Auftragsverarbeitung – AV-Vertrag nach Art. 28 DSGVO prüfen und gestalten

Cloud-Speicher, Newsletter-Tool, Lohnabrechnung, IT-Wartung: Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Wir prüfen die Verträge Ihrer Anbieter, verhandeln Änderungen und erstellen eigene AVV-Muster, für Auftraggeber wie für Dienstleister.

Wann liegt eine Auftragsverarbeitung vor?

Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel, der Dienstleister führt aus. Typische Beispiele sind Hosting- und Cloud-Anbieter, E-Mail- und Newsletter-Dienste, externe Rechenzentren, Callcenter, Aktenvernichter, Fernwartung und viele SaaS-Lösungen.

Keine Auftragsverarbeitung liegt vor, wenn der Dienstleister eigene Zwecke verfolgt oder eigenverantwortlich fachlich tätig wird – etwa Banken, Post- und Paketdienste beim Transport, Wirtschaftsprüfer oder Rechtsanwälte. Legen zwei Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche nach Art. 26 DSGVO und brauchen eine eigene Vereinbarung. Der EuGH hat diese Figur weit verstanden, etwa beim Betrieb einer Facebook-Fanpage (Urteil vom 5. Juni 2018, C-210/16, Wirtschaftsakademie) oder beim Einbinden eines „Gefällt mir“-Buttons (Urteil vom 29. Juli 2019, C-40/17, Fashion ID).

Pflichtinhalte des AV-Vertrags

Art. 28 Abs. 3 DSGVO verlangt einen Vertrag, der Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegt. Der Auftragsverarbeiter muss sich insbesondere verpflichten,

• Daten nur auf dokumentierte Weisung zu verarbeiten – auch hinsichtlich Drittlandübermittlungen,
• die mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten,
• angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen,
• Unterauftragsverarbeiter nur mit Genehmigung einzusetzen und vertraglich gleich zu binden,
• bei Betroffenenrechten, Datensicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzungen zu unterstützen,
• Daten nach Abschluss zu löschen oder zurückzugeben,
• Nachweise bereitzustellen und Überprüfungen einschließlich Inspektionen zu ermöglichen.

Der Vertrag kann auch elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO). Die EU-Kommission hat Standardvertragsklauseln für die Auftragsverarbeitung innerhalb der EU veröffentlicht (Durchführungsbeschluss (EU) 2021/915), die als Grundlage dienen können.

Typische Schwachstellen in Anbieter-AVVs

• Vage TOMs: Statt konkreter Maßnahmen nur ein Verweis auf „branchenübliche Standards“.
• Unterauftragsverarbeiter: Allgemeine Genehmigung ohne Liste, ohne Informationspflicht und ohne Widerspruchsrecht.
• Drittlandtransfer: Server oder Support in den USA, Indien oder anderen Drittstaaten ohne Angabe der Übermittlungsgrundlage – mehr unter Drittlandtransfer.
• Eigene Zwecke des Anbieters: Klauseln, nach denen Kundendaten zur Produktverbesserung oder zum Training von KI-Modellen genutzt werden dürfen – das passt nicht zur Auftragsverarbeitung.
• Kontrollrechte: Audits nur gegen hohe Gebühren oder ausschließlich über Zertifikate.
• Meldefristen: Keine oder zu lange Fristen für die Meldung von Sicherheitsvorfällen.

Für Dienstleister: ein eigener AVV als Wettbewerbsvorteil

Software- und IT-Anbieter werden von Kunden zunehmend nach einem belastbaren AVV, einer aktuellen Liste der Unterauftragsverarbeiter und dokumentierten TOMs gefragt. Ein eigenes, sauber strukturiertes Vertragswerk verkürzt Vertriebsprozesse und begrenzt Haftungsrisiken. Wir erstellen AVV, TOM-Anlagen und Haftungsregelungen, die zu Ihrem Geschäftsmodell passen, und begleiten Kundenverhandlungen.

Unser Angebot

• Prüfung einzelner AV-Verträge mit kurzer Ampelbewertung und konkreten Änderungsvorschlägen,
• Bestandsaufnahme aller Dienstleister und Abgleich mit dem Verzeichnis der Verarbeitungstätigkeiten,
• Abgrenzung Auftragsverarbeitung / gemeinsame Verantwortlichkeit / eigene Verantwortlichkeit,
• Erstellung von AVV-Mustern und Vereinbarungen nach Art. 26 DSGVO,
• laufende Betreuung als externer Datenschutzbeauftragter.

Häufige Fragen zur Auftragsverarbeitung

Reicht es, den AVV des Anbieters online zu akzeptieren?

Formal ja, wenn er die Anforderungen des Art. 28 DSGVO erfüllt. Sie bleiben aber verantwortlich dafür, nur Anbieter mit hinreichenden Garantien auszuwählen. Prüfen Sie den Inhalt – insbesondere zu Unterauftragsverarbeitern und Drittländern.

Was droht ohne AV-Vertrag?

Ein fehlender oder unzureichender AVV ist ein Verstoß gegen Art. 28 DSGVO, der nach Art. 83 Abs. 4 DSGVO bußgeldbewehrt ist – für beide Seiten.