Recht & Datenschutz · · 5 Min. Lesezeit · Von Alexander
AV-Vertrag: Wann Unternehmen ihn wirklich brauchen
Ein AV-Vertrag regelt, wie ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Für kleine Unternehmen betrifft das nicht nur große IT-Projekte, sondern oft schon Hosting, Newsletter, Cloud-Software oder externe Website-Betreuung.
Was ist ein AV-Vertrag nach DSGVO?
AV-Vertrag ist die gebräuchliche Kurzform für Auftragsverarbeitungsvertrag, oft auch AVV genannt. Nach Art. 4 Nr. 8 DSGVO ist ein Auftragsverarbeiter eine Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Der Verantwortliche entscheidet über Zweck und wesentliche Mittel der Verarbeitung; der Dienstleister handelt innerhalb dokumentierter Weisungen.
Art. 28 Abs. 3 DSGVO verlangt für diese Konstellation einen Vertrag oder ein anderes bindendes Rechtsinstrument. Der Vertrag darf elektronisch abgeschlossen werden, wie Art. 28 Abs. 9 ausdrücklich klarstellt. Ein Download im Kundenkonto oder eine digital bestätigte Zusatzvereinbarung kann daher genügen, wenn Inhalt, Vertragspartner und Abschluss nachvollziehbar dokumentiert sind.
Wann braucht ein kleines Unternehmen einen AV-Vertrag?
Ein AV-Vertrag ist nötig, wenn ein externer Anbieter personenbezogene Daten nicht für eigene Zwecke, sondern nach Ihren Vorgaben verarbeitet. Typische Beispiele sind Webhosting mit Zugriff auf Logfiles, Wartung mit möglichem Datenbankzugriff, Newsletter-Versand, Cloud-CRM, Terminbuchung, externe Lohnabrechnung oder Supportsysteme. Schon IP-Adressen, Kontaktanfragen, Kundennummern und E-Mail-Adressen können personenbezogene Daten sein.
Nicht jede Zusammenarbeit ist automatisch Auftragsverarbeitung. Steuerberater, Rechtsanwälte oder Zahlungsdienstleister handeln bei bestimmten Aufgaben häufig eigenverantwortlich auf eigener Rechtsgrundlage. Bei gemeinsam festgelegten Zwecken kann stattdessen gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vorliegen. Entscheidend ist die tatsächliche Rolle, nicht die Überschrift des Vertrags.
- Hosting-Anbieter speichert Website-, Formular- oder Logdaten
- Agentur kann zur Wartung auf Kundendaten oder Postfächer zugreifen
- Newsletter-Dienst versendet an Ihre Empfängerliste
- Cloud-Software speichert Kunden-, Mitarbeiter- oder Termindaten
- externer Support sieht personenbezogene Inhalte im Ticketsystem
Was muss in einem AV-Vertrag stehen?
Art. 28 Abs. 3 DSGVO nennt die Mindestinhalte. Dazu gehören Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen. Außerdem muss der Dienstleister unter anderem Vertraulichkeit sichern, angemessene technische und organisatorische Maßnahmen umsetzen, bei Betroffenenanfragen unterstützen und Daten nach Vertragsende löschen oder zurückgeben.
Ein brauchbarer AV-Vertrag beschreibt die Leistung konkret. Formulierungen wie „alle Daten für alle Zwecke“ helfen bei einer Prüfung wenig. Ergänzt werden sollte eine aktuelle Anlage zu den technischen und organisatorischen Maßnahmen, kurz TOMs. Dazu zählen je nach Risiko beispielsweise Zugriffsschutz, Rollen und Rechte, Verschlüsselung, Backups, Wiederherstellung, Protokollierung und Verfahren zur regelmäßigen Wirksamkeitskontrolle nach Art. 32 DSGVO.
Was ist bei Unterauftragnehmern und Drittlandtransfer wichtig?
Viele Anbieter arbeiten mit Rechenzentren, E-Mail-Diensten, Supportplattformen oder Analysewerkzeugen weiter. Diese Unterauftragnehmer – in der DSGVO weitere Auftragsverarbeiter – dürfen nach Art. 28 Abs. 2 nur mit vorheriger spezieller oder allgemeiner schriftlicher Genehmigung eingesetzt werden. Bei einer allgemeinen Genehmigung muss der Anbieter über Änderungen informieren, damit Sie widersprechen können.
