Ein Vertrag zur Auftragsverarbeitung ist erforderlich, wenn ein rechtlich selbstständiger Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. Entscheidend ist die tatsächlich ausgeübte Rolle – nicht die Überschrift des Vertrags. Art. 28 verlangt einen bindenden Vertrag oder ein anderes Rechtsinstrument mit konkreten Pflichtregelungen; bei Drittlandbezug kommt zusätzlich Kapitel V der DSGVO hinzu.
Kernaussagen
- Funktion vor Etikett: Wer eigene Zwecke und wesentliche Mittel bestimmt, wird nicht durch einen „AVV“ zum Auftragsverarbeiter.
- Nur geeignete Anbieter: Der Verantwortliche darf nur Auftragsverarbeiter mit ausreichenden Garantien einsetzen.
- Konkreter Vertrag: Eine bloße Wiederholung des Gesetzestextes reicht für die praktische Steuerung nicht.
- Unterauftrag nur kontrolliert: Vorherige spezifische oder allgemeine schriftliche Genehmigung, Änderungsinformation und gleichwertige Pflichten sind erforderlich.
- Verantwortung bleibt: Der Verantwortliche muss Auswahl, Weisungen und Kontrolle nachweisen können.
- Art. 28 ist kein Transfermechanismus: Die EU-Standardklauseln aus Beschluss 2021/915 regeln Auftragsverarbeitung, lösen aber keine Drittlandübermittlung nach Kapitel V.
Wann liegt Auftragsverarbeitung nach Art. 28 DSGVO vor?
Auftragsverarbeitung setzt zwei Elemente voraus:
- Der Dienstleister ist eine vom Verantwortlichen getrennte Stelle.
- Er verarbeitet personenbezogene Daten für den Verantwortlichen und grundsätzlich nur nach dessen dokumentierten Weisungen.
Die Rollen folgen den tatsächlichen Aufgaben und Entscheidungsbefugnissen. Vertragliche Bezeichnungen sind ein Indiz, aber nicht ausschlaggebend. Bestimmt ein vermeintlicher Auftragsverarbeiter entgegen der DSGVO eigene Zwecke und Mittel, gilt er für diese Verarbeitung nach Art. 28 Abs. 10 als Verantwortlicher.
Rollenprüfung in fünf Fragen
- Wer bestimmt, warum verarbeitet wird? Eigene Geschäftszwecke sprechen für eine Verantwortlichenrolle.
- Wer entscheidet über die wesentlichen Mittel? Dazu zählen etwa Datenarten, betroffene Personen, Zugriffsberechtigte und Speicherdauer. Rein technische Detailentscheidungen kann ein Auftragsverarbeiter innerhalb des Auftrags treffen.
- Wessen Aufgabe wird erfüllt? Der Dienstleister muss eine Verarbeitung im Interesse und Auftrag des Verantwortlichen übernehmen.
- Gibt es einen eigenen gesetzlichen Auftrag oder eigene Pflichten? Dann kann der Anbieter insoweit selbst Verantwortlicher sein.
- Können mehrere Rollen nebeneinander bestehen? Ein Anbieter kann für einen Vorgang Auftragsverarbeiter und für einen anderen eigener Verantwortlicher sein.
Mitarbeitende innerhalb der Organisation sind nicht allein wegen ihres Datenzugriffs Auftragsverarbeiter. Umgekehrt ist nicht jeder externe Empfänger automatisch ein Auftragsverarbeiter.
Typische Fälle – und warum Pauschallisten nicht genügen
| Konstellation | Typische Einordnung | Was zu prüfen ist |
|---|---|---|
| Hosting oder Softwarebetrieb | häufig Auftragsverarbeitung | eigene Produktanalyse, Telemetrie, Supportzugriffe, Speicherentscheidungen |
| Externe Lohnabrechnung | häufig Auftragsverarbeitung | eigene gesetzliche Melde- oder Aufbewahrungspflichten und genaue Leistung |
| IT-Wartung mit möglichem Datenzugriff | kann Auftragsverarbeitung sein | ob Zugriff Teil des Auftrags ist oder nur rein zufällig und vermeidbar bleibt |
| Zahlungsdienst, Bank oder Behörde | häufig eigene Verantwortlichkeit | eigener gesetzlicher und geschäftlicher Zweck |
| Berufsgeheimnisträger | nicht automatisch Auftragsverarbeiter | tatsächliche fachliche Unabhängigkeit und eigener Auftrag |
| Gemeinsame Plattform oder Kampagne | möglicherweise gemeinsame Verantwortung | gemeinsame Festlegung von Zwecken und wesentlichen Mitteln |
Diese Einordnungen sind Ausgangspunkte, keine Branchenregel. Der konkrete Datenfluss und die tatsächliche Entscheidungsmacht müssen dokumentiert werden.
