesondert zu beurteilen. Eine Vertragsklausel mit der bloßen Aussage „weltweite Verarbeitung erlaubt“ erfüllt diese Prüfung nicht. Die Weisungsbindung bleibt daneben bestehen.
Für die nationale Auftragsverarbeitung gibt es zudem die Standardvertragsklauseln der Kommission nach Durchführungsbeschluss 2021/915. Sie haben eine andere Funktion als die Übermittlungsklauseln nach 2021/914. Wer vorgegebene Klauseln verwendet, muss insbesondere die passenden Anhänge ausfüllen und darf ihre vorgesehenen Wirkungen nicht durch widersprechende Zusatzbedingungen unterlaufen. Der Name Standardvertragsklauseln allein beschreibt daher noch nicht, welches Problem das Dokument löst.
Annahme, Haftung und laufende Pflege
Artikel 28 Absatz 9 erlaubt die elektronische Form. Bewahren Sie die tatsächlich vereinbarte Fassung und einen nachvollziehbaren Nachweis der verbindlichen Annahme auf. Ob eine konkrete Portalbestätigung oder E-Mail den Vertrag wirksam zustande bringt, hängt auch von den allgemeinen Vertragsregeln und den handelnden Personen ab. Eine gespeicherte Anbieter-Vorlage ohne Bezug zur Bestellung ist noch kein Beleg für eine wirksame Vereinbarung.
Die Haftung lässt sich nicht auf den Satz reduzieren, immer hafte ausschließlich der Auftraggeber oder stets automatisch jeder Beteiligte. Artikel 82 differenziert nach Rolle, Pflichtverletzung und Verantwortlichkeit und regelt unter bestimmten Voraussetzungen die volle Haftung gegenüber geschädigten Personen sowie den internen Ausgleich. Vertragsklauseln zwischen den Parteien beseitigen die gesetzlichen Rechte betroffener Personen nicht. Bewerten Sie Haftungsbegrenzungen deshalb zusammen mit den gesetzlichen Regeln.
Führen Sie schließlich den Vertrag mit der operativen Lieferantenakte zusammen. Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter sollte bei wesentlichen Leistungsänderungen erneut betrachtet werden. Eine Verarbeitungsverzeichnis-Vorlage hält die Verbindung zum Ablauf sichtbar. Für größere Bestände erläutert der Beitrag zu AVV-Management-Software, welche Verwaltungsfunktionen bei Versionen, Zuständigkeiten und Wiedervorlagen zu prüfen sind.
Rechtsstand der Bearbeitung: 29. September 2026. Maßgeblich sind insbesondere Artikel 28 DSGVO, der Durchführungsbeschluss 2021/915 und die endgültigen EDSA-Leitlinien 07/2020. Die Arbeitsstruktur ist ein Ausgangspunkt für die konkrete Vertragsprüfung.