Sitzt ein Anbieter oder Unterauftragnehmer außerhalb des Europäischen Wirtschaftsraums, reicht der AV-Vertrag allein nicht aus. Dann müssen zusätzlich die Regeln der Art. 44 ff. DSGVO für Drittlandübermittlungen erfüllt sein, etwa durch einen Angemessenheitsbeschluss oder geeignete Garantien. Fragen Sie nach Speicherorten, Supportzugriffen und der vollständigen Subunternehmerliste – nicht nur nach dem Firmensitz auf der Rechnung.
Wer stellt den AV-Vertrag bereit und wann wird er abgeschlossen?
In der Praxis stellt meist der Dienstleister seinen AV-Vertrag bereit, weil er Systeme, Sicherheitsmaßnahmen und Unterauftragnehmer am besten beschreiben kann. Rechtlich bleibt aber auch der Verantwortliche in der Pflicht: Art. 28 Abs. 1 verlangt, nur Anbieter einzusetzen, die ausreichende Garantien für eine DSGVO-konforme Verarbeitung bieten. Ein fehlender Vertrag lässt sich nicht mit dem Hinweis entschuldigen, der Anbieter habe kein Formular geschickt.
Der AV-Vertrag sollte vor Beginn der Auftragsverarbeitung abgeschlossen werden. Legen Sie ihn zusammen mit Hauptvertrag, TOMs, Unterauftragnehmerliste und eventuellen Transferunterlagen ab. Prüfen Sie die Dokumente erneut, wenn Funktionen, Speicherorte oder Anbieter wechseln. Ein alter AVV kann formal vorhanden, inhaltlich aber längst überholt sein.
Brauchen Hosting und Website-Agentur immer einen AVV?
Beim Hosting ist Auftragsverarbeitung sehr häufig, weil der Provider Daten auf seinen Systemen speichert und technisch verarbeiten kann. Bei einer Agentur hängt es vom Auftrag ab. Reines Webdesign mit übergebenen Testinhalten kann ohne regelmäßigen Zugriff auskommen. Betreibt die Agentur dagegen Hosting, Wartung, Backups, Formulare, Analytics oder Support mit Zugriff auf echte Nutzer- und Kundendaten, ist ein AV-Vertrag regelmäßig zu prüfen.
Bei bezahlbare-webseite.de werden Hosting, technische Pflege und Support im Website-Abo zusammengeführt. Für Kunden bedeutet das: Leistungsumfang, Datenschutzrollen und technische Zuständigkeiten müssen nicht über mehrere unbekannte Anbieter zusammengesucht werden. Unabhängig vom Modell sollte jedes Unternehmen im Verzeichnis der Verarbeitungstätigkeiten festhalten, welcher Dienstleister welche Daten für welchen Zweck erhält.
Wie prüfen Sie Ihren AV-Vertrag in zehn Minuten?
Beginnen Sie mit fünf Fragen: Sind die Vertragspartner korrekt? Passt die beschriebene Leistung zur Realität? Sind Datenarten und betroffene Personen vollständig? Gibt es aktuelle TOMs und eine Subunternehmerliste? Sind mögliche Drittlandtransfers erklärt? Fehlt eine Antwort, holen Sie sie beim Anbieter ein und dokumentieren Sie die Klärung.
Kontrollieren Sie außerdem Löschung, Unterstützung bei Datenschutzverletzungen, Kontrollrechte und das Verfahren bei neuen Unterauftragnehmern. Ein AV-Vertrag ist kein Ersatz für Datenschutzerklärung, Rechtsgrundlage oder Einwilligung. Er regelt die Beziehung zum Auftragsverarbeiter; ob die Verarbeitung selbst zulässig ist, muss weiterhin separat geprüft werden. Dieser Ratgeber ersetzt keine individuelle Rechtsberatung.
Häufige Fragen
Ist AV-Vertrag und AVV dasselbe?
Ja. Beide Begriffe meinen den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Muss ein AV-Vertrag unterschrieben werden?
Er muss schriftlich vorliegen, wobei Art. 28 Abs. 9 DSGVO ausdrücklich auch ein elektronisches Format erlaubt. Der Abschluss sollte nachweisbar sein.
Brauche ich mit meinem Hoster einen AV-Vertrag?
In der Regel ja, wenn der Hoster personenbezogene Daten wie Logfiles, Formulareingaben oder Kundendaten in Ihrem Auftrag verarbeitet.
Reicht der AV-Vertrag für US-Anbieter?
Nein. Bei Drittlandtransfers müssen zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO erfüllt werden.
Wo bewahre ich den AVV auf?
Zusammen mit Hauptvertrag, TOMs, Subunternehmerliste, Transferunterlagen und der Dokumentation im Verzeichnis der Verarbeitungstätigkeiten.