Ein Cloudanbieter soll künftig die Lohn- und Gehaltsabrechnung übernehmen, ein externes Rechenzentrum die Kundendatenbank hosten, ein Marketingdienstleister E-Mail-Kampagnen versenden. In jedem dieser Fälle stellt sich dieselbe Frage: Ist ein Auftragsverarbeitungsvertrag erforderlich – und wenn ja, was muss er enthalten?
Nach Art. 28 DSGVO ist der Abschluss eines schriftlichen Auftragsverarbeitungsvertrags (AVV) immer dann Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet. Ein fehlender oder inhaltlich unzureichender AVV begründet eine eigenständige Datenschutzverletzung, die nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden kann – unabhängig davon, ob tatsächlich ein Datenschutzvorfall eingetreten ist. Für Geschäftsführer im Mittelstand bedeutet das: Die ordnungsgemäße Gestaltung des AVV ist keine Formalität, sondern eine eigenständige Compliance-Pflicht mit persönlicher Haftungsrelevanz.
Das folgende FAQ-Dossier beantwortet die drängendsten Praxisfragen rund um den Auftragsverarbeitungsvertrag – von der Abgrenzungsfrage über die Mindestinhalte bis zur Kontrolle von Subdienstleistern.
Was ist ein Auftragsverarbeitungsvertrag und wann ist er zwingend erforderlich?
Der Auftragsverarbeitungsvertrag (AVV) ist das vertragliche Instrument, mit dem ein Verantwortlicher – im Mittelstand typischerweise das verarbeitende Unternehmen – einem Auftragsverarbeiter die Bedingungen vorgibt, unter denen dieser personenbezogene Daten verarbeiten darf. Die Pflicht ergibt sich unmittelbar aus Art. 28 Abs. 3 DSGVO und duldet keine Ausnahmen.
Auslösender Tatbestand ist stets, dass ein externer Dienstleister personenbezogene Daten verarbeitet, ohne selbst über den Zweck der Verarbeitung zu entscheiden. Die klassischen Konstellationen im Mittelstand sind Lohnbuchhaltungs-Software-as-a-Service, Cloud-Hosting, Newsletterversand, IT-Fernwartung, Aktenvernichtung sowie externe Call-Center. Fehlt der AVV in einem dieser Verhältnisse, liegt bereits ein bußgeldbewehrter Verstoß vor – nicht erst dann, wenn Daten tatsächlich missbraucht werden.
Nicht jede Datenübermittlung begründet eine Auftragsverarbeitung. Erhält ein Dienstleister Daten, um sie für eigene Zwecke zu nutzen – etwa ein Inkassounternehmen, das Forderungen auf eigene Rechnung geltend macht –, handelt er als eigenständig Verantwortlicher. In diesem Fall ist kein AVV, sondern eine andere Rechtsgrundlage für die Übermittlung erforderlich. Diese Abgrenzung ist in der Praxis häufig umstritten; im Zweifel empfiehlt sich eine anwaltliche Prüfung.
Welche Mindestinhalte muss ein AVV nach Art. 28 DSGVO zwingend enthalten?
Art. 28 Abs. 3 DSGVO enthält einen abschließenden Katalog von Regelungspunkten, die jeder AVV aufweisen muss. Ein Formularvertrag des Dienstleisters, der einzelne Punkte auslässt, ist datenschutzrechtlich unzureichend – auch wenn er ausdrücklich als „DSGVO-konformer AVV" bezeichnet wird.
Folgende Mindestinhalte sind gesetzlich vorgeschrieben:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Art der personenbezogenen Daten und Kategorien betroffener Personen (Art. 28 Abs. 3 S. 2 lit. a–b DSGVO).
- Weisungsgebundenheit des Auftragsverarbeiters: Er verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 S. 2 lit. a DSGVO).
- Vertraulichkeitspflicht der mit der Datenverarbeitung befassten Personen (lit. b).
- Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO: konkret und nachprüfbar, nicht nur pauschal versichert (lit. c).
- Unterauftragnehmer-Regelung: ob und unter welchen Bedingungen Subdienstleister eingesetzt werden dürfen (lit. d).