Auswahlpflicht: „hinreichende Garantien“ prüfen
Der Verantwortliche darf nur Anbieter einsetzen, die hinreichend gewährleisten, dass geeignete technische und organisatorische Maßnahmen so umgesetzt werden, dass die Verarbeitung DSGVO-konform erfolgt und Betroffenenrechte geschützt werden.
Eine risikogerechte Prüfung kann umfassen:
- Sicherheitskonzept und technische sowie organisatorische Maßnahmen
- Erfahrung, Fachwissen und Ressourcen
- Umgang mit Sicherheitsvorfällen und Betroffenenanträgen
- Standorte, Zugriffsmöglichkeiten und internationale Datenflüsse
- Unterauftragsverarbeiter und deren Wechselprozess
- Löschung, Rückgabe und Portabilität bei Vertragsende
- aussagekräftige Prüfberichte oder Zertifizierungen
- bekannte Abweichungen und vereinbarte Verbesserungsmaßnahmen
Ein Zertifikat kann die Prüfung unterstützen, ersetzt sie aber nicht. Umfang und Tiefe richten sich nach Art, Kontext und Risiko der Verarbeitung.
Was muss im AV-Vertrag stehen?
Der Vertrag oder das andere Rechtsinstrument muss den Auftragsverarbeiter binden und schriftlich – ausdrücklich auch elektronisch – vorliegen.
Beschreibung des Auftrags
Art. 28 Abs. 3 verlangt zunächst eine konkrete Beschreibung von:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten
- Kategorien betroffener Personen
- Pflichten und Rechte des Verantwortlichen
Diese Angaben gehören nicht als leere Platzhalter in einen Anhang. Sie müssen zum realen Dienst, seinen Funktionen und der vereinbarten Laufzeit passen.
Pflichten des Auftragsverarbeiters
Der Vertrag muss insbesondere regeln, dass der Auftragsverarbeiter:
- nur auf dokumentierte Weisung verarbeitet, auch bei Übermittlungen in Drittländer oder an internationale Organisationen; eine rechtlich vorgeschriebene Verarbeitung ist vorab mitzuteilen, soweit das betreffende Recht dies erlaubt;
- zur Vertraulichkeit verpflichtete Personen einsetzt oder Personen, die einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
- alle erforderlichen Maßnahmen nach Art. 32 ergreift;
- die Bedingungen für weitere Auftragsverarbeiter einhält;
- den Verantwortlichen durch geeignete Maßnahmen bei Anträgen betroffener Personen unterstützt;
- unter Berücksichtigung der verfügbaren Informationen bei Pflichten aus Art. 32 bis 36 unterstützt, also insbesondere Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation;
- nach Abschluss der Leistung nach Wahl des Verantwortlichen alle personenbezogenen Daten löscht oder zurückgibt und Kopien löscht, soweit keine gesetzliche Speicherpflicht entgegensteht;
- alle erforderlichen Informationen zum Nachweis bereitstellt, Überprüfungen einschließlich Inspektionen ermöglicht und beiträgt sowie unverzüglich informiert, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
Der Vertrag sollte diese Pflichten operationalisieren: Wer meldet was über welchen Kanal und in welcher Zeit? Welche Systeme und Standorte umfasst die Löschung? Welche Nachweise sind verfügbar? Wer darf Weisungen erteilen? Die EDPB-Leitlinien betonen, dass ein AV-Vertrag die DSGVO nicht lediglich nacherzählen, sondern die konkrete Verarbeitung abbilden soll.
Technische und organisatorische Maßnahmen richtig beschreiben
Ein Anhang mit „Verschlüsselung, Zutrittskontrolle, Backups“ ohne Geltungsbereich oder Ausprägung ist kaum steuerbar. Die Beschreibung sollte risikogerecht erkennen lassen:
- welche Daten in Übertragung und Speicherung wie geschützt werden;
- wie Identitäten, Rollen, privilegierte Zugriffe und Protokolle verwaltet werden;
- wie Verfügbarkeit, Wiederherstellung und regelmäßige Wirksamkeitsprüfungen organisiert sind;
- welche Mandantentrennung und Entwicklungs-/Produktivtrennung besteht;
- wie Schwachstellen, Änderungen und Vorfälle behandelt werden;
- welche Maßnahmen für Löschung, Rückgabe und Datenträger gelten.
Zu viele operative Geheimdetails im Hauptvertrag können die Pflege erschweren. Sinnvoll sind versionierte Anlagen mit einem geregelten Änderungsprozess, ohne das vereinbarte Schutzniveau einseitig absenken zu lassen.
