Auftragsverarbeitung: AVV einfach erklärt

Sie nutzen einen Newsletter-Dienst. Oder einen Cloud-Speicher. Oder ein Buchhaltungsprogramm. Oder einen Webhosting-Anbieter. In all diesen Fällen geben Sie personenbezogene Daten in die Hände eines externen Dienstleisters – und das hat datenschutzrechtliche Konsequenzen.

Sie müssen einen Auftragsverarbeitungsvertrag (AVV) abschließen. Er ist in der DSGVO klar geregelt, wird in der Praxis aber häufig vergessen, ignoriert oder falsch verstanden. Dieser Artikel erklärt, wann Sie einen AVV brauchen, welche Inhalte er haben muss – und wie Sie den AVV praktisch angehen.

⚠️ Wichtig: Dieser Artikel gibt einen Überblick, ersetzt aber keine Rechtsberatung im Einzelfall.

1. Was Auftragsverarbeitung bedeutet

📝 Definition: Auftragsverarbeitung bezeichnet die Konstellation, in der ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet – ohne eigene Entscheidungshoheit über den Zweck der Verarbeitung. Der Auftraggeber bleibt datenschutzrechtlich verantwortlich.

Das klingt abstrakt, ist es aber nicht. Auftragsverarbeitung liegt vor, wenn Sie ein Newsletter-Tool nutzen, das die E-Mail-Adressen Ihrer Abonnenten speichert. Oder wenn Ihr Webhosting-Anbieter Server-Logs erstellt, die IP-Adressen Ihrer Website-Besucher enthalten. Oder wenn Ihre Buchhaltungssoftware Kundendaten verwaltet, die auf den Servern des Anbieters liegen.

🔭 Hinweis: Nicht jede Datenweitergabe an externe Dienstleister ist eine Auftragsverarbeitung. Wenn ein Steuerberater Ihre Buchführung erstellt, handelt er eigenverantwortlich – er entscheidet selbst, wie er die Daten im Rahmen seiner Berufsausübung verarbeitet. Wenn ein Druckerei-Dienstleister für Sie Briefe mit Kundenadressen druckt und dabei die Daten nur für diesen Auftrag nutzt, ist das hingegen Auftragsverarbeitung. Die Abgrenzung ist im Einzelfall manchmal schwierig, es haben sich aber typische Fallkonstellationen herausgebildet, in denen klar mittlerweile ist, ob eine Auftragsverarbeitung vorliegt oder nicht.

Ohne Auftragsverarbeitungsvertrag ist die Datenübermittlung an einen externen Dienstleister in vielen Fällen nicht rechtmäßig – weil die DSGVO in Art. 28 ausdrücklich vorschreibt, dass Auftragsverarbeitungen durch einen Vertrag geregelt sein müssen.

Das bedeutet: Wer personenbezogene Daten an einen Auftragsverarbeiter übergibt, ohne einen AVV abgeschlossen zu haben, verstößt gegen die DSGVO — unabhängig davon, wie gut der Dienstleister tatsächlich mit den Daten umgeht.

⚠️ Wichtig: Der AVV schützt nicht nur Sie als Auftraggeber – er schützt auch die betroffenen Personen, deren Daten verarbeitet werden. Das ist der Grund, warum er gesetzlich vorgeschrieben ist und nicht als Formalität behandelt werden sollte.

2. Wann Sie einen AVV brauchen

2.1 Die Grundvoraussetzungen

Ein AVV ist immer dann notwendig, wenn diese drei Bedingungen alle erfüllt sind:

1. Ein externer Dienstleister verarbeitet personenbezogene Daten in Ihrem Auftrag
2. Der Dienstleister hat keine eigene Entscheidungshoheit über den Verarbeitungszweck
3. Die Verarbeitung erfolgt nicht aufgrund einer eigenen gesetzlichen Pflicht des Dienstleisters

2.2 Typische Auftragsverarbeiter für Selbständige und Unternehmer

Typischen Auftragsverarbeiter sind zum Beispiel:

• Webhosting-Anbieter (alle, von All-Inkl. über IONOS bis Strato oder Hetzner)
• Newsletter-Dienste (Mailchimp, MailerLite, Brevo, CleverReach)
• Cloud-Speicher (Dropbox, Google Drive, Microsoft OneDrive)
• CRM-Systeme (HubSpot, Pipedrive, Brevo CRM)
• Buchhaltungssoftware (Lexoffice, sevDesk, DATEV)
• Analyse-Tools (Google Analytics, Matomo, Fathom)
• Videokonferenz-Software (Zoom, Microsoft Teams, Google Meet)
• Formular-Anwendungen (Typeform, JotForm)
• Terminbuchungssoftware (Calendly, Acuity)
• E-Commerce-Plattformen (WooCommerce mit Zahlungsanbieter, Shopify, Digistore24).

