Was ist ein Auftragsverarbeitungsvertrag (AVV) und was muss darin stehen?

Sie starten mit einer neuen Buchhaltungssoftware. Im Bestellvorgang steht ein Kästchen: Ich stimme dem Auftragsverarbeitungsvertrag zu. Sie setzen den Haken, denn Sie wollen weiter. Dieser Beitrag erklärt, was Sie damit vereinbart haben und was darin stehen sollte.

Was ist ein AVV? Die Bedeutung in einfachen Worten

AVV steht für Auftragsverarbeitungsvertrag, auf Englisch Data Processing Agreement (DPA). Es ist der Vertrag zwischen Ihnen und einem Anbieter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Noveu verwendet dieselbe Bezeichnung: Unsere Seite heißt Auftragsverarbeitungsvertrag (AVV).

Die DSGVO gibt beiden Parteien einen Namen. Der Verantwortliche legt Zweck und Mittel der Verarbeitung fest. Das sind Sie. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen. Das ist Ihr Anbieter (DSGVO Artikel 4 Nummer 7 und 8, EUR-Lex, abgerufen am 12. Oktober 2026). Weitere Erläuterungen gibt die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens) auf ihrer Seite zum Auftragsverarbeitungsvertrag (auf Niederländisch), abgerufen am 12. Oktober 2026.

Wann brauchen Sie einen?

Immer dann, wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Denken Sie an eine Buchhaltungssoftware, eine E-Mail-Lösung oder ein CRM. Artikel 28 Absatz 1 DSGVO besagt, dass ein Verantwortlicher nur Auftragsverarbeiter einsetzt, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Absatz 3 besagt, dass die Verarbeitung in einem Vertrag geregelt wird. Absatz 9 besagt, dass dieser Vertrag schriftlich abgefasst wird, auch in elektronischer Form (Artikel 28, EUR-Lex, abgerufen am 12. Oktober 2026).

Was muss nach Artikel 28 Absatz 3 darin stehen?

Artikel 28 Absatz 3 nennt zunächst, was der Vertrag beschreiben muss. Danach folgen acht Punkte, zu denen sich der Auftragsverarbeiter verpflichtet, die Buchstaben a bis h. Im Folgenden steht jeder Punkt in einfachen Worten.

• Die Beschreibung der Verarbeitung. Der Vertrag nennt Gegenstand und Dauer, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen. Achten Sie darauf: Stehen Ihre Daten darin, etwa die von Kunden und Personal, und stimmen die Zwecke mit dem überein, was Sie mit dem Dienst tun?
• Nur auf Ihre Weisung (Buchstabe a). Der Auftragsverarbeiter verarbeitet die Daten nur auf Ihre schriftliche Weisung, auch zur Übermittlung in ein Drittland, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet ihn zur Verarbeitung; dann teilt er Ihnen das vorher mit, es sei denn, das Recht verbietet diese Mitteilung aus wichtigen Gründen des öffentlichen Interesses. Achten Sie darauf: Wo steht Ihre Weisung, und nennt der Text die Übermittlung außerhalb der EU?
• Geheimhaltung (Buchstabe b). Wer auf die Daten zugreifen kann, ist durch eine Vereinbarung oder eine gesetzliche Pflicht zur Vertraulichkeit verpflichtet. Achten Sie darauf: Gilt das für alle, die auf die Daten zugreifen können, auch für extern eingesetzte Kräfte?
• Sicherheit (Buchstabe c). Der Auftragsverarbeiter ergreift alle Maßnahmen, die Artikel 32 verlangt. Dieser Artikel nennt unter anderem die Verschlüsselung personenbezogener Daten und die Fähigkeit, Daten nach einem Vorfall rasch wiederherzustellen. Achten Sie darauf: Gibt es einen Anhang mit konkreten Maßnahmen, oder steht dort nur „geeignete Maßnahmen“?
• Unterauftragsverarbeiter (Buchstabe d). Schaltet der Auftragsverarbeiter einen weiteren Auftragsverarbeiter ein, erfüllt er die Bedingungen von Artikel 28 Absätze 2 und 4. Achten Sie darauf: Lesen Sie die nächste Überschrift.
• Hilfe bei den Rechten betroffener Personen (Buchstabe e). Der Auftragsverarbeiter unterstützt Sie, soweit möglich, bei Anfragen von Personen, die ihre Rechte ausüben, etwa Auskunft oder Löschung. Achten Sie darauf: Innerhalb welcher Frist hilft er, und was kostet das?
• Hilfe bei Sicherheit, Verletzungen des Schutzes personenbezogener Daten und Risikobewertungen (Buchstabe f). Der Auftragsverarbeiter unterstützt Sie bei Ihren Pflichten aus den Artikeln 32 bis 36. Dazu gehören die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Datenschutz-Folgenabschätzung. Achten Sie darauf: Wie schnell erfahren Sie von einer solchen Verletzung? Sie melden sie ohne unangemessene Verzögerung und, wenn möglich, innerhalb von 72 Stunden nach Kenntnis der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko (Artikel 33 Absatz 1).
• Löschen oder Zurückgeben (Buchstabe g). Nach Abschluss der Leistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten oder gibt sie Ihnen zurück, nach Ihrer Wahl, und löscht bestehende Kopien, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet zur Speicherung. Achten Sie darauf: In welchem Format und innerhalb welcher Frist erhalten Sie Ihre Daten zurück, und wie steht es um Backups?
• Informationen und Audits (Buchstabe h). Der Auftragsverarbeiter stellt Ihnen alle Informationen bereit, die nötig sind, um die Einhaltung von Artikel 28 nachzuweisen, und wirkt an Audits und Inspektionen durch Sie oder einen von Ihnen beauftragten Prüfer mit. Hält er eine Weisung von Ihnen für einen Verstoß gegen die DSGVO, meldet er das unverzüglich. Achten Sie darauf: Wie oft dürfen Sie ein Audit verlangen, mit welcher Ankündigung, und wer zahlt?