Unterauftragsverarbeiter: Genehmigung, Information und Haftung
Ein Auftragsverarbeiter darf einen weiteren Auftragsverarbeiter nur mit vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen.
Bei einer allgemeinen Genehmigung muss er beabsichtigte Hinzuziehungen oder Ersetzungen rechtzeitig mitteilen, damit der Verantwortliche widersprechen kann. Der Vertrag sollte deshalb festlegen:
- welche aktuelle Unterauftragnehmerliste verbindlich ist;
- mit welchem Vorlauf und über welchen Kanal Änderungen mitgeteilt werden;
- welche Informationen zur Prüfung bereitgestellt werden;
- welche Folgen ein begründeter Widerspruch hat;
- wie kurzfristige Sicherheits- oder Leistungsnotfälle behandelt werden.
Dem weiteren Auftragsverarbeiter müssen dieselben Datenschutzpflichten auferlegt werden, die im Vertrag oder anderen Rechtsinstrument zwischen Verantwortlichem und erstem Auftragsverarbeiter nach Art. 28 Abs. 3 festgelegt sind. Insbesondere muss er hinreichende Garantien dafür bieten, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung die Anforderungen der DSGVO erfüllt. Erfüllt er seine Datenschutzpflichten nicht, bleibt der erste Auftragsverarbeiter dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich.
Eine Liste ohne Änderungsprozess genügt ebenso wenig wie ein Änderungsnewsletter, den niemand im Unternehmen überwacht.
Weisungen, Kontrollen und Vorfälle praktisch steuern
Weisungen
Grundweisungen sollten bereits im Vertrag und in der Leistungsbeschreibung dokumentiert sein. Einzelweisungen brauchen benannte Berechtigte, einen nachvollziehbaren Kanal und eine Prüfung ihrer Umsetzbarkeit. Der Auftragsverarbeiter darf nicht stillschweigend einen eigenen Zweck hinzufügen.
Kontrollen
Der Verantwortliche muss Rechenschaft ablegen können. Kontrollen können je nach Risiko durch Fragebögen, Nachweise, Prüfberichte, Zertifizierungen, Gespräche, technische Evidenz oder Vor-Ort-Inspektionen erfolgen. Ein rein theoretisches Auditrechts ohne Auswertung reicht nicht; zugleich ist nicht für jeden risikoarmen Dienst jährlich eine Vor-Ort-Prüfung erforderlich.
Festgestellte Abweichungen benötigen Verantwortliche, Fristen, Nachverfolgung und gegebenenfalls Eskalation bis zur Aussetzung oder Beendigung des Einsatzes.
Datenschutzverletzungen
Der Auftragsverarbeiter muss den Verantwortlichen nach Art. 33 Abs. 2 unverzüglich informieren, nachdem ihm eine Verletzung bekannt wurde. Der AV-Vertrag sollte Meldestelle, Mindestinhalt, laufende Updates, Beweissicherung und Zusammenarbeit festlegen. Eine vertragliche Zeitvorgabe kann die Zusammenarbeit konkretisieren, darf die gesetzliche Unverzüglichkeit aber nicht abschwächen.
Art. 28 und Drittlandtransfer sind zwei getrennte Prüfungen
Ein wirksamer AV-Vertrag beantwortet die Rollen- und Auftragsfrage. Er schafft allein keine Rechtsgrundlage für eine Übermittlung an einen Empfänger in einem Drittland.
Bei einem Drittlandbezug sind zusätzlich die Voraussetzungen von Kapitel V zu prüfen, etwa:
- Liegt ein Angemessenheitsbeschluss vor?
- Wenn nicht: Welches geeignete Instrument nach Art. 46 wird verwendet?
- Müssen das Recht und die Praxis des Empfängerlands sowie ergänzende Maßnahmen bewertet werden?
- Erfasst das Instrument alle Fernzugriffe und Unterauftragsketten?
Zwei EU-Klauselwerke nicht verwechseln
- Beschluss (EU) 2021/915: optionale Standardvertragsklauseln zur Erfüllung von Art. 28 zwischen Verantwortlichen und Auftragsverarbeitern. Sie sind kein Übermittlungsinstrument nach Kapitel V.
- Beschluss (EU) 2021/914: Standardvertragsklauseln für Übermittlungen in Drittländer. Die einschlägigen Module enthalten bei Auftragsverarbeitung zugleich vertragliche Pflichten, verlangen aber eine passende Modulwahl und die vollständige Transferprüfung.
„Wir haben SCCs“ ist daher noch kein Ergebnis. Im Vertragsregister sollte klar stehen, welcher Beschluss, welches Modul, welche Parteien, welche Anhänge und welche Übermittlungen gemeint sind.