- Unterstützungspflichten bei Betroffenenrechten sowie beim Verzeichnis von Verarbeitungstätigkeiten und Datenschutz-Folgenabschätzung (lit. e–f).
- Lösch- oder Rückgabepflicht der Daten nach Vertragsende (lit. g).
- Kontrollrechte des Verantwortlichen einschließlich Auditrechte und Mitwirkungspflichten des Auftragsverarbeiters (lit. h).
In der Mandatspraxis sehen wir regelmäßig AVV-Entwürfe, in denen die TOM nur als Verweis auf eine externe Sicherheitsdokumentation ausgestaltet sind. Das ist zulässig, sofern die verwiesene Anlage tatsächlich konkrete Maßnahmen benennt und vertraglich verbindlich einbezogen wird. Fehlt die Anlage oder ist sie inhaltsleer, liegt ein Mangel vor.
Muss der AVV schriftlich sein – und genügt eine elektronische Form?
Art. 28 Abs. 3 DSGVO verlangt, dass der AVV „schriftlich" erfolgt, wozu nach Art. 28 Abs. 9 DSGVO ausdrücklich auch ein elektronisches Format genügt. E-Mail-Korrespondenz, PDF-Dokumente mit digitaler Signatur oder selbstverwaltete Vertragsplattformen sind datenschutzrechtlich akzeptabel, sofern der Inhalt vollständig, identifizierbar und unveränderlich dokumentiert ist.
Problematisch sind Click-Through-Prozesse, bei denen der AVV lediglich durch Setzen eines Häkchens in einem Online-Portal „akzeptiert" wird, ohne dass das Unternehmen eine lesbare Ausfertigung erhält und dauerhaft speichern kann. Kann das Unternehmen im Prüfungsfall gegenüber der zuständigen Datenschutzaufsichtsbehörde nicht nachweisen, welchen Inhalt der AVV hatte, greift eine Beweislastumkehr zulasten des Verantwortlichen.
Nach unserer Erfahrung empfiehlt sich daher stets die Dokumentation in einer revisionssicheren Ablage, idealerweise verknüpft mit dem Lieferantenmanagement-System des Unternehmens. Eine bloß mündliche Absprache – etwa per Videokonferenz – genügt den Anforderungen von Art. 28 Abs. 9 DSGVO nicht.
Was gilt für Subdienstleister des Auftragsverarbeiters?
Schaltet der Auftragsverarbeiter seinerseits externe Dienstleister ein, die Zugriff auf die personenbezogenen Daten erhalten, entsteht eine Kette: Der Sub-Auftragsverarbeiter unterliegt nach Art. 28 Abs. 4 DSGVO denselben Datenschutzpflichten wie der Auftragsverarbeiter im Verhältnis zum Verantwortlichen. Diese Pflicht ist auf den Auftragsverarbeiter zu übertragen – per separatem AVV zwischen Auftragsverarbeiter und Subdienstleister.
Für den Verantwortlichen im Mittelstand ist entscheidend: Er muss dem Einsatz von Subdienstleistern entweder generell oder im Einzelfall zustimmen. Viele Standardverträge großer Cloud-Anbieter sehen eine sogenannte Listengenehmigung vor – der Verantwortliche genehmigt pauschal die auf einer Webseite gepflegten Subdienstleister-Listen und wird bei Änderungen benachrichtigt, ohne dass er jede einzelne Änderung aktiv abnicken muss. Dieses Verfahren ist datenschutzrechtlich anerkannt, sofern dem Verantwortlichen ein echtes Widerspruchsrecht eingeräumt wird.
Macht ein Unternehmen von seinem Widerspruchsrecht keinen Gebrauch und wird infolgedessen ein neuer Subdienstleister eingesetzt, bleibt die datenschutzrechtliche Verantwortung beim Verantwortlichen. Es empfiehlt sich daher, die Subdienstleister-Benachrichtigungen aktiv zu verfolgen und intern zu prüfen, ob ein Widerspruch angezeigt ist.
Wie müssen technische und organisatorische Maßnahmen (TOM) im AVV beschrieben werden?
Die Beschreibung der TOM ist der inhaltlich anspruchsvollste Teil des AVV. Art. 32 DSGVO gibt den allgemeinen Rahmen vor: Maßnahmen müssen dem Stand der Technik entsprechen, risikoadäquat sein und die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitungssysteme gewährleisten.
Im AVV selbst müssen die TOM hinreichend konkret beschrieben sein – nicht in Form pauschaler Zusicherungen wie „Der Auftragsverarbeiter wendet angemessene Sicherheitsmaßnahmen an", sondern in nachvollziehbaren technischen Kategorien. Gängige Gliederungen orientieren sich an den Schutzzielen und umfassen Zutrittskontrolle (physische Sicherheit der Rechenzentren), Zugangskontrolle (Authentifizierungsverfahren), Zugriffskontrolle (Berechtigungskonzepte), Weitergabekontrolle (Verschlüsselung bei Übertragung), Eingabekontrolle (Protokollierung), Auftragskontrolle (Weisungsbindung), Verfügbarkeitskontrolle (Backup-Konzepte) und Trennungsgebot (Mandantentrennung bei Multi-Tenant-Systemen).
Für den Verantwortlichen ist von Bedeutung: Er muss die TOM nicht nur entgegennehmen, sondern im Rahmen seiner Kontrollpflicht nach Art. 28 Abs. 3 lit. h DSGVO auch prüfen. Diese Prüfung muss nicht zwingend durch einen Vor-Ort-Audit erfolgen; anerkannte Zertifizierungen wie ISO/IEC 27001, SOC 2 Type II oder Testate nach IDW PS 951 können als Nachweis anerkannt werden – sofern sie aktuell sind und den konkreten Verarbeitungsbereich abdecken.
Was ist bei internationalen Datenübermittlungen außerhalb des EWR zu beachten?
Setzt ein Auftragsverarbeiter Subdienstleister mit Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) ein – etwa Serverkapazitäten in den USA, Indien oder anderen Drittstaaten –, tritt neben den AVV eine eigenständige Übermittlungsgrundlage nach Kapitel V DSGVO. Der AVV allein genügt dann nicht.
In der Praxis gebräuchlich sind vor allem die von der EU-Kommission verabschiedeten Standardvertragsklauseln (SCC, Beschluss 2021/914), die in ihrer Modulstruktur auch die Auftragsverarbeiterkette abbilden (Modul 3: Auftragsverarbeiter zu Auftragsverarbeiter). Ergänzend ist stets ein Transfer Impact Assessment (Übertragungsfolgenabschätzung) durchzuführen, das das Datenschutzniveau im Empfängerland bewertet.
Für den Mittelstand relevant: Auch die Nutzung von US-Anbietern, die dem EU-US Data Privacy Framework (DPF, seit Juli 2023 in Kraft) unterliegen, ist zulässig – allerdings nur für solche Verarbeitungsvorgänge, für die der jeweilige Anbieter tatsächlich DPF-zertifiziert ist. Diese Zertifizierung muss im konkreten Dienstleistungsbereich vorliegen und ist regelmäßig zu überprüfen, da sie jährlich zu erneuern ist. In der Mandatspraxis begegnet uns häufig die Annahme, DPF-Zertifizierung gelte automatisch für das gesamte Leistungsportfolio eines Anbieters – das ist unzutreffend.
Welche Haftung trifft den Geschäftsführer persönlich, wenn kein AVV besteht?
Die persönliche Haftung des Geschäftsführers bei fehlendem AVV ergibt sich auf mehreren Ebenen. Datenschutzrechtlich haftet primär das Unternehmen als Verantwortlicher nach Art. 83 DSGVO. Bußgeldadressat ist in Deutschland nach § 41 BDSG regelmäßig die juristische Person; eine direkte persönliche Bußgeldhaftung der Geschäftsführung sieht die DSGVO nicht zwingend vor.
Gleichwohl tragen Geschäftsführer einer GmbH eine organschaftliche Pflicht, im Unternehmen ein funktionierendes Datenschutz-Compliance-System einzurichten. Kommt es infolge eines fehlenden AVV zu einem Datenschutzvorfall, der dem Unternehmen zugerechnet wird, kann die Geschäftsführung im Innenverhältnis nach § 43 GmbHG haftbar gemacht werden – und zwar sowohl für den Bußgeldbetrag selbst als auch für etwaige zivilrechtliche Schadensersatzansprüche Betroffener nach Art. 82 DSGVO.
Hinzu kommt: Aufsichtsbehörden fordern zunehmend Nachweise über systematisches Vertragsmanagement. Wer im Prüfungsfall kein aktuelles Verzeichnis seiner Auftragsverarbeitungsverträge vorlegen kann, gerät in eine Darlegungsnotlage, die die Bußgeldbemessung negativ beeinflusst. Nach unserer Erfahrung werden Unternehmen, die ein dokumentiertes Vertragsmanagement nachweisen können, selbst bei einzelnen Vertragsmängeln behördlich deutlich milder behandelt als solche, die keinerlei Systemansatz verfolgen.
Wie unterscheidet sich der AVV von einer gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO?
Die Abgrenzung zwischen Auftragsverarbeitung (Art. 28 DSGVO) und gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) ist in der Praxis eine der häufigsten Fehlerquellen. Gemeinsame Verantwortlichkeit liegt vor, wenn zwei oder mehr Stellen gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden – ohne dass eine dieser Stellen ausschließlich auf Weisung der anderen handelt.
Typische Beispiele im Mittelstand sind gemeinsame Fanpages auf Social-Media-Plattformen (der EuGH hat in einem grundlegenden Urteil die gemeinsame Verantwortlichkeit zwischen Seitenbetreiber und Plattformbetreiber bejaht), gemeinsame Marketingaktionen mehrerer Gruppengesellschaften sowie Verbundanfragen in Finanzierungskonsortialsituationen. In diesen Fällen ist kein AVV, sondern eine Vereinbarung nach Art. 26 DSGVO erforderlich, die insbesondere regelt, welche Stelle gegenüber betroffenen Personen als Anlaufstelle fungiert.
Wird fälschlicherweise ein AVV abgeschlossen, obwohl Art. 26 DSGVO anwendbar wäre – oder umgekehrt –, liegt ein eigenständiger Compliance-Verstoß vor. Die Rechtsgrundlage der Verarbeitung wird dadurch nicht geheilt; es fehlt vielmehr am vorgeschriebenen Rechtsinstrument. Wir empfehlen Geschäftsführern, diese Frage bei jedem neuen Dienstleistungsverhältnis mit Datenbezug aktiv zu prüfen, bevor der Vertrag in Vollzug gesetzt wird.
Welche Kontrollpflichten bestehen gegenüber dem Auftragsverarbeiter laufend?
Die Pflicht zur Vorabprüfung des Auftragsverarbeiters nach Art. 28 Abs. 1 DSGVO endet nicht mit dem Vertragsschluss. Verantwortliche sind gehalten, sich regelmäßig von der Einhaltung der vereinbarten TOM zu überzeugen. Diese laufende Kontrollpflicht ist kein bürokratischer Selbstzweck: Im Fall eines Datenschutzvorfalls prüft die Aufsichtsbehörde, ob der Verantwortliche seiner Sorgfaltspflicht nachgekommen ist.
In der Praxis ist eine vollständige Prüfung durch Vor-Ort-Audits bei jedem Dienstleister für den Mittelstand organisatorisch kaum darstellbar. Anerkannte Alternativen sind die jährliche Einholung aktueller Zertifizierungsnachweise (ISO 27001, SOC 2), die Auswertung von Prüfberichten Dritter, Fragebögen zur Selbstauskunft sowie stichprobenartige Prüfungen bei kritischen Dienstleistern.
Wichtig ist, dass die Kontrollen dokumentiert werden. Ein Aktenvermerksystem – auch ein einfaches, digital geführtes Kontrollregister – reicht aus, sofern darin Datum, Kontrollmethode, Ergebnis und etwaige Maßnahmen festgehalten sind. Dieses Dokument kann im Prüfungsfall den entscheidenden Unterschied zwischen einer Verwarnung und einem empfindlichen Bußgeld ausmachen.
Was muss beim Vertragsende oder bei einem Anbieterwechsel geschehen?