🧩 Beispiel: Ein Unternehmensberater nutzt für sein Geschäft Hetzner (Hosting), MailerLite (Newsletter), Lexoffice (Buchhaltung), Zoom (Kundengespräche), Google Drive (Dateiablage) und Calendly (Terminbuchung). Das sind sechs Auftragsverarbeiter, mit denen er einen AVV abschließen muss – oder zumindest prüfen muss, ob einer vorliegt.

2.3 Wann kein AVV notwendig ist

Kein AVV ist notwendig, wenn der externe Dienstleister keinen Zugriff auf personenbezogene Daten hat – zum Beispiel ein Druckerei-Dienstleister, dem Sie eine fertige Datei ohne personenbezogene Daten zur Verarbeitung übergeben. Ebenfalls kein AVV ist nötig bei Dienstleistern, die als eigenverantwortliche Verantwortliche handeln – zum Beispiel ein Steuerberater, eine Anwaltskanzlei oder eine Bank.

📝 Definition: Eigenverantwortlicher Verantwortlicher ist ein Dienstleister, der die Zwecke und Mittel der Datenverarbeitung selbst bestimmt – und damit datenschutzrechtlich eigenverantwortlich handelt, nicht im Auftrag des Kunden.

3. Was in einem AVV stehen muss

Der Inhalt eines Auftragsverarbeitungsvertrags ist durch Art. 28 Abs. 3 DSGVO geregelt. Pflichtinhalte sind:

• Gegenstand und Dauer der Verarbeitung – was wird verarbeitet und wie lange
• Art und Zweck der Verarbeitung – welche Verarbeitungsvorgänge finden statt und wozu
• Art der personenbezogenen Daten – zum Beispiel E-Mail-Adressen, Namen, IP-Adressen
• Kategorien betroffener Personen – zum Beispiel Kunden, Website-Besucher, Newsletter-Abonnenten
• Pflichten und Rechte des Verantwortlichen, also Ihre Rechte und Pflichten als Auftraggeber
• Pflichten und Rechte des Auftragsverarbeiters – insbesondere: Datenverarbeitung nur nach Weisung
• gegebenenfalls eine Vertraulichkeitsverpflichtung der Mitarbeitenden
• Angaben zu den technischen und organisatorischen Schutzmaßnahmen (sogenannte TOM)
• Unterstützung bei der Wahrnehmung von Betroffenenrechten
• Löschung oder Rückgabe der Daten nach Ende des Auftrags
• Meldepflicht bei Datenpannen
• Regelungen zu Unterauftragsverarbeitern – ob und unter welchen Bedingungen der Auftragsverarbeiter seinerseits weitere Dienstleister einsetzen darf

💡 Tipp: Sie müssen AVV-Texte nicht selbst schreiben. Seriöse Dienstleister stellen den AVV von sich aus bereit – als fertig ausgefülltes Dokument, das Sie nur noch annehmen müssen. Ihre Aufgabe ist es zu prüfen, ob der vorgelegte AVV die Mindestinhalte enthält – und ihn abzuschließen.

4. Wie Sie den AVV praktisch abschließen

4.1 AVV beim Anbieter finden

Große, seriöse Anbieter – Brevo, MailerLite, Hetzner, IONOS und andere – stellen ihren AVV in den Kontoeinstellungen oder als gesonderten Vertrag in ihrer Datenschutzdokumentation bereit. Oft ist er unter Bezeichnungen wie „Datenverarbeitungsvertrag“, „Data Processing Agreement (DPA)“ oder „Auftragsverarbeitungsvertrag“ zu finden.

