Auftragsverarbeitungsvertrag (AVV)

Definition: Der Auftragsverarbeitungsvertrag (AVV), im englischen Sprachraum als Data Processing Agreement (DPA) bezeichnet, ist ein nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) zwingend erforderlicher schriftlicher Vertrag zwischen dem datenschutzrechtlich Verantwortlichen und einem externen Dienstleister, der als Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet. Der AVV konkretisiert die Rahmenbedingungen der Datenverarbeitung, legt Pflichten und Rechte beider Parteien fest und stellt sicher, dass der Auftragsverarbeiter ausreichende Garantien für eine DSGVO-konforme Verarbeitung bietet. Fehlt ein gültiger AVV, ist die gesamte Weitergabe personenbezogener Daten an den externen Dienstleister rechtswidrig – selbst wenn die eigentliche Verarbeitungsgrundlage des Verantwortlichen (z. B. berechtigtes Interesse oder Vertragserfüllung) gegeben wäre. Der AVV kann als eigenständiger Vertrag, als Anlage zum Hauptvertrag oder in Form von Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters geschlossen werden – entscheidend ist, dass er die gesetzlich vorgeschriebenen Mindestinhalte enthält und schriftlich oder in einem gleichwertigen elektronischen Format dokumentiert ist. Im Online Marketing betrifft dies nahezu alle extern genutzten Softwarelösungen: E-Mail-Marketing-Tools, Analytics-Plattformen, CRM-Systeme, Hosting-Anbieter, Chatbot-Dienste und viele weitere digitale Werkzeuge fallen in den Anwendungsbereich des AVV-Erfordernisses.

Erläuterung

Der AVV ist das vertragliche Rückgrat der Auftragsverarbeitung. Er schafft die rechtliche Basis dafür, dass ein Unternehmen personenbezogene Daten seiner Kunden, Interessenten oder Mitarbeiter an externe Dienstleister übermitteln darf, ohne dabei gegen die DSGVO zu verstoßen. Das Grundprinzip: Der Verantwortliche trägt weiterhin die datenschutzrechtliche Verantwortung für die Verarbeitung, der Auftragsverarbeiter handelt jedoch strikt nach seinen dokumentierten Weisungen und darf die Daten nicht für eigene Zwecke nutzen.

In der Praxis stellen viele große Technologieanbieter standardisierte AVV-Dokumente bereit, die der Kunde durch Akzeptanz in den Kontoeinstellungen oder durch Unterzeichnung rechtswirksam abschließen kann. Google, HubSpot, Mailchimp, Salesforce und andere große Plattformen folgen dieser Praxis. Kleinere oder spezialisierte Dienstleister handeln AVV-Bedingungen mitunter individuell aus. Entscheidend ist in beiden Fällen, dass alle gesetzlichen Pflichtinhalte nach Art. 28 Abs. 3 DSGVO abgedeckt sind.

Besondere Aufmerksamkeit verdienen Klauseln zur Unterauftragsverarbeitung. Nahezu jeder Dienstleister setzt selbst weitere Subunternehmer ein – ein E-Mail-Marketing-Anbieter nutzt möglicherweise AWS als Cloud-Infrastruktur, Stripe für Zahlungsabwicklung und Zendesk für den Support. Jeder dieser Unterauftragsverarbeiter muss vertraglich an dieselben Datenschutzstandards gebunden sein wie der Hauptauftragsverarbeiter. Der Verantwortliche muss zumindest generell über neue Unterauftragsverarbeiter informiert werden und ein Widerspruchsrecht haben.

Auch nach Vertragsende ist der AVV relevant: Er muss regeln, was mit den verarbeiteten Daten nach Beendigung des Dienstleistungsverhältnisses geschieht – Löschung oder Rückgabe an den Verantwortlichen, verbunden mit der Pflicht zur Vernichtung aller Kopien beim Auftragsverarbeiter. Ein vollständig geschlossener und gelebter AVV ist darüber hinaus ein wichtiges Instrument der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) und kann bei Behördenanfragen oder Beschwerden den Nachweis einer sorgfältigen Compliance erleichtern.

Gesetzlich vorgeschriebene Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer.
Vertraulichkeitspflicht: Alle zur Verarbeitung befugten Personen müssen zur Vertraulichkeit verpflichtet sein oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
Sicherheitsmaßnahmen (TOMs): Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Daten.
Unterauftragsverarbeitung: Einbindung weiterer Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen; bestehende Unterauftragsverarbeitungsverträge müssen denselben Datenschutzpflichten unterliegen.
Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Auskunfts-, Lösch- und anderen Betroffenenanfragen.
Unterstützung bei Sicherheitspflichten: Hilfe bei der Erfüllung der Pflichten gemäß Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und der Meldung von Datenpannen.
Löschung und Rückgabe: Nach Abschluss der Verarbeitungsleistungen werden alle personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben; bestehende Kopien sind zu vernichten.
Nachweispflichten und Audit-Recht: Der Auftragsverarbeiter stellt alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten zur Verfügung und ermöglicht Überprüfungen durch den Verantwortlichen oder von ihm beauftragte Auditoren.

Typische Fehler und Fallstricke in der Praxis

Fehlender AVV: Der häufigste und gravierendste Fehler – kein Vertrag trotz Auftragsverarbeitung. Aufsichtsbehörden können dies direkt mit Bußgeldern ahnden.
Unvollständige Pflichtinhalte: Der AVV existiert, enthält aber nicht alle nach Art. 28 Abs. 3 DSGVO geforderten Punkte. Besonders häufig fehlen detaillierte TOMs oder Regelungen zur Unterauftragsverarbeitung.
Veraltete Dokumente: Der AVV wurde vor der DSGVO nach altem Recht geschlossen und seitdem nicht aktualisiert.
Fehlende Dokumentation: Der AVV wurde akzeptiert (z. B. durch Checkbox), aber kein Nachweis darüber aufbewahrt. Im Fall einer Behördenanfrage muss der Verantwortliche den Abschluss nachweisen können.
Verwechslung mit anderen Vertragstypen: Ein NDA (Non-Disclosure Agreement) oder eine einfache Datenschutzklausel im Dienstleistungsvertrag ersetzt keinen vollständigen AVV nach Art. 28 DSGVO.
Drittlandübermittlung ohne Zusatzsicherungen: Wenn der Auftragsverarbeiter in einem Drittland außerhalb der EU/EWR sitzt, reicht der AVV allein nicht; es bedarf zusätzlicher Übertragungsmechanismen wie Standardvertragsklauseln oder des EU-US Data Privacy Framework.

Praxistipp: Erstelle eine zentrale AVV-Übersicht für alle eingesetzten Dienstleister und prüfe jährlich, ob noch aktuelle und vollständige Verträge vorliegen. Achte besonders auf Dienstleister aus den USA: Hier muss neben dem AVV auch ein geeigneter Transfermechanismus vorhanden sein. Speichere alle abgeschlossenen AVV-Dokumente revisionssicher – idealerweise im Datenschutzmanagement-System – und dokumentiere das Datum des Vertragsschlusses sowie etwaige Änderungen. Wenn ein Anbieter keinen AVV anbietet oder Anfragen dazu ignoriert, sollte dies als klares Warnsignal für die Anbieterwahl gewertet werden.