Auftragsverarbeitungsvertrag (AVV) – was du als Verein oder KMU wissen musst

Du nutzt einen Cloud-Dienst für dein Unternehmen oder deinen Verein – einen Chat, eine Dateiverwaltung oder ein CRM. Dann verarbeitet dieser Dienst typischerweise personenbezogene Daten in deinem Auftrag. Und genau dafür brauchst du einen Auftragsverarbeitungsvertrag (AVV). Klingt nach Bürokratie? Ist es auch ein bisschen – aber weniger kompliziert, als der Name vermuten lässt.

Hinweis: Dieser Beitrag gibt dir einen praxisnahen Überblick, ersetzt aber keine Rechtsberatung im Einzelfall.

Das Wichtigste in Kürze

• Ein AVV ist ein Vertrag zwischen dir (dem Verantwortlichen) und einem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet.
• Er ist gesetzlich vorgeschrieben (Art. 28 DSGVO) – ohne AVV drohen Bußgelder.
• Nicht jede Geschäftsbeziehung erfordert einen AVV – entscheidend ist, ob der Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet.
• Ein guter AVV schützt dich und deine Mitglieder bzw. Kund:innen – er verpflichtet deinen Dienstleister, sich an die Datenschutzregeln zu halten.

Was ist ein AVV – und warum brauchst du einen?

Die DSGVO unterscheidet zwei Rollen: den Verantwortlichen und den Auftragsverarbeiter. Der Verantwortliche entscheidet, warum und wie personenbezogene Daten verarbeitet werden – das bist du als Unternehmen oder Verein. Der Auftragsverarbeiter ist der Dienstleister, der die Daten in deinem Auftrag verarbeitet – z.B. ein Hosting-Anbieter, ein E-Mail-Marketing-Tool oder ein Cloud-Speicher.

Exkurs: Was heißt das konkret?

• Personenbezogene Daten sind alle Informationen, die auf eine bestimmte Person schließen lassen – z. B. Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Geburtsdaten oder Vereinsmitgliedsnummern.
• Verarbeiten meint praktisch jeden denkbaren Umgang mit Daten: Erheben, Speichern, Auslesen, Verändern, Übermitteln oder Löschen. Schon das bloße Hosten oder Lagern von Daten auf einem fremden Server gilt rechtlich als Verarbeitung.

Der AVV definiert die Spielregeln: Was darf der Dienstleister mit den Daten machen? Wie schützt er sie? Was passiert, wenn etwas schiefgeht? Er stellt sicher, dass dein Dienstleister die Daten nicht für eigene Zwecke nutzt und dieselben Datenschutzstandards einhält wie du.

Ohne AVV verstößt du gegen Art. 28 DSGVO – die Pflicht trifft dabei beide Seiten, also auch den Dienstleister. Die Bußgelder können bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. In der Praxis verhängen die Aufsichtsbehörden bei KMU und Vereinen zwar selten Millionenstrafen, dokumentierte Bußgelder bewegen sich aber durchaus im vier- bis fünfstelligen Bereich – und ein Datenschutzverstoß schadet auch dem Vertrauen deiner Kund:innen oder Mitglieder.

Wann brauchst du einen AVV – und wann nicht?

Diese Frage sorgt in der Praxis für die meiste Unsicherheit. Als einfache Faustregel helfen dir zwei Fragen:

1. Erhält der Dienstleister Zugriff auf personenbezogene Daten? (z. B. Kundendaten, Mitgliederlisten, IP-Adressen)
2. Handelt der Dienstleister als dein „verlängerter Arm“? (verarbeitet er die Daten ausschließlich in deinem Auftrag und nach deinen Anweisungen – und nicht aufgrund eigener gesetzlicher oder berufsrechtlicher Pflichten?)

👉 Beides Ja? Dann brauchst du einen AVV.

