Kurz beantwortet: Eine AVV, auch Auftragsverarbeitungsvertrag oder Auftragsverarbeitungsvereinbarung genannt (englisch DPA), ist immer dann Pflicht, wenn ein Dienstleister personenbezogene Daten im Auftrag eines anderen verarbeitet (Art. 28 DSGVO). Als Software- oder SaaS-Unternehmen brauchen Sie sie in beide Richtungen: Ihre Geschäftskunden schließen eine AVV mit Ihnen, und Sie selbst brauchen eine AVV mit jedem eigenen Dienstleister.

Das Wichtigste in Kürze

  • Eine AVV ist nach Art. 28 DSGVO Pflicht, sobald ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen verarbeitet.
  • Als Software- oder SaaS-Unternehmen benötigen Sie die AVV in beide Richtungen, gegenüber Ihren Geschäftskunden ebenso wie gegenüber jedem Dienstleister, den Sie selbst einsetzen.
  • Den Pflichtinhalt gibt Art. 28 Abs. 3 DSGVO vor, von der Weisungsbindung über die technischen und organisatorischen Maßnahmen bis zu Löschung, Nachweisen und der Bindung von Subunternehmern.
  • Wer Auftragsverarbeitung, gemeinsame Verantwortlichkeit und reine Übermittlung verwechselt, schließt entweder das falsche Dokument oder gar keins.

Wozu dient die AVV, und wann ist sie Pflicht?

Dieser Beitrag ordnet ein, was eine AVV inhaltlich zwingend regeln muss und wie die Subunternehmer-Kette rechtlich funktioniert, unabhängig davon, ob Sie sie selbst aufsetzen oder als Auftragsverarbeiter prüfen. Liegt bei Ihnen bereits das eigene, oft verschärfte DPA-Papier eines Enterprise-Kunden auf dem Tisch und geht es um die konkrete Verhandlung von Subprozessor-Freigaben, Drittland-Transfer und Audit-Rechten, finden Sie das im Beitrag zur DPA-Verhandlung mit Enterprise-Kunden. Wollen Sie eine vorgelegte AVV Punkt für Punkt gegenprüfen, führt Sie die 10-Punkte-Checkliste zur AVV-Prüfung systematisch durch beide Seiten des Vertrags.

Wann genau brauchen Sie eine AVV?

Sobald ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen verarbeitet, verlangt Art. 28 DSGVO eine AVV. Für ein SaaS-Unternehmen bedeutet das zweierlei: Ihre Geschäftskunden schließen eine AVV mit Ihnen (Sie verarbeiten deren Daten), und Sie selbst brauchen eine AVV mit jedem Ihrer Dienstleister, Hosting, Mailversand, Support-Tools, Analyse. So entsteht eine Kette, die lückenlos sein muss. Welche dieser Dienstleister dabei als Subprozessor gelten und wie Sie deren Bindung dokumentieren, ordnet der Beitrag zu Subprozessoren im SaaS-Vertrag ein.

Was muss inhaltlich in jede AVV?

Art. 28 Abs. 3 DSGVO gibt den Pflichtinhalt vor. Eine belastbare AVV regelt insbesondere:

  1. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
  2. Vertraulichkeit der zugriffsberechtigten Personen.
  3. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
  4. Subunternehmer nur mit Genehmigung, und mit denselben Pflichten weitergereicht.
  5. Unterstützung des Verantwortlichen bei Betroffenenrechten und Meldepflichten.
  6. Löschung oder Rückgabe der Daten am Ende der Leistung.
  7. Nachweise und Audits zur Kontrolle der Einhaltung.

Wie funktioniert die Subunternehmer-Kette?

Setzen Sie selbst weitere Auftragsverarbeiter ein, müssen diesen dieselben Datenschutzpflichten auferlegt werden (Art. 28 Abs. 4 DSGVO), und Sie haften gegenüber Ihrem Kunden, wenn ein Subunternehmer seine Pflichten verletzt. Genau diese Kette schaut die Datenschutzprüfung eines großen Kunden besonders genau an. Wer sie sauber dokumentiert hat, kommt schneller durch. Sitzt einer Ihrer Dienstleister außerhalb der EU, kommt die Prüfung des Drittland-Transfers hinzu, dazu ordnet der Beitrag zu US-Tools und Standardvertragsklauseln ein.

Wo endet die AVV, und wo beginnt etwas anderes?

Nicht jede Datenweitergabe braucht eine AVV; ausschlaggebend ist, wer über Zweck und Mittel der Verarbeitung bestimmt. Verarbeitet der Empfänger ausschließlich nach Ihrer Weisung und für Ihre Zwecke, liegt Auftragsverarbeitung vor, und die AVV nach Art. 28 DSGVO ist das richtige Instrument. Legen zwei Beteiligte dagegen gemeinsam Zweck und Mittel fest, etwa bei einer gemeinsam betriebenen Plattform, entsteht stattdessen eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, die eine andere Vereinbarung verlangt, keine AVV; die Abgrenzung im Einzelnen ordnet der Beitrag zu gemeinsam Verantwortlichen ein. Gibt der Empfänger die Daten schließlich für eigene, unabhängige Zwecke weiter, etwa an eine Behörde oder einen selbstständig verantwortlichen Dritten, handelt es sich um eine reine Übermittlung: Sie braucht eine eigene Rechtsgrundlage, aber keine AVV. Wer diese drei Konstellationen verwechselt, schließt entweder das falsche Dokument oder gar keins.