Dies ist eine Zusammenfassung und keine Rechtsberatung. Der Gesetzestext ist maßgeblich.

Was geschieht mit Unterauftragsverarbeitern und der Übermittlung außerhalb der EU?

Ein Unterauftragsverarbeiter ist ein weiterer Auftragsverarbeiter, den Ihr Anbieter einschaltet. Nach Artikel 28 Absatz 2 tut der Auftragsverarbeiter das nicht ohne Ihre vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei allgemeiner Genehmigung informiert er Sie über beabsichtigte Hinzufügungen und Ersetzungen, und Sie können dagegen Widerspruch einlegen. Absatz 4 besagt, dass der Unterauftragsverarbeiter dieselben Pflichten erhält und dass Ihr Anbieter in vollem Umfang haftbar bleibt, wenn dieser sie nicht erfüllt (Artikel 28, EUR-Lex, abgerufen am 12. Oktober 2026).

Achten Sie auch darauf, wohin Daten gehen. Personenbezogene Daten dürfen nach Artikel 44 nur in ein Drittland übermittelt werden, wenn die Bedingungen von Kapitel V eingehalten sind. Meist geschieht das mit einem Angemessenheitsbeschluss der Europäischen Kommission (Artikel 45) oder mit geeigneten Garantien, zum Beispiel Standarddatenschutzklauseln (Artikel 46). Artikel 49 kennt daneben Ausnahmen für bestimmte Fälle (gleiche Quelle). Bitten Sie Ihren Anbieter um die Liste der Unterauftragsverarbeiter und stellen Sie je Unterauftragsverarbeiter nebeneinander: In welchem Land sitzt er, wo werden die Daten verarbeitet und auf welcher Grundlage erfolgt eine Übermittlung? „Unsere Server stehen in der EU“ beantwortet nur die mittlere Frage.

Fünf Fehler, die Sie leicht vermeiden

• Auf „Einverstanden“ klicken, ohne die Anhänge zu lesen.
• „Daten in der EU“ als „keine Übermittlung“ lesen. Ein Unterauftragsverarbeiter oder ein Administrator kann anderswo sitzen.
• Keine Vereinbarung über die Geschwindigkeit einer Meldung bei einer Verletzung des Schutzes personenbezogener Daten. Ihre Meldung an die Aufsichtsbehörde muss ohne unangemessene Verzögerung und, wenn möglich, innerhalb von 72 Stunden nach Kenntnis erfolgen.
• Kein Plan für das Vertragsende. Fragen Sie vorab, in welchem Format Ihre Daten zurückkommen und wann sie gelöscht werden.
• Die Fassung nicht aufbewahren, der Sie zugestimmt haben. Ein AVV ändert sich, und dann möchten Sie wissen, was galt, als Sie Ihre Daten übergeben haben.

Was können Sie diese Woche tun?

1. Erstellen Sie eine Liste der Anbieter, die personenbezogene Daten Ihrer Kunden oder Mitarbeitenden verarbeiten.
2. Suchen Sie bei jedem Anbieter den Auftragsverarbeitungsvertrag heraus und notieren Sie Version und Datum.
3. Gehen Sie die neun Punkte oben durch und fragen Sie schriftlich nach dem, was fehlt, plus der aktuellen Liste der Unterauftragsverarbeiter.
4. Legen Sie sich eine Erinnerung in den Kalender, um dies jedes Jahr zu wiederholen.

Wo Noveu hineinpasst

Unsere Vereinbarungen zur Verarbeitung personenbezogener Daten lesen Sie auf unserer Seite Auftragsverarbeitungsvertrag.

Maßgeblich ist die Fassung auf der Seite Auftragsverarbeitungsvertrag. Den aktuellen Stand der Unterauftragsverarbeiter finden Sie auf der Liste der Unterauftragsverarbeiter. Was Noveu Werkplek kostet, sehen Sie auf der Preisseite.