Auftragsverarbeitungsvertrag (AVV): Pflicht, Inhalt, Muster
Wann ein AVV nötig ist, wer Verantwortlicher oder Auftragsverarbeiter ist, was Art. 28 DSGVO verlangt, die 72-Stunden-Frist bei Datenpannen und ein Muster.
Auf einen Blick
Kurz gesagt: Wann Sie einen AVV brauchen
Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie, wenn ein anderes Unternehmen personenbezogene Daten in Ihrem Auftrag verarbeitet: der Hoster Ihrer Kundendatenbank, der Dienst, der Ihren Newsletter verschickt, das Lohnbüro oder eine freie Entwicklerin, die in Ihren Systemen arbeitet. Sie entscheiden, wozu und wie die Daten genutzt werden, also sind Sie der Verantwortliche; die andere Seite handelt nach Ihren Weisungen und ist der Auftragsverarbeiter.
Artikel 28 DSGVO verlangt für dieses Verhältnis einen Vertrag mit festgelegtem Inhalt, und Artikel 33 gibt dem Verantwortlichen 72 Stunden für die Meldung einer Datenpanne. Beide Artikel wurden am 7. Oktober 2026 auf EUR-Lex in der deutschen Fassung gelesen. Dieser Ratgeber ist eine allgemeine Erklärung, keine Rechtsberatung; der Vertragstext von QuoteBill ist ein Muster.
Verantwortlicher oder Auftragsverarbeiter: ein schneller Test
Fragen Sie, wer über den Zweck entscheidet. Einige häufige Fälle:
- Ein Hoster oder SaaS-Anbieter, der Ihre Kundendaten speichert: Auftragsverarbeiter.
- Ein E-Mail-Dienst, der Ihren Newsletter an Ihre Liste schickt: Auftragsverarbeiter.
- Eine freie Entwicklerin mit Zugriff auf Ihre Produktivdatenbank: Auftragsverarbeiter.
- Steuerberatung oder Anwaltskanzlei, die Mandantendaten nach eigenen Berufspflichten nutzt: oft selbst Verantwortliche.
- Zwei Unternehmen, die Zweck und Mittel gemeinsam festlegen, können gemeinsam Verantwortliche sein; das braucht eine andere Vereinbarung.
Was Artikel 28 in den Vertrag schreibt
Artikel 28 Absatz 3 legt den Inhalt des Vertrags zwischen Verantwortlichem und Auftragsverarbeiter fest: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Der Auftragsverarbeiter muss:
- die Daten nur auf dokumentierte Weisung verarbeiten, auch bei Übermittlungen in ein Drittland;
- sicherstellen, dass die mit den Daten befassten Personen zur Vertraulichkeit verpflichtet sind;
- geeignete technische und organisatorische Sicherheitsmaßnahmen treffen;
- weitere Auftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung einsetzen (Absatz 2) und ihnen dieselben Pflichten auferlegen;
- dem Verantwortlichen bei Anfragen betroffener Personen und bei Sicherheit, Meldungen und Folgenabschätzung helfen;
- die Daten am Ende löschen oder zurückgeben und alle Informationen zum Nachweis bereitstellen, Überprüfungen eingeschlossen.
Beispiel: ein Onlineshop und sein Newsletter-Dienst
Ein Onlineshop nutzt einen Newsletter-Dienst. Der AVV nennt als Gegenstand den Versand von Newslettern an angemeldete Kunden, als Daten Namen, E-Mail-Adressen und Bestellhistorie und als betroffene Personen die Kunden. Der Dienst führt seinen Zustellanbieter als Unterauftragsverarbeiter auf und muss, wie das Muster es vorsieht, mindestens 30 Tage vor einem neuen Unterauftragsverarbeiter Bescheid geben.
Der Dienst entdeckt am 6. Oktober 2026 um 9:00 Uhr eine Datenpanne. Das Muster gibt ihm 48 Stunden, um den Shop zu informieren, also bis zum 8. Oktober 2026 um 9:00 Uhr; er meldet sie am 7. Oktober 2026 um 15:00 Uhr. Nach Artikel 33 DSGVO meldet der Shop als Verantwortlicher die Panne der Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, also bis zum 10. Oktober 2026 um 15:00 Uhr, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Eine klare Meldefrist im AVV macht die eigene Frist des Verantwortlichen erst erreichbar.