Welche Fehler passieren typischerweise, aus Anbieter- und aus Kundensicht?

Als SaaS-Unternehmen sitzen Sie meist in beiden Rollen zugleich, und die Fehler unterscheiden sich je nach Perspektive. Das ist der Unterschied zu generischen AVV-Ratgebern, die nur eine Seite des Vertrags im Blick haben.

Rolle Typischer Fehler Folge
Anbieter (Sie stellen die AVV) Generische Vorlage ohne Bezug zum tatsächlichen Produkt, Datenkategorien und Zwecke nicht konkret benannt Kunde lehnt die AVV in der eigenen Datenschutzprüfung ab, der Deal stockt
Anbieter Subprozessoren-Liste veraltet oder gar nicht gepflegt Verstoß gegen die Genehmigungspflicht (Art. 28 Abs. 2 DSGVO), Vertrauensverlust bei Prüfung
Kunde (Sie unterschreiben die AVV) AVV unterschrieben, ohne die Subprozessoren-Liste zu prüfen Datenverarbeitung läuft über Dienstleister, die Sie nicht kennen und nicht kontrollieren
Kunde TOM-Anlage nicht mit eigenen Sicherheitsanforderungen abgeglichen Sicherheitslücke bleibt unentdeckt, bis es zur Datenpanne kommt

Welche zwei Fallstricke übersehen Unternehmen am häufigsten?

Der erste Fallstrick betrifft die Form: Die AVV ist schriftlich zu führen, was auch elektronisch erfolgen kann (Art. 28 Abs. 9 DSGVO). Der zweite betrifft die Rolle: Ein Auftragsverarbeiter, der über Zwecke und Mittel der Verarbeitung selbst entscheidet, gilt insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO), mit allen weitergehenden Pflichten. Wer also eigenmächtig Daten für eigene Zwecke nutzt, verlässt die schützende Auftragsverarbeiter-Rolle.

Fallstrick Norm Was zu tun ist
Formfehler Art. 28 Abs. 9 DSGVO AVV schriftlich oder elektronisch dokumentiert vorhalten, kein mündliches Einverständnis
Rollenwechsel Art. 28 Abs. 10 DSGVO Prüfen, ob eigene Zwecke verfolgt werden; falls ja, Verantwortlichen-Pflichten übernehmen

Nicht jede vertragliche Beziehung mit einem Berater folgt diesen Regeln: Ob Sie mit Ihrem eigenen Anwalt eine AVV brauchen, beantwortet gesondert der Beitrag zur AVV mit dem Anwalt. Den Gesamtüberblick zum Datenschutz im SaaS-Geschäft liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen; wie sich das in die laufende rechtliche Begleitung Ihres Unternehmens einfügt, zeigt die Seite für Software-, SaaS- und KI-Unternehmen.

Häufige Fragen

Wann ist eine AVV Pflicht?

Sobald ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen verarbeitet, verlangt Art. 28 DSGVO eine AVV. Für ein SaaS-Unternehmen gilt das in beide Richtungen, gegenüber den eigenen Geschäftskunden ebenso wie gegenüber jedem Dienstleister, den es selbst einsetzt.

Was muss inhaltlich in jeder AVV stehen?

Art. 28 Abs. 3 DSGVO gibt den Pflichtinhalt vor. Dazu zählen die Verarbeitung nur auf dokumentierte Weisung, die Vertraulichkeit der zugriffsberechtigten Personen, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, der Einsatz von Subunternehmern nur mit Genehmigung, die Unterstützung bei Betroffenenrechten und Meldepflichten, die Löschung oder Rückgabe der Daten sowie Nachweise und Audits.

Wie funktioniert die Subunternehmer-Kette?

Setzen Sie selbst weitere Auftragsverarbeiter ein, müssen Sie diesen nach Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auferlegen, und Sie haften gegenüber Ihrem Kunden, wenn ein Subunternehmer seine Pflichten verletzt. Eine sauber dokumentierte Kette kommt schneller durch die Datenschutzprüfung eines Kunden.

Wann liegt statt einer Auftragsverarbeitung eine gemeinsame Verantwortlichkeit vor?

Entscheidend ist, wer über Zweck und Mittel der Verarbeitung bestimmt. Verarbeitet der Empfänger ausschließlich nach Ihrer Weisung, liegt Auftragsverarbeitung vor, und die AVV nach Art. 28 DSGVO ist das richtige Instrument. Legen zwei Beteiligte Zweck und Mittel gemeinsam fest, entsteht eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, die eine andere Vereinbarung verlangt.

Quellen & Rechtsgrundlagen

Sie brauchen eine belastbare AVV für Ihre Kunden oder wollen die AVVs Ihrer Dienstleister prüfen? In einem 30-minütigen Erstgespräch schauen wir konkret darauf. Für die datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen