Kurz beantwortet: Wer eine AVV prüft, ob als Anbieter, der sie stellt, oder als Kunde, der sie unterschreibt, sollte zehn Punkte checken: Weisungsbindung, Unterauftragsverarbeiter-Regime, TOM-Anlage, Löschung und Rückgabe, Auditrechte, Haftung, Drittlandtransfer, Vertraulichkeit, Kontrollpflichten bei Datenpannen und die Kollision mit den AGB. Fehlt einer dieser Punkte, ist die AVV lückenhaft oder im Streitfall nicht belastbar.

Das Wichtigste in Kürze

  • Ob Sie eine AVV als Anbieter stellen oder als Kunde unterschreiben, dieselben zehn Prüfpunkte entscheiden über ihre Belastbarkeit.
  • Fehlt einer der Punkte von der Weisungsbindung bis zur Kollision zwischen AGB und AVV, ist die Vereinbarung lückenhaft oder im Streitfall nicht durchsetzbar.
  • Als Anbieter tragen vor allem Subprozessoren-Liste, TOM-Anlage und Meldeweg das größte Risiko, als Kunde sind es Auditrecht, Haftung und Drittlandtransfer.
  • Eine austauschbare Vorlage aus dem Internet passt selten zum tatsächlichen Betrieb und übersieht genau die Stellen, an denen es später teuer wird.

Warum reicht eine AVV-Vorlage aus dem Internet nicht?

Die meisten AVV-Vorlagen sind austauschbar formuliert und an keinen konkreten Betrieb angepasst. Wer eine AVV nur überfliegt, übersieht genau die Stellen, an denen es später teuer wird: eine veraltete Subprozessoren-Liste, eine TOM-Anlage, die nicht zum tatsächlichen System passt, oder eine Haftungsklausel, die im Streitfall nicht hält. Diese Checkliste nimmt beide Perspektiven ein: Sie zeigt, worauf ein Software-Anbieter achten muss, der die AVV seinen Geschäftskunden stellt, und worauf ein Unternehmen achten muss, das eine fremde AVV unterschreibt. Beide Rollen prüfen dieselben zehn Punkte, aber mit unterschiedlichem Blick.

Die 10-Punkte-Checkliste: worauf Sie bei jeder AVV achten

Nr. Prüfpunkt Worauf zu achten ist Warnsignal
1 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO) Verarbeitung ausschließlich auf dokumentierte Weisung, klares Weisungsrecht des Verantwortlichen Die AVV erlaubt dem Verarbeiter eine eigene Zweckbestimmung oder verweist pauschal auf die Leistungsbeschreibung, ohne Weisungsvorbehalt
2 Unterauftragsverarbeiter-Regime (Art. 28 Abs. 2, Abs. 4 DSGVO) Genehmigungsvorbehalt, aktuelle und vollständige Subprozessoren-Liste, Weitergabe derselben Pflichten Keine oder veraltete Subprozessoren-Liste, keine Informationspflicht bei neuen Subunternehmern
3 TOM-Anlage (Art. 32 DSGVO) Konkrete, produktspezifische Maßnahmen: Verschlüsselung, Zugriffskonzept, Backup, Protokollierung Generische TOM-Anlage, erkennbar aus einer anderen Branche oder einem anderen System kopiert
4 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO) Klares Wahlrecht Rückgabe oder Löschung am Vertragsende, mit Frist und Nachweis Keine Regelung zum Vertragsende, oder Löschung „nach Ermessen“ des Verarbeiters ohne feste Frist
5 Auditrechte (Art. 28 Abs. 3 lit. h DSGVO) Kontroll- und Nachweisrechte, abgestuft zwischen Zertifikaten, Selbstauskünften und Vor-Ort-Prüfung Auditrecht vollständig ausgeschlossen oder nur gegen gesondertes Entgelt eingeräumt
6 Haftung Verhältnis der AVV-Haftung zum Hauptvertrag, Haftungsobergrenze, Zusammenspiel mit Bußgeldrisiken Die AVV verweist auf eine Haftungsbegrenzung im Hauptvertrag, die erkennbar auch Datenschutzverstöße erfassen soll
7 Drittlandtransfer (Art. 44 DSGVO) Werden Daten außerhalb der EU/des EWR verarbeitet, welche Garantie greift: Angemessenheitsbeschluss (Art. 45 DSGVO) oder Standardvertragsklauseln (Art. 46 DSGVO) Die AVV nennt den Serverstandort „weltweit“ oder verweist auf Standardvertragsklauseln, ohne sie zu benennen oder beizufügen
8 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) Verpflichtung aller zugriffsberechtigten Personen, auch Leiharbeiter und Freelancer erfasst Vertraulichkeitspflicht nur allgemein erwähnt, ohne Personenkreis oder Nachweispflicht
9 Kontrollpflichten bei Datenpannen (Art. 28 Abs. 3 lit. f DSGVO i. V. m. Art. 33 DSGVO) Meldefrist an den Verantwortlichen, die kürzer ist als dessen eigene 72-Stunden-Frist, klare Ansprechperson Keine konkrete Meldefrist, nur ein unverbindliches „unverzüglich“ ohne Stundenangabe
10 Kollision AGB/AVV Klare Rangfolge zwischen AVV, Hauptvertrag und AGB, Vorrang der AVV in Datenschutzfragen Die AGB widersprechen der AVV, etwa bei weitergehender Datennutzung fürs Marketing, ohne dass eine Rangfolgeklausel den Konflikt auflöst

Wie unterscheidet sich die Prüfung, je nachdem, ob Sie die AVV stellen oder unterschreiben?

Als Anbieter, der die AVV seinen Geschäftskunden stellt, liegt das größte Risiko bei den Punkten 2, 3 und 9: eine gepflegte Subprozessoren-Liste, eine TOM-Anlage, die dem tatsächlichen Betrieb standhält, und ein Meldeweg bei Datenpannen, der im Ernstfall auch eingehalten wird. Diese drei Punkte prüft die Datenschutzabteilung eines Enterprise-Kunden typischerweise zuerst, und an ihnen hängen Freigaben besonders häufig.

Als Unternehmen, das eine fremde AVV unterschreibt, liegt das größte Risiko bei den Punkten 5, 6 und 7: ohne Auditrecht haben Sie später keine Handhabe, um die Zusagen des Anbieters zu überprüfen, eine zu weit gefasste Haftungsklausel des Anbieters verschiebt das Risiko zu Ihnen zurück, und ein übersehener Drittlandtransfer wird bei einer eigenen Datenschutzprüfung zum Nachtrag. Wer als Kunde nur unterschreibt, ohne diese drei Punkte zu verhandeln, trägt am Ende ein Risiko, das eigentlich beim Anbieter liegen sollte. Prüft Ihre Rechtsabteilung AVVs regelmäßig in Serie, unterstützt die externe Verstärkung für Rechtsabteilungen bei Spitzenlast und Vakanz.

Wo finden Sie die Vertiefung zu einzelnen Punkten?

Wie eine AVV inhaltlich vollständig aufgesetzt wird und was Art. 28 Abs. 3 DSGVO im Einzelnen verlangt, zeigt der Beitrag zum AVV-Abschluss. Verhandeln Sie gerade das eigene, oft verschärfte DPA-Papier eines Großkunden, sind die typischen Streitpunkte und Ihre Spielräume im Beitrag zur DPA-Verhandlung mit Enterprise-Kunden vertieft. Für die Subprozessoren-Kette im Detail ordnet der Beitrag zu Subprozessoren im SaaS-Vertrag ein. Für das eigene Mandatsverhältnis mit einem Anwalt gilt eine Sonderregel, die der Beitrag Braucht man eine AVV mit dem Anwalt? erklärt. Den Gesamtüberblick zum Datenschutz im SaaS-Geschäft liefert der Leitfaden zur DSGVO für Software- und SaaS-Unternehmen, den Einstieg in die laufende rechtliche Begleitung die Seite für Software-, SaaS- und KI-Unternehmen.

Beispiel: Zwei Stapel AVVs auf dem Tisch der Geschäftsführung

Eine typische Ausgangslage sieht so aus. Ein Hersteller von Zeiterfassungssoftware stellt seinen Geschäftskunden eine eigene AVV. Ein Konzernkunde lehnt sie in der Datenschutzprüfung ab, weil die Subprozessoren-Liste veraltet ist und die TOM-Anlage nicht zum heutigen Hosting passt. Gleichzeitig unterschreibt der Einkauf AVVs neuer Dienstleister ungeprüft, darunter eine mit dem Serverstandort „weltweit“. Beide Stapel landen bei der Geschäftsführung. Geprüft werden dieselben zehn Punkte, jeweils mit dem Blick der eigenen Rolle.

Jetzt kommt es auf die Rolle an. Als Anbieter liegt der Schwerpunkt auf einer gepflegten Subprozessoren-Liste, einer TOM-Anlage, die den tatsächlichen Betrieb beschreibt, und einem Meldeweg mit fester Frist für Datenpannen. Als Kunde geht es vor allem um Auditrecht, Haftung und Drittlandtransfer; fehlen hier Regelungen, wird nachverhandelt oder der Dienst nicht eingesetzt. Wiederholen sich die Fälle, hilft eine Checkliste, mit der das Team vorgelegte AVVs selbst einordnet und nur Abweichungen weitergibt. Danach liegen eine überarbeitete eigene AVV, eine Checkliste und ein Freigabeweg vor. Diese Bausteine entstehen im Rechtssystem.

Meine Einschätzung

Im ersten Gespräch frage ich meist zuerst: Wie werden Ihre AGB einbezogen? Woher stammen Ihre Vertragsvorlagen? Wann ziehen Sie anwaltlichen Rat hinzu, und wer gibt Änderungen an Verträgen frei? Bleiben diese Fragen offen, setze ich dort an, bevor es um einzelne Klauseln geht.

Häufige Fragen

Reicht eine kostenlose AVV-Vorlage aus dem Internet?

Selten. Die meisten Vorlagen sind an keinen konkreten Betrieb angepasst und lassen genau die Stellen offen, an denen es später teuer wird, etwa eine veraltete Subprozessoren-Liste oder eine TOM-Anlage, die nicht zum tatsächlichen System passt.

Worauf sollte ein Software-Anbieter bei der eigenen AVV besonders achten?

Auf die Punkte, die die Datenschutzabteilung eines Enterprise-Kunden zuerst prüft: eine gepflegte Subprozessoren-Liste, eine TOM-Anlage, die dem tatsächlichen Betrieb standhält, und einen Meldeweg bei Datenpannen, der im Ernstfall auch eingehalten wird.

Was ist das größte Risiko, wenn ich als Kunde eine fremde AVV unterschreibe?

Vor allem fehlende Auditrechte, eine zu weit gefasste Haftungsklausel des Anbieters und ein übersehener Drittlandtransfer. Wer diese Punkte nicht verhandelt, trägt am Ende ein Risiko, das eigentlich beim Anbieter liegen sollte.

Was gilt, wenn AGB und AVV sich widersprechen?

Entscheidend ist eine klare Rangfolge, die der AVV in Datenschutzfragen den Vorrang einräumt. Ohne eine solche Rangfolgeklausel bleibt offen, welche Regelung etwa bei weitergehender Datennutzung für Marketingzwecke greift.

Quellen & Rechtsgrundlagen

  • Art. 28 DSGVO – Auftragsverarbeitung und Pflichtinhalte der Vereinbarung
  • Art. 32 DSGVO – Sicherheit der Verarbeitung, technische und organisatorische Maßnahmen
  • Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten
  • Art. 44 bis 46 DSGVO – Datenübermittlung an Drittländer

Wenn jede vorgelegte AVV einzeln auf dem Tisch der Geschäftsführung landet, beginnt die Prüfung jedes Mal von vorn. Im Rechtssystem entstehen AVV-Vorlage, Checkliste und Freigabeweg, mit denen Ihr Team vorgelegte AVVs selbst einordnen kann. Rechtssystem: AVVs nach festen Regeln prüfen

Sie wollen eine vorgelegte AVV gegenprüfen oder Ihre eigene AVV-Vorlage auf Stand bringen? In einem 60-minütigen Strategiegespräch gehen wir die zehn Punkte konkret an Ihrem Fall durch. Für die datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.