Was Artikel 33 vom Auftragsverarbeiter verlangt
Artikel 33 Absatz 2 verpflichtet den Auftragsverarbeiter, eine Verletzung des Schutzes personenbezogener Daten dem Verantwortlichen unverzüglich zu melden, nachdem sie ihm bekannt wurde. Eine Zahl nennt die Verordnung dafür nicht; die 72 Stunden in Absatz 1 gelten für den Verantwortlichen gegenüber der Aufsichtsbehörde. Deshalb steht im Vertrag eine feste Frist in Stunden, und sie muss deutlich kürzer sein als 72 Stunden, damit dem Verantwortlichen Zeit zum Prüfen und Melden bleibt. Vereinbaren Sie außerdem, was die Meldung enthält und über welchen Kanal sie kommt, damit sie nicht in einem Postfach liegen bleibt.
Das Muster von QuoteBill verwenden
Der Auftragsverarbeitungsvertrag von QuoteBill wird einem bestehenden Dienstleistungsvertrag hinzugefügt und geht bei personenbezogenen Daten vor. Er hat Felder für die Verarbeitung, die Sicherheitsmaßnahmen, die Unterauftragsverarbeiter mit ihren Standorten, die Meldefrist, die Länder, in denen Daten gespeichert werden, und das anwendbare Datenschutzrecht; er sagt, dass jede Partei prüfen muss, was dieses Recht verlangt, und fehlende Regelungen ergänzt. Lesen Sie ihn vor der Anmeldung vollständig auf seiner öffentlichen Seite.
Senden Sie ihn über E-Verträge zusammen mit dem Dienstleistungsvertrag. Das Ergebnis ist eine einfache elektronische Signatur mit Ereignisprotokoll, keine fortgeschrittene oder qualifizierte elektronische Signatur, und QuoteBill prüft nicht, wer unterschreibt; ob das genügt, hängt von Vertrag und Land ab. Das Muster ist keine Rechtsberatung.
Checkliste vor der Unterschrift
Für beide Seiten, Verantwortlicher und Auftragsverarbeiter:
0/6
Häufige Fragen
Brauche ich einen AVV mit meinem E-Mail- oder Hosting-Anbieter?
Wenn er personenbezogene Daten für Sie verarbeitet und die DSGVO gilt, ja. Große Anbieter veröffentlichen meist einen AVV, den Sie mit den Nutzungsbedingungen annehmen; lesen Sie ihn und bewahren Sie eine Kopie auf.
Reicht eine Vertraulichkeitsklausel im Dienstleistungsvertrag?
Nach der DSGVO nicht. Artikel 28 verlangt bestimmte Inhalte, etwa dokumentierte Weisungen, Regeln für Unterauftragsverarbeiter und Hilfe bei den Rechten der Betroffenen, die eine Vertraulichkeitsklausel nicht abdeckt.
Muss eine Freelancerin, die meine Kundendaten sieht, einen AVV unterschreiben?
Wenn sie diese Daten in Ihrem Auftrag verarbeitet, ist ein AVV oder eine gleichwertige Vereinbarung der sichere Weg. Beschränken Sie ihren Zugriff auf das, was die Arbeit braucht.
Wer meldet eine Datenpanne der Aufsichtsbehörde?
Der Verantwortliche entscheidet und meldet; der Auftragsverarbeiter informiert ihn unverzüglich und hilft. Die Frist des Verantwortlichen beträgt nach der DSGVO möglichst 72 Stunden.
Musterverträge, Formulare und Werkzeuge
Quellen
Alle 119 Musterverträge ansehen
Kostenlose Vorlagen: Angebot, Rechnung, Quittung
Rechnung für Softwarewartung
Rechnung für Softwarewartung: monatliche Fehlerbehebung, Einspielen von Sicherheitspatches und Störungsbehebung. Steuer und Summe werden automatisch berechnet.
Rechnung für IT-Support
Rechnung für IT-Support: Einrichtung der Büro-PCs, Wiederherstellung von Zugängen und Fernwartung. Online ausfüllen oder als Excel- und Word-Datei laden.
Rechnung für Webentwicklung
Rechnung für Webentwicklung: Funktionsumsetzung, responsive Umsetzung sowie Deployment und Abnahmeprüfung. Steuer und Summe werden automatisch berechnet.