Hier die wichtigsten Praxisbeispiele im Überblick:

AVV nötig: - Cloud-Hosting-Anbieter, die deine Anwendungen betreiben (z.B. server.camp, AWS, Hetzner) - E-Mail-Marketing-Dienste (z.B. Mailchimp, Brevo) - CRM-Systeme als SaaS (z.B. HubSpot, Pipedrive) - Cloud-Speicher, in denen personenbezogene Daten liegen (z.B. Dropbox, Google Drive) - Externe IT-Dienstleister, die auf deine Systeme zugreifen (z.B. für Wartung) - Externe Lohnbüros und Gehaltsabrechnungsdienste (sofern die Abrechnung nicht dein Steuerberater übernimmt – siehe unten)

Kein AVV nötig: - Steuerberater und Rechtsanwälte – sie verarbeiten Daten nicht in deinem Auftrag, sondern aufgrund eigener berufsrechtlicher Pflichten. Sie sind eigenständig Verantwortliche. - Banken und Zahlungsdienstleister – auch sie verarbeiten Zahlungsdaten aufgrund eigener vertraglicher und regulatorischer Verpflichtungen. - Brief- und Paketdienstleister (Post, DHL) – sie erbringen eine eigenständige, gesetzlich geregelte Dienstleistung (unter dem Postgeheimnis) und gelten als eigenständig Verantwortliche. - Telekommunikationsanbieter (z. B. Telekom, Vodafone) – sie erbringen reine Übertragungsleistungen unter dem Fernmeldegeheimnis (TDDDG) und sind keine Auftragsverarbeiter. - Rein interne Softwarelizenzen ohne Cloud-Anbindung – wenn die Daten auf deinem eigenen Server bleiben und der Hersteller keinen Zugriff hat.

Grauzone & Sonderfälle: Bei manchen Konstellationen ist die Abgrenzung knifflig – etwa bei Software mit Telemetrie-Daten, externer IT-Wartung oder der gemeinsamen Nutzung von Datenquellen. Manchmal liegt rechtlich keine Auftragsverarbeitung vor, sondern eine Gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Prüfe im Zweifel, welche Rolle der Dienstleister tatsächlich einnimmt, bevor du einen Vertrag unterzeichnest.

Was muss in einem AVV stehen?

Art. 28 Abs. 3 DSGVO definiert die Mindestinhalte. Die wichtigsten Klauseln im Überblick:

Gegenstand und Dauer: Was genau wird verarbeitet, wie lange, welche Arten von Daten (z.B. Namen, E-Mail-Adressen, IP-Adressen) und welche Kategorien von Betroffenen (z.B. Kund:innen, Mitglieder, Mitarbeiter:innen)?

Weisungsgebundenheit: Der Auftragsverarbeiter darf die Daten nur nach deiner dokumentierten Weisung verarbeiten, nicht für eigene Zwecke.

Vertraulichkeit: Alle Personen mit Zugang zu den Daten müssen zur Vertraulichkeit verpflichtet sein.

Technische und organisatorische Maßnahmen (TOMs): Der Auftragsverarbeiter muss konkret beschreiben, wie er die Daten schützt – Verschlüsselung, Zugriffskontrollen, Backup-Konzept, Pseudonymisierung etc.

Unterauftragsverarbeiter: Setzt der Dienstleister selbst Dritte ein (z.B. ein Rechenzentrum)? Wenn ja, braucht er dafür deine Genehmigung – entweder im Einzelfall oder als allgemeine Genehmigung. Bei Letzterer muss er dich über geplante Änderungen informieren, und du kannst widersprechen.

Unterstützungspflichten: Der Auftragsverarbeiter muss dich bei der Erfüllung von Betroffenenrechten unterstützen (Auskunft, Löschung, Berichtigung) und dich bei Datenpannen unverzüglich informieren.

Löschung nach Vertragsende: Die Daten werden gelöscht oder zurückgegeben – nach deiner Wahl, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Kontrollrechte: Du hast das Recht, die Einhaltung der Maßnahmen zu überprüfen – durch Audits oder durch Vorlage von Zertifizierungen.

Checkliste: AVV in 5 Minuten prüfen

Du hast einen AVV vorliegen und willst wissen, ob er taugt? Geh diese Punkte durch:

• Sind Gegenstand, Dauer und Art der Daten konkret beschrieben?
• Ist die Weisungsgebundenheit klar geregelt?
• Gibt es eine Liste der technischen und organisatorischen Maßnahmen (TOMs)?
• Sind Unterauftragsverarbeiter benannt und das Genehmigungsverfahren beschrieben?
• Ist geregelt, was bei einer Datenpanne passiert (Meldepflicht, Fristen)?
• Sind die Betroffenenrechte (Auskunft, Löschung) und die Unterstützungspflicht geregelt?
• Ist die Löschung oder Rückgabe der Daten nach Vertragsende festgelegt?
• Gibt es Kontrollrechte (Audit-Recht)?
• Ist der Serverstandort genannt? (Idealerweise EU/EWR)
• Bei Drittlandtransfer: Gibt es Standardvertragsklauseln oder einen Angemessenheitsbeschluss?

Sind alle Punkte abgehakt, ist der AVV solide – eine Prüfung deines konkreten Einzelfalls ersetzt das natürlich nicht.

Typische Fehler, die du vermeiden solltest

Fehler 1: Gar keinen AVV abschließen. Der häufigste Fehler. Viele KMU und Vereine nutzen seit Jahren Cloud-Dienste, ohne je einen AVV abgeschlossen zu haben – ein Verstoß gegen die DSGVO, auch wenn bisher nichts passiert ist.

Fehler 2: Den AVV nicht lesen. Viele Anbieter stellen standardisierte AVVs bereit, die du mit einem Klick akzeptierst. Bequem, aber prüfe zumindest die TOMs und die Unterauftragsverarbeiter-Liste. Wenn dein Anbieter seine Server in den USA betreibt und weder nach dem EU-US Data Privacy Framework zertifiziert ist noch Standardvertragsklauseln vorweist, hilft der schönste AVV nichts. Warum Serverstandort und Datenhoheit so eng zusammenhängen, haben wir im Beitrag zu digitaler Souveränität beschrieben.

Fehler 3: AVV mit dem falschen Partner abschließen. Dein Steuerberater braucht keinen AVV (siehe oben), dein Newsletter-Tool schon. Verwechsle nicht, wer Auftragsverarbeiter ist und wer eigenständig Verantwortlicher.

Fehler 4: Den AVV in der Schublade vergessen. Ein AVV ist kein einmaliger Akt. Prüfe regelmäßig, ob die Angaben noch stimmen – besonders die Liste der Unterauftragsverarbeiter ändert sich häufig.

Wie wir bei server.camp mit AVVs umgehen

Ein kurzer Einblick in unsere Praxis: Wir stellen allen Kund:innen einen AVV nach Art. 28 DSGVO bereit, der die oben genannten Mindestinhalte abdeckt. Unsere Server stehen in Deutschland, es gibt keinen Drittlandtransfer. Die TOMs sind dokumentiert und werden regelmäßig überprüft.

Die Unterauftragsverarbeiter sind transparent aufgelistet – bei uns primär der Rechenzentrumsbetreiber. Neue Unterauftragsverarbeiter werden vorab angekündigt, sodass du widersprechen kannst. Wenn du den Vertrag beendest, werden deine Daten wirklich gelöscht, nicht nur deaktiviert.

Häufige Fragen zum AVV

Brauche ich für jeden Cloud-Dienst einen AVV? Für jeden, der in deinem Auftrag personenbezogene Daten verarbeitet – also Hosting, Newsletter-Tools, Cloud-Speicher. Steuerberater, Banken und reine Briefdienstleister brauchen keinen, weil sie eigenständig verantwortlich sind.

Was kostet ein Verstoß gegen die AVV-Pflicht? Der Bußgeldrahmen reicht bis 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Bei KMU und Vereinen sind vier- bis fünfstellige Beträge realistischer – teuer genug.

Wer stellt den AVV – ich oder der Anbieter? In der Regel stellt der Dienstleister einen Standard-AVV bereit, den du prüfst und abschließt. Dafür zu sorgen, dass überhaupt einer existiert, ist aber deine Pflicht als Verantwortlicher.

Muss der AVV ausgedruckt und handschriftlich unterschrieben werden? Nein. Gemäß Art. 28 Abs. 9 DSGVO kann ein AVV auch in elektronischer Form abgeschlossen werden. Ein Klick im Kundenportal (z. B. Bestätigen der AGB/AVV bei der Registrierung) oder eine Vereinbarung per E-Mail ist rechtlich vollkommen ausreichend und gültig.

Fazit

Ein AVV ist ein standardisiertes Dokument, das klarstellt, wie dein Dienstleister mit den Daten deiner Kund:innen oder Mitglieder umgeht. Die meisten seriösen Anbieter haben fertige AVVs, die du herunterladen oder direkt online abschließen kannst. Dein Job ist es, zu prüfen, ob der AVV vollständig ist und ob der Anbieter hält, was er verspricht.

Von den Prüfpunkten lohnen zwei den genauesten Blick: der Serverstandort und die Liste der Unterauftragsverarbeiter. Bei EU-Hosting ohne Drittlandtransfer erledigt sich damit die schwierigste Frage von selbst – und der abgeschlossene AVV ist Teil deines Nachweises, dass du datenschutzkonform arbeitest.