30. Juli 2026
Auftragsverarbeitungsvertrag-Muster
Kurz gesagt: Ein Auftragsverarbeitungsvertrag (AVV) ist eine nach Artikel 28 DSGVO vorgeschriebene Vereinbarung zwischen einem Verantwortlichen und einem Auftragsverarbeiter, die die weisungsgebundene Verarbeitung personenbezogener Daten regelt. Er ist immer dann nötig, wenn ein Dienstleister – etwa ein Cloud-Anbieter oder IT-Dienstleister – in Ihrem Auftrag Daten verarbeitet. Der Vertrag muss unter anderem Gegenstand, Dauer, technische und organisatorische Maßnahmen (TOMs), Verschwiegenheitspflichten und Meldefristen bei Datenpannen regeln.
Wenn Sie jemanden mit der Verarbeitung von Daten beauftragen, muss in der Regel ein Auftragsverarbeitungsvertrag (AVV) geschlossen werden. Wir verraten Ihnen alles, was Sie wissen müssen und wie Sie einen individuellen Mustervertrag erstellen können.
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag, auch AV-Vertrag oder kurz AVV genannt, ist eine vertragliche Vereinbarung zur Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch einen Auftragnehmer im Auftrag des Auftraggebers (auch Verantwortlicher genannt). Personenbezogene Daten werden dabei an einen Dienstleister übermittelt, der diese weisungsgebunden verarbeitet.
Die gesetzliche Grundlage ist Art. 28 DSGVO. Der Auftragsverarbeiter ist in Art. 4 Nr. 8 DSGVO definiert als natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche wiederum ist nach Art. 4 Nr. 7 DSGVO diejenige Stelle, die allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet.
Entscheidend ist die strenge Weisungsgebundenheit: Der Auftragnehmer trifft keine eigenen Entscheidungen im Umgang mit den Daten, sondern setzt nur die Weisungen des Auftraggebers um – er ist sozusagen der "verlängerte Arm" des Auftraggebers (vergleichbar mit dem Erfüllungsgehilfen nach § 278 S. 1 BGB).
Was muss ein Auftragsdatenverarbeitungsvertrag beinhalten?
Ein AV-Vertrag muss mindestens folgende Punkte schriftlich festhalten:
- Auftraggeber und Auftragnehmer namentlich benennen
- Gegenstand, Dauer und Ort der Leistungserbringung (bei Auslandstätigkeit: Art. 44 DSGVO beachten)
- Art und Zweck der Verarbeitung nach Art. 4 Nr. 2 DSGVO sowie die betroffenen Datenkategorien und Personengruppen
- Verantwortlicher und Weisungsbefugnis nach Art. 28 und Art. 4 Nr. 7 DSGVO
- Verschwiegenheitsverpflichtung für den Auftragnehmer und dessen Mitarbeitende
- Sicherheit der Verarbeitung nach Art. 32 DSGVO – die sogenannten technischen und organisatorischen Maßnahmen (TOMs), die üblicherweise als eigene Anlage zum Vertrag beigefügt werden
- Subunternehmer, die der Auftragnehmer einsetzt, als gesonderte Anlage
- Mitteilungspflicht bei Störungen und Verletzungen nach Art. 33 und 34 DSGVO – inklusive der 72-Stunden-Meldefrist, die der Verantwortliche gegenüber der Aufsichtsbehörde einhalten muss
- Verpflichtung zur Datenlöschung nach Vertragsende bzw. eine Regelung zum Umgang mit den Daten (z. B. Rückgabe an den Verantwortlichen)
Mit DSM-Online lässt sich ein solcher AV-Vertrag – sowohl als Auftraggeber als auch als Auftragnehmer – schnell, einfach und strukturiert erstellen. TOMs werden dabei automatisch in einer gesonderten Anlage aufgelistet.
Optimieren Sie im Handumdrehen Ihren Datenschutz!
DSM-Online jetzt 14 Tage kostenlos & unverbindlich testen.
Wann muss ein Auftragsverarbeitungsvertrag geschlossen werden?