Mit Beendigung des Auftragsverhältnisses endet die Berechtigung des Auftragsverarbeiters zur Datenverarbeitung. Art. 28 Abs. 3 lit. g DSGVO verpflichtet ihn, nach Wahl des Verantwortlichen alle personenbezogenen Daten entweder zurückzugeben oder zu löschen und bestehende Kopien zu vernichten – es sei denn, eine Rechtspflicht sieht eine längere Aufbewahrung vor.
Diese Pflicht ist im AVV konkret zu operationalisieren: Welche Rückgabe-/Löschfrist gilt? In welchem Format werden Daten zurückgegeben? Welche Subdienstleister sind einzubeziehen? Wer bestätigt schriftlich die vollständige Löschung? Fehlt eine solche Regelung, droht im Anbieterwechsel eine Konstellation, in der personenbezogene Daten faktisch mehrfach vorhanden sind – beim alten und beim neuen Anbieter – ohne hinreichende Rechtsgrundlage.
Für Mittelständler mit mehreren parallel laufenden Auftragsverarbeitungsverträgen empfiehlt sich ein Kündigungskalender, der Fristen für Datenlöschbestätigungen und Vertragsverlängerungsoptionen automatisch anzeigt. In der Mandatspraxis sehen wir, dass gerade der Datenrückgabe-Prozess bei Anbieterwechseln systematisch unterschätzt wird – oft, weil er nicht im operativen Tagesgeschäft sichtbar ist, bis es zu spät ist.
Wie verhalten sich AVV und Auftragsverarbeitungsverzeichnis zueinander?
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO und der AVV nach Art. 28 DSGVO sind zwei eigenständige Compliance-Instrumente, die sich wechselseitig ergänzen. Das Verarbeitungsverzeichnis dokumentiert was im Unternehmen mit personenbezogenen Daten geschieht – einschließlich der Auftragsverarbeiter, die eingesetzt werden. Der AVV regelt wie dieser Einsatz rechtlich gestaltet ist.
In der Praxis bedeutet dies: Jeder eingesetzte Auftragsverarbeiter muss sowohl im Verarbeitungsverzeichnis des Verantwortlichen (Art. 30 Abs. 1 lit. d DSGVO) als auch durch einen gültigen AVV abgedeckt sein. Ein Verarbeitungsverzeichnis ohne zugehörigen AVV ist ein Indiz für einen Verstoß; ein AVV ohne Eintragung im Verzeichnis deutet auf Systemlücken hin.
Aufsichtsbehörden fordern bei Prüfungen regelmäßig beide Dokumente gemeinsam an. Unternehmen, die nur eines der beiden Instrumente gepflegt haben, geraten schnell in Erklärungsnot. Wir empfehlen daher ein integriertes AVV-Management, das beide Dokumente systematisch verknüpft und bei jeder Neubeauftragung synchron fortschreibt.
Welche Besonderheiten gelten für SaaS-Anbieter und Cloud-Dienste?
Software-as-a-Service-Anbieter (SaaS) stellen im Mittelstand die bei weitem häufigste Auftragsverarbeitungskonstellation dar – von der Buchhaltungssoftware über das CRM-System bis zum Videokonferenzdienst. Zugleich sind gerade bei großen Standardanbietern die AVV-Bedingungen oft nicht individuell verhandelbar: Der Anbieter stellt ein standardisiertes AVV-Dokument bereit, das der Verantwortliche entweder akzeptiert oder nicht.
Diese fehlende Verhandelbarkeit entbindet den Verantwortlichen nicht von der Pflicht zu prüfen, ob der Standardvertrag die gesetzlichen Mindestinhalte nach Art. 28 Abs. 3 DSGVO tatsächlich erfüllt. Besondere Aufmerksamkeit verdienen in diesem Kontext: Subdienstleisterlisten, TOM-Beschreibungen, Audit-Rechte (werden sie durch zertifikatsbasierte Nachweise ersetzt oder gänzlich ausgeschlossen?) sowie Löschfristen und Datenformate beim Vertragsende.
Nicht selten enthalten SaaS-AVV-Klauseln, die dem Anbieter weitgehende Eigenrechte an aggregierten Nutzungsdaten einräumen. Solche Klauseln berühren die Abgrenzung zwischen Auftragsverarbeitung und Mitverantwortlichkeit und sollten anwaltlich bewertet werden, bevor der Dienst produktiv eingesetzt wird. Auch die technische Umsetzung – wo liegen die Daten tatsächlich, welche Subdienstleister werden genutzt – muss mit den vertraglichen Zusicherungen übereinstimmen.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen aus der Konsumgüterbranche. Ausgangslage: Das Unternehmen hatte für sein CRM-System einen AVV des Anbieters abgeschlossen, dem eine TOM-Beschreibung fehlte; die einschlägige Subdienstleister-Liste war seit über zwei Jahren nicht aktualisiert worden. Im Zuge einer behördlichen Abfrage der Landesdatenschutzbehörde drohte ein formelles Prüfverfahren. Vorgehen: Die Kanzlei prüfte den AVV gegen die Mindestanforderungen des Art. 28 Abs. 3 DSGVO, verhandelte mit dem Anbieter eine ergänzende Anlage mit aktualisierter TOM-Beschreibung und brachte das Verarbeitungsverzeichnis auf den aktuellen Stand. Ergebnis: Das Prüfverfahren wurde nach Vorlage der dokumentierten Nachbesserungsmaßnahmen eingestellt; das Unternehmen verfügt seither über ein integriertes AVV-Kontrollsystem.
Häufig gestellte Fragen zum Auftragsverarbeitungsvertrag (AVV)
Wann genau ist ein AVV abzuschließen – vor oder nach Aufnahme der Verarbeitung?
Der AVV muss nach Art. 28 Abs. 3 DSGVO vor Aufnahme der Datenverarbeitung vorliegen. Ein nachträglicher Abschluss heilt den Verstoß für den Zeitraum zwischen Verarbeitungsbeginn und Vertragsschluss nicht rückwirkend. In der Praxis empfiehlt es sich, den AVV-Abschluss als integralen Bestandteil des Lieferantenfreigabeprozesses zu verankern – parallel zur Bestellung, nicht danach. Fehlt der Vertrag beim Verarbeitungsstart, liegt bereits eine Pflichtverletzung vor, die im Prüfungsfall gegenüber der Aufsichtsbehörde zu erklären ist.
Können Muster-AVV aus dem Internet verwendet werden?
Muster-AVV können als Ausgangspunkt dienen, ersetzen jedoch keine individuelle Prüfung. Entscheidend ist, ob das Muster alle Mindestinhalte des Art. 28 Abs. 3 DSGVO abdeckt und ob die konkrete Verarbeitungssituation – insbesondere Datenarten, Zweck, Subdienstleister und TOM – korrekt abgebildet ist. Generische Muster ohne individuelle Anlage zur Beschreibung der TOM sind regelmäßig unzureichend. Die zuständige Datenschutzaufsichtsbehörde kann im Prüfungsfall konkrete Nachweise verlangen; ein ausgefülltes Muster ohne substanzielle TOM-Anlage besteht diese Prüfung erfahrungsgemäß nicht.
Muss der AVV aktualisiert werden, wenn sich die Verarbeitung ändert?
Ja. Ändern sich Gegenstand, Zweck, Art der verarbeiteten Daten oder eingesetzte Subdienstleister wesentlich, ist der AVV entsprechend anzupassen. Art. 28 DSGVO gilt laufend; ein einmal abgeschlossener Vertrag, der die tatsächliche Verarbeitungspraxis nicht mehr korrekt abbildet, verfehlt seinen Schutzzweck. In der Praxis empfiehlt sich ein jährlicher Review, bei dem AVV, Verarbeitungsverzeichnis und TOM-Dokumentation auf Aktualität geprüft werden.
Was ist bei einem Auftragsverarbeiter außerhalb der EU ohne Angemessenheitsbeschluss zu tun?
Fehlt ein Angemessenheitsbeschluss der EU-Kommission für das Empfängerland, sind nach Art. 46 DSGVO geeignete Garantien erforderlich – in der Praxis regelmäßig die Standardvertragsklauseln (SCC) der EU-Kommission (Beschluss 2021/914, Modul 2 oder 3). Zusätzlich ist ein Transfer Impact Assessment durchzuführen, das die Rechtslage im Empfängerland bewertet. Der AVV allein schließt die Übermittlungslücke nicht; beide Instrumente müssen zusammenwirken.
