Die Frage, ob mit einem externen Dienstleister ein Vertrag zur Auftragsverarbeitung (AV-Vertrag oder AVV) erforderlich ist, gehört zu den häufigsten Unsicherheiten im Datenschutzalltag. Die gute Nachricht: Wer die rechtlichen Grundlagen kennt und einige Grundregeln beachtet, kann dieses Thema rechtssicher und pragmatisch lösen.
In diesem Beitrag erfahren Sie:
- wann ein AV-Vertrag verpflichtend ist,
- was genau eine „Auftragsverarbeitung“ ist,
- welche Dienstleister betroffen sind, und welche typischen Fehler Sie vermeiden sollten.
1. Was ist eine Auftragsverarbeitung im Sinne der DSGVO?
Laut Art. 4 Nr. 8 DSGVO liegt eine Auftragsverarbeitung vor, wenn ein externer Dienstleister personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, ohne selbst über die Zwecke und Mittel der Verarbeitung zu entscheiden.
Wichtig: Der Dienstleister handelt weisungsgebunden – er führt aus, was der Auftraggeber vorgibt.
2. AV-Vertrag – Pflicht nach Art. 28 DSGVO
Wenn ein solcher Fall vorliegt, muss ein schriftlicher oder elektronischer AV-Vertrag geschlossen werden. In diesem Vertrag werden unter anderem folgende Punkte geregelt:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Rechte und Pflichten des Verantwortlichen
- technische und organisatorische Maßnahmen (TOMs)
- Weisungsrecht
- Unterauftragsverhältnisse
- Löschung oder Rückgabe der Daten am Ende des Auftrags
Ohne AV-Vertrag ist die Datenverarbeitung unzulässig – und kann als Datenschutzverstoß geahndet werden.
3. Typische Beispiele für Dienstleister mit AV-Vertragspflicht
Hier einige konkrete Anwendungsfälle, in denen zwingend ein AV-Vertrag abgeschlossen werden muss:
| Dienstleister | Warum AV-Vertrag? |
| IT-Dienstleister / Systembetreuung | Hat oft Zugriff auf personenbezogene Daten auf Servern oder Endgeräten |
| Cloud-Anbieter (z. B. Microsoft 365, Google Workspace) | Speichert oder verarbeitet personenbezogene Daten |
| Webhoster | Verwaltet Websites mit Kontaktformularen, Nutzerprofilen o. ä. |
| Newsletter-Tools (z. B. Mailchimp, CleverReach) | Verarbeiten Empfängerdaten im Auftrag des Unternehmens |
| externe Lohnbuchhaltung / Gehaltsabrechnung | Zugriff auf besonders sensible Mitarbeiterdaten |
| externer Aktenvernichter | Vernichtet personenbezogene Daten im Auftrag |
| Callcenter / Helpdesk | Kommuniziert mit Kunden im Namen des Unternehmens |
| Online-Terminbuchungssysteme (z. B. Doctolib, Calendly) | Verarbeitet Kundendaten zur Terminverwaltung |
| Backup- und Wartungsdienstleister | Hat ggf. Einsicht in Datenbestände |
4. Wann kein AV-Vertrag erforderlich ist
Nicht jede Zusammenarbeit mit einem Dienstleister ist automatisch eine Auftragsverarbeitung. Kein AV-Vertrag ist z. B. nötig bei:
- Rechtsanwälten, Steuerberatern, Wirtschaftsprüfern: Sie gelten in der Regel als eigenständig Verantwortliche, da sie ihre Tätigkeit eigenverantwortlich und unabhängig ausüben.
- Paketdiensten / Logistikunternehmen: Diese erhalten Adressdaten zur eigenen Aufgabenerfüllung – keine weisungsgebundene Datenverarbeitung.
- Banken, Versicherungen, Krankenkassen: Auch hier handelt es sich meist um eigene Verantwortliche.
- Werbeagenturen mit kreativer Entscheidungsfreiheit: Wenn sie eigene Inhalte und Zielgruppen bestimmen.
Tipp: Im Zweifel prüfen, ob der Dienstleister nur Hilfsfunktion übernimmt oder eigene Entscheidungskompetenz hat.
5. Häufige Fehler in der Praxis
- Vertrag vergessen: Viele Unternehmen vergessen, beim Dienstleisterwechsel oder bei einmaligen Projekten einen AVV zu schließen.
- Kein echter Auftragsverarbeiter: AV-Verträge werden manchmal unnötig mit eigenverantwortlichen Partnern geschlossen.
- Vertrag nicht geprüft: Vorformulierte AV-Verträge internationaler Anbieter (z. B. US-Clouddienste) genügen oft nicht den DSGVO-Anforderungen – insbesondere bei Datenübermittlungen in Drittländer.
- Fehlende Dokumentation: Der AV-Vertrag sollte nachweisbar vorhanden sein – für interne Audits oder Prüfungen durch die Aufsichtsbehörde.
6. Was gehört zur Umsetzung in der Praxis?
- Liste aller Auftragsverarbeiter führen (z. B. als Anlage zum Verzeichnis von Verarbeitungstätigkeiten)
- AV-Verträge systematisch einholen und archivieren
- TOMs des Dienstleisters prüfen (Verschlüsselung, Zugriffskontrolle etc.)
- Dienstleister regelmäßig prüfen, insbesondere bei sensiblen Daten
Fazit
Ein AV-Vertrag ist kein bürokratisches Übel, sondern ein gesetzlich vorgeschriebener Schutzmechanismus für die Betroffenenrechte und die Rechtssicherheit Ihres Unternehmens. Wer mit personenbezogenen Daten arbeitet, kommt an der sauberen vertraglichen Regelung nicht vorbei.
Tipp zum Schluss: Prüfen Sie Ihre Dienstleisterliste – gerne unterstützen wir Sie bei der Bewertung, ob eine Auftragsverarbeitung vorliegt, und stelle rechtssichere Vertragsmuster zur Verfügung