Ein Auftragsverarbeitungsvertrag ist immer dann nötig, wenn zwei Voraussetzungen zusammen vorliegen: Der Auftragnehmer verarbeitet personenbezogene Daten, die ihm der Auftraggeber zur Verfügung gestellt hat, und er tut dies in strenger Weisungsgebundenheit, ohne eigene Entscheidungen zu treffen.
Beispiele, bei denen es sich um eine Auftragsverarbeitung handelt:
- IT-Wartung und Fernzugriff des IT-Dienstleisters
- Buchhaltung durch Rechenzentren
- Cloud-Computing
- Werbeadressenverarbeitung durch einen Lettershop
- Datenträgerentsorgung durch Dienstleister
- Shared-Services-Dienstleistungen innerhalb eines Konzerns
- DSM-Online als Datenschutzmanagement-Software
Keine Auftragsverarbeitung liegt dagegen vor bei:
- Dienstleistern, die Berufsgeheimnisträger sind (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer)
- Inkassobüros
- Bankinstituten für Geldtransfer
- Postdiensten für den Brieftransport
Betrifft mich das? Direkt ausprobieren →
Oder lieber erst zeigen lassen?
Wie unterstützt DSM-Online bei der Erstellung des AVV?
Häufige Fragen zum Auftragsverarbeitungsvertrag
Ist ein Auftragsverarbeitungsvertrag immer verpflichtend? Ja, immer dann, wenn ein Dienstleister in Ihrem Auftrag personenbezogene Daten weisungsgebunden verarbeitet – etwa bei Cloud-Diensten, IT-Support oder Lettershop-Werbung. Bei Dienstleistern, die eigenverantwortlich handeln, wie Steuerberatern oder Rechtsanwälten, ist dagegen kein AVV nötig.
Was passiert, wenn kein Auftragsverarbeitungsvertrag geschlossen wird? Ein fehlender AVV verstößt gegen Art. 28 DSGVO und das BDSG. Solche Verstöße fallen unter Art. 83 Abs. 4 DSGVO und können mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Muss der AVV vor Beginn der Datenverarbeitung vorliegen? Ja. Der Auftragsverarbeitungsvertrag sollte vor Beginn der Datenverarbeitung geschlossen werden, da die Verarbeitung ohne einen gültigen Vertrag nicht rechtmäßig ist.
Wer unterschreibt den Auftragsverarbeitungsvertrag? Der Vertrag wird zwischen dem Verantwortlichen (Auftraggeber) und dem Auftragsverarbeiter (Auftragnehmer) geschlossen. Beide Parteien sind verpflichtet, die vereinbarten Inhalte – insbesondere die TOMs – auch tatsächlich umzusetzen.
Haben Sie weitere Fragen oder benötigen Unterstützung?
DSM-Online hilft Ihnen nicht nur bei der Organisation Ihres Datenschutzes, der Definition Ihrer technischen und organisatorischen Maßnahmen, der Datenschutz-Folgenabschätzung, sondern auch bei der Verwaltung von Betroffenenrechten und Verletzungen, dem Erstellen von Hinweispflichten und vielem mehr.
Ähnliche Artikel im Ratgeber
Der jährliche Tätigkeitsbericht des Datenschutzbeauftragten
Ratgeber Der jährliche Tätigkeitsbericht des Datenschutzbeauftragten Der Datenschutzbeauftrage sollte mindestens einmal jährlich einen Tätigkeitsbericht erstellen. Mit diesem…
Datenschutzvergehen
Ratgeber Datenschutzvergehen Datendiebstahl, Datenklau, Datenmanipulation. Was Sie tun müssen! DSM-Online kostenlos testen Was ist eine Datenschutzverletzung und…
HINWEISGEBERSYSTEM – „Speak-Up“-Kultur für das Unternehmen!
Ratgeber HINWEISGEBERSYSTEM – „Speak-Up“-Kultur für das Unternehmen! Welche Bedenken haben Mitarbeiter, dass sie Fehlverhalten oder Missstände im…