🧩 Beispiel: Bei Google (für Google Analytics, Google Drive, Google Workspace) findet sich der Auftragsverarbeitungsvertrag in den Kontoeinstellungen unter „Datenschutz & Sicherheit“, dort unter „Datenverarbeitungsvertrag“. Die konkreten Pfade ändern sich gelegentlich – suchen Sie im Konto nach „DPA“, „AVV“ oder „Datenverarbeitung“.

4.2 Was, wenn der Anbieter keinen AVV anbietet?

Wenn ein Anbieter keinen AVV anbietet oder bereitstellt, ist das ein ernstes Warnsignal. Entweder versteht der Anbieter seine Pflichten nicht – oder er möchte die Einschränkungen eines AVV nicht akzeptieren. Beides ist für Sie als in Deutschland ansässiger Unternehmer problematisch.

Kontaktieren Sie in einem solchen Fall den Anbieter direkt und fordern Sie einen AVV an. Wenn der Anbieter keinen abschließen will, sollten Sie überdenken, ob Sie diesen Anbieter tatsächlich einsetzen wollen. Denn das Risiko, wegen eines fehlenden AVV Ärger mit der Datenschutzaufsichtsbehörde zu bekommen, liegt alleine bei Ihnen; Sie können sich nicht darauf berufen, dass der Anbieter keinen AVV abschließen wollte. Weichen Sie in solchen Fällen besser auf einen Anbieter aus, der einen AVV anbietet.

4.3 Dokumentation und Aufbewahrung

Abgeschlossene AVV sollten sorgfältig dokumentiert und aufbewahrt werden – digital oder in Papierform. Im Fall einer Datenschutzprüfung oder Anfrage einer Aufsichtsbehörde müssen Sie nachweisen können, dass Sie mit allen Ihren Auftragsverarbeitern einen AVV abgeschlossen haben.

Eine einfache Tabelle genügt: Anbieter, Beschreibung der Verarbeitung, Datum des AVV-Abschlusses, Fundort des Dokuments (Link oder Dateiname).

5. AVV und Drittlandübertragungen: Der besondere Fall der US-Anbieter

Viele der gängigsten Dienstleister – Google, Mailchimp, Zoom, Dropbox – haben ihren Hauptsitz in den USA. Das macht die Situation datenschutzrechtlich komplexer.

📝 Definition: Drittlandübertragung bezeichnet die Übertragung personenbezogener Daten in ein Land außerhalb der EU und des EWR. Solche Übertragungen bedürfen einer besonderen Rechtsgrundlage nach Art. 44 ff. DSGVO.

5.1 Das EU-US Data Privacy Framework

Seit Juli 2023 gibt es das EU-US Data Privacy Framework (DPF) – ein Abkommen zwischen der EU und den USA, das Datentransfers zwischen europäischen und US-amerikanischen Unternehmen auf eine sichere Rechtsgrundlage stellt. Voraussetzung: Die US-Unternehmen müssen sich nach dem DPF zertifizieren lassen, also nachweisen, dass sie bestimmte datenschutzrechtliche Standards einhalten. Die meisten großen US-Anbieter (Google, Meta, Mailchimp, Zoom) sind mittlerweile DPF-zertifiziert.

Für Sie als Nutzer bedeutet das: Die Drittlandübertragung personenbezogener Daten an DPF-zertifizierte US-Anbieter ist rechtmäßig.

💡 Tipp: Prüfen Sie für jeden US-Anbieter, den Sie nutzen, ob er unter dem EU-US Data Privacy Framework zertifiziert ist. Die offizielle Liste finden Sie unter dataprivacyframework.gov. Diese Prüfung und ihr Ergebnis sollten Sie in Ihrer Dokumentation festhalten.

5.2 Standardvertragsklauseln als Alternative

Wenn ein US-Anbieter nicht DPF-zertifiziert ist oder in einem Drittland außerhalb der USA sitzt, kann die Drittlandübertragung alternativ auf sogenannte Standardvertragsklauseln (SCC – Standard Contractual Clauses) gestützt werden. Sie werden von der Europäischen Kommission herausgegeben und dienen als geeignete Garantien, um personenbezogene Daten rechtskonform in Drittländer außerhalb der EU/EWR zu übermitteln.