AV-Verträge wirksam verwalten
Ein belastbarer Lebenszyklus besteht aus:
- Bedarf und Rollen bestimmen – vor Beschaffung und Datenzugang.
- Anbieter prüfen – Garantien, Risiken, Unterauftragnehmer und Transfers bewerten.
- Vertrag konkretisieren – Leistung, Daten, Betroffene, TOM, Hilfeleistungen und Ende ausfüllen.
- Freigabe dokumentieren – einschließlich Risikoverantwortung und offener Maßnahmen.
- Änderungen überwachen – Produktumfang, TOM, Standorte und Unterauftragnehmer.
- Leistung kontrollieren – risikobasiert und mit bearbeiteten Feststellungen.
- Exit durchführen – Daten zurückgeben oder löschen, Konten schließen und Nachweise sichern.
Das Verzeichnis von Verarbeitungstätigkeiten, die Dienstleisterübersicht und das Transferregister sollten dieselbe reale Lieferkette abbilden. Widersprüche zwischen diesen Beständen sind ein Frühwarnsignal.
Häufige Fehler
- „Jeder Dienstleister braucht einen AVV“: Nur die tatsächliche Rolle entscheidet.
- „Was im Vertrag steht, bestimmt die Rolle“: Widerspricht die Praxis dem Papier, gilt die tatsächliche Verarbeitung.
- „Die EU-Vorlage ist vorgeschrieben“: Beschluss 2021/915 ist optional; individuelle Verträge sind zulässig, wenn sie Art. 28 erfüllen.
- „Eine Unterschrift auf leeren Anlagen genügt“: Datenarten, Zwecke, TOM und Unterauftragnehmer müssen konkret sein.
- „Allgemeine Genehmigung bedeutet freie Anbieterwahl“: Änderungen sind mitzuteilen und ein Widerspruch muss möglich sein.
- „Der Auftragsverarbeiter übernimmt die DSGVO-Verantwortung“: Der Verantwortliche bleibt für Auswahl, Weisungen und Aufsicht verantwortlich.
- „Ein AVV löst den US-Transfer“: Kapitel V ist zusätzlich zu erfüllen.
- „Ein Zertifikat ersetzt Kontrollen“: Es ist ein möglicher Nachweis, nicht die gesamte Rechenschaft.
FAQ
Muss ein AV-Vertrag handschriftlich unterschrieben werden?
Nein. Art. 28 Abs. 9 verlangt Schriftform einschließlich eines elektronischen Formats. Entscheidend sind Bindungswirkung, Inhalt und nachvollziehbarer Vertragsschluss.
Ist ein Cloud-Anbieter immer Auftragsverarbeiter?
Häufig, aber nicht automatisch für jede Verarbeitung. Eigene Zwecke wie bestimmte Produktanalysen oder gesetzliche Pflichten können eine getrennte Rollenbewertung erfordern.
Darf der Auftragsverarbeiter die eingesetzte Technik auswählen?
Er darf nicht wesentliche Zweck- und Mittelentscheidungen des Verantwortlichen übernehmen. Technische und organisatorische Detailentscheidungen können ihm überlassen sein, solange sie innerhalb des Auftrags, der Weisungen und des vereinbarten Schutzniveaus bleiben.
Muss jeder Unterauftragsverarbeiter namentlich im Hauptvertrag stehen?
Eine aktuelle, verbindlich einbezogene Liste oder Anlage kann genügen. Entscheidend sind Transparenz, vorherige Genehmigung, Änderungsinformation und die Möglichkeit zum Widerspruch bei allgemeiner Genehmigung.
Kann der Verantwortliche vollständig auf Audits verzichten?
Er muss sich von den hinreichenden Garantien und der Vertragserfüllung überzeugen können. Welche Nachweise und Kontrollen erforderlich sind, richtet sich nach dem Risiko; ein pauschaler vollständiger Verzicht ist mit der Rechenschaftspflicht schwer vereinbar.
Unterstützung im Lieferantenmanagement
Wir unterstützen bei Rollenprüfung, AV-Verträgen, Unterauftragnehmerketten und risikobasierten Kontrollen. Mehr dazu finden Sie unter Lieferantenmanagement.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
- Datenschutz-Grundverordnung, insbesondere Art. 4, 24, 28, 32 bis 36 und Kapitel V (EUR-Lex)
- Guidelines 07/2020 on the concepts of controller and processor, Version 2.1 (EDPB)
- Durchführungsbeschluss (EU) 2021/915 – Standardvertragsklauseln nach Art. 28
- Durchführungsbeschluss (EU) 2021/914 – Standardvertragsklauseln für Drittlandübermittlungen
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.