Wer ist im Unternehmen für den Abschluss und die Pflege von AVV zuständig?
Die rechtliche Verantwortung liegt beim Verantwortlichen im Sinne der DSGVO – im Mittelstand regelmäßig der Geschäftsführer. Operativ kann die Aufgabe an den betrieblichen Datenschutzbeauftragten (sofern vorhanden), den Einkauf oder die Rechtsabteilung delegiert werden. Eine vollständige Auslagerung ohne Kontrollmechanismen genügt den organschaftlichen Sorgfaltspflichten nach § 43 GmbHG jedoch nicht. Geschäftsführer, die nachweislich ein funktionierendes AVV-Management eingerichtet haben, stehen im Haftungsfall deutlich besser als solche, die das Thema vollständig delegiert und nicht kontrolliert haben.
Gilt für AVV eine Aufbewahrungspflicht?
Eine explizite gesetzliche Aufbewahrungsfrist für AVV sieht die DSGVO nicht vor. Gleichwohl sind AVV so lange aufzubewahren, wie sie benötigt werden, um im Prüfungsfall die Einhaltung der DSGVO nachzuweisen – und darüber hinaus, solange Ansprüche aus dem Vertragsverhältnis oder datenschutzrechtliche Haftungsansprüche geltend gemacht werden können. In der Praxis orientieren sich Unternehmen an der zivilrechtlichen Regelverjährung von 3 Jahren (§ 195 BGB) ab Vertragsende, kombiniert mit handelsrechtlichen Aufbewahrungsfristen für Geschäftsunterlagen. Eine kürzere Aufbewahrung ist risikoreich.
Reicht es aus, wenn ein Dienstleister eine ISO-27001-Zertifizierung vorlegt?
Eine ISO-27001-Zertifizierung ist ein starkes Indiz für ein angemessenes Informationssicherheitsmanagementsystem, ersetzt aber den AVV nicht und genügt nicht als alleiniger Nachweis der TOM. Entscheidend ist, dass das Zertifikat aktuell ist, den konkret beauftragten Verarbeitungsbereich abdeckt und die im Zertifizierungsscope beschriebenen Maßnahmen mit den im AVV zugesagten TOM übereinstimmen. Abgelaufene oder fachlich nicht passende Zertifikate haben geringen Beweiswert. Im Zweifel ist zusätzlich eine Selbstauskunft des Dienstleisters einzuholen und zu dokumentieren.
Wie verhält sich der AVV zum Verarbeitungsverzeichnis nach Art. 30 DSGVO?
Beide Dokumente sind eigenständige Compliance-Instrumente. Das Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert alle Verarbeitungstätigkeiten des Unternehmens, einschließlich der eingesetzten Auftragsverarbeiter (Art. 30 Abs. 1 lit. d). Der AVV regelt die vertraglichen Rahmenbedingungen. Jeder im Verzeichnis gelistete Auftragsverarbeiter muss durch einen gültigen AVV abgedeckt sein – und umgekehrt. Stimmen Verzeichnis und AVV-Bestand nicht überein, sind Systemlücken vorhanden, die im Aufsichtsverfahren nachteilig wirken.
Die vorstehende Darstellung betrifft die typischen Konstellationen der Auftragsverarbeitung nach Art. 28 DSGVO. Ihr konkreter Fall erfordert die Prüfung der bestehenden Vertragswerke, der tatsächlichen Datenflüsse und der einschlägigen Aufsichtspraxis. Für eine erste Einschätzung Ihrer AVV-Situation schreiben Sie an info@brandtfalk.com.
Verwandte Leistungen
Die vorstehenden Ausführungen geben einen strukturierten Überblick über die datenschutzrechtlichen Anforderungen an den Auftragsverarbeitungsvertrag. Ihr individuelles Vertragsverhältnis und die konkrete Ausgestaltung Ihrer Dienstleisterkette erfordern eine fallbezogene anwaltliche Prüfung. Zur Klärung, wie Art. 28 DSGVO auf Ihr Unternehmen wirkt und welche Anpassungen Ihrer AVV geboten sind, wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.