Kurz beantwortet: Wer eine AVV prüft, ob als Anbieter, der sie stellt, oder als Kunde, der sie unterschreibt, sollte zehn Punkte checken: Weisungsbindung, Unterauftragsverarbeiter-Regime, TOM-Anlage, Löschung und Rückgabe, Auditrechte, Haftung, Drittlandtransfer, Vertraulichkeit, Kontrollpflichten bei Datenpannen und die Kollision mit den AGB. Fehlt einer dieser Punkte, ist die AVV lückenhaft oder im Streitfall nicht belastbar.
Das Wichtigste in Kürze
- Ob Sie eine AVV als Anbieter stellen oder als Kunde unterschreiben, dieselben zehn Prüfpunkte entscheiden über ihre Belastbarkeit.
- Fehlt einer der Punkte von der Weisungsbindung bis zur Kollision zwischen AGB und AVV, ist die Vereinbarung lückenhaft oder im Streitfall nicht durchsetzbar.
- Als Anbieter tragen vor allem Subprozessoren-Liste, TOM-Anlage und Meldeweg das größte Risiko, als Kunde sind es Auditrecht, Haftung und Drittlandtransfer.
- Eine austauschbare Vorlage aus dem Internet passt selten zum tatsächlichen Betrieb und übersieht genau die Stellen, an denen es später teuer wird.
Warum reicht eine AVV-Vorlage aus dem Internet nicht?
Die meisten AVV-Vorlagen sind austauschbar formuliert und an keinen konkreten Betrieb angepasst. Wer eine AVV nur überfliegt, übersieht genau die Stellen, an denen es später teuer wird: eine veraltete Subprozessoren-Liste, eine TOM-Anlage, die nicht zum tatsächlichen System passt, oder eine Haftungsklausel, die im Streitfall nicht hält. Diese Checkliste unterscheidet sich von den meisten AVV-Ratgebern durch die doppelte Perspektive: Sie zeigt, worauf ein Software-Anbieter achten muss, der die AVV seinen Geschäftskunden stellt, und worauf ein Unternehmen achten muss, das eine fremde AVV unterschreibt. Beide Rollen prüfen dieselben zehn Punkte, aber mit unterschiedlichem Blick.
Die 10-Punkte-Checkliste: worauf Sie bei jeder AVV achten
| Nr. | Prüfpunkt | Worauf zu achten ist | Warnsignal |
|---|---|---|---|
| 1 | Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO) | Verarbeitung ausschließlich auf dokumentierte Weisung, klares Weisungsrecht des Verantwortlichen | Die AVV erlaubt dem Verarbeiter eine eigene Zweckbestimmung oder verweist pauschal auf die Leistungsbeschreibung, ohne Weisungsvorbehalt |
| 2 | Unterauftragsverarbeiter-Regime (Art. 28 Abs. 2, Abs. 4 DSGVO) | Genehmigungsvorbehalt, aktuelle und vollständige Subprozessoren-Liste, Weitergabe derselben Pflichten | Keine oder veraltete Subprozessoren-Liste, keine Informationspflicht bei neuen Subunternehmern |
| 3 | TOM-Anlage (Art. 32 DSGVO) | Konkrete, produktspezifische Maßnahmen: Verschlüsselung, Zugriffskonzept, Backup, Protokollierung | Generische TOM-Anlage, erkennbar aus einer anderen Branche oder einem anderen System kopiert |
| 4 | Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO) | Klares Wahlrecht Rückgabe oder Löschung am Vertragsende, mit Frist und Nachweis | Keine Regelung zum Vertragsende, oder Löschung „nach Ermessen“ des Verarbeiters ohne feste Frist |
| 5 | Auditrechte (Art. 28 Abs. 3 lit. h DSGVO) | Kontroll- und Nachweisrechte, abgestuft zwischen Zertifikaten, Selbstauskünften und Vor-Ort-Prüfung | Auditrecht vollständig ausgeschlossen oder nur gegen gesondertes Entgelt eingeräumt |
| 6 | Haftung | Verhältnis der AVV-Haftung zum Hauptvertrag, Haftungsobergrenze, Zusammenspiel mit Bußgeldrisiken | Die AVV verweist auf eine Haftungsbegrenzung im Hauptvertrag, die erkennbar auch Datenschutzverstöße erfassen soll |
| 7 | Drittlandtransfer (Art. 44 DSGVO) | Werden Daten außerhalb der EU/des EWR verarbeitet, welche Garantie greift: Angemessenheitsbeschluss (Art. 45 DSGVO) oder Standardvertragsklauseln (Art. 46 DSGVO) | Die AVV nennt den Serverstandort „weltweit“ oder verweist auf Standardvertragsklauseln, ohne sie zu benennen oder beizufügen |
| 8 | Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) | Verpflichtung aller zugriffsberechtigten Personen, auch Leiharbeiter und Freelancer erfasst | Vertraulichkeitspflicht nur allgemein erwähnt, ohne Personenkreis oder Nachweispflicht |
| 9 | Kontrollpflichten bei Datenpannen (Art. 28 Abs. 3 lit. f DSGVO i. V. m. Art. 33 DSGVO) | Meldefrist an den Verantwortlichen, die kürzer ist als dessen eigene 72-Stunden-Frist, klare Ansprechperson | Keine konkrete Meldefrist, nur ein unverbindliches „unverzüglich“ ohne Stundenangabe |
| 10 | Kollision AGB/AVV | Klare Rangfolge zwischen AVV, Hauptvertrag und AGB, Vorrang der AVV in Datenschutzfragen | Die AGB widersprechen der AVV, etwa bei weitergehender Datennutzung fürs Marketing, ohne dass eine Rangfolgeklausel den Konflikt auflöst |
Wie unterscheidet sich die Prüfung, je nachdem, ob Sie die AVV stellen oder unterschreiben?
Als Anbieter, der die AVV seinen Geschäftskunden stellt, liegt das größte Risiko bei den Punkten 2, 3 und 9: eine gepflegte Subprozessoren-Liste, eine TOM-Anlage, die dem tatsächlichen Betrieb standhält, und ein Meldeweg bei Datenpannen, der im Ernstfall auch eingehalten wird. Genau diese drei Punkte prüft die Datenschutzabteilung eines Enterprise-Kunden zuerst, und hier scheitern die meisten Freigaben.
Als Unternehmen, das eine fremde AVV unterschreibt, liegt das größte Risiko bei den Punkten 5, 6 und 7: ohne Auditrecht haben Sie später keine Handhabe, um die Zusagen des Anbieters zu überprüfen, eine zu weit gefasste Haftungsklausel des Anbieters verschiebt das Risiko zu Ihnen zurück, und ein übersehener Drittlandtransfer wird bei einer eigenen Datenschutzprüfung zum Nachtrag. Wer als Kunde nur unterschreibt, ohne diese drei Punkte zu verhandeln, trägt am Ende ein Risiko, das eigentlich beim Anbieter liegen sollte.
Wo finden Sie die Vertiefung zu einzelnen Punkten?
Wie eine AVV inhaltlich vollständig aufgesetzt wird und was Art. 28 Abs. 3 DSGVO im Einzelnen verlangt, zeigt der Beitrag zum AVV-Abschluss. Verhandeln Sie gerade das eigene, oft verschärfte DPA-Papier eines Großkunden, sind die typischen Streitpunkte und Ihre Spielräume im Beitrag zur DPA-Verhandlung mit Enterprise-Kunden vertieft. Für die Subprozessoren-Kette im Detail ordnet der Beitrag zu Subprozessoren im SaaS-Vertrag ein. Für das eigene Mandatsverhältnis mit einem Anwalt gilt eine Sonderregel, die der Beitrag Braucht man eine AVV mit dem Anwalt? erklärt. Den Gesamtüberblick zum Datenschutz im SaaS-Geschäft liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen, den Einstieg in die laufende rechtliche Begleitung die Seite für Software-, SaaS- und KI-Unternehmen.
Häufige Fragen
Reicht eine kostenlose AVV-Vorlage aus dem Internet?
Selten. Die meisten Vorlagen sind an keinen konkreten Betrieb angepasst und lassen genau die Stellen offen, an denen es später teuer wird, etwa eine veraltete Subprozessoren-Liste oder eine TOM-Anlage, die nicht zum tatsächlichen System passt.
Worauf sollte ein Software-Anbieter bei der eigenen AVV besonders achten?
Auf die Punkte, die die Datenschutzabteilung eines Enterprise-Kunden zuerst prüft: eine gepflegte Subprozessoren-Liste, eine TOM-Anlage, die dem tatsächlichen Betrieb standhält, und einen Meldeweg bei Datenpannen, der im Ernstfall auch eingehalten wird.
Was ist das größte Risiko, wenn ich als Kunde eine fremde AVV unterschreibe?
Vor allem fehlende Auditrechte, eine zu weit gefasste Haftungsklausel des Anbieters und ein übersehener Drittlandtransfer. Wer diese Punkte nicht verhandelt, trägt am Ende ein Risiko, das eigentlich beim Anbieter liegen sollte.
Was gilt, wenn AGB und AVV sich widersprechen?
Entscheidend ist eine klare Rangfolge, die der AVV in Datenschutzfragen den Vorrang einräumt. Ohne eine solche Rangfolgeklausel bleibt offen, welche Regelung etwa bei weitergehender Datennutzung für Marketingzwecke greift.
Quellen & Rechtsgrundlagen
- Art. 28 DSGVO – Auftragsverarbeitung und Pflichtinhalte der Vereinbarung
- Art. 32 DSGVO – Sicherheit der Verarbeitung, technische und organisatorische Maßnahmen
- Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten
- Art. 44 bis 46 DSGVO – Datenübermittlung an Drittländer
Sie wollen eine vorgelegte AVV gegenprüfen oder Ihre eigene AVV-Vorlage auf Stand bringen? In einem 30-minütigen Erstgespräch gehen wir die zehn Punkte konkret an Ihrem Fall durch. Für die datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.
