Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist Pflicht, sobald ein externer Dienstleister personenbezogene Daten im Auftrag des Unternehmens verarbeitet — vom IT-Dienstleister mit Serverzugriff bis zum SaaS-Tool. In der Praxis fehlt er häufig oder ist unvollständig, besonders bei kleineren SaaS-Werkzeugen und lokalen IT-Dienstleistern. Das Bußgeld für einen fehlenden AVV kann bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes betragen; dass selbst ein einzelner fehlender Vertrag bereits 5.000 Euro kostete, zeigt: Die Aufsichtsbehörden sanktionieren AVV-Lücken auch ohne Datenschaden.

Um das zu beantworten — und zu verhindern —, brauchen Datenschutzkoordinatoren ein klares Bild von drei Fragen: Wann ist ein AV-Vertrag überhaupt Pflicht? Was muss drin stehen? Und was passiert, wenn der Dienstleister im Ausland sitzt?

Nicht jeder Dienstleister
braucht einen AV-Vertrag

Auftragsverarbeiter — so lautet der Rechtsbegriff aus Art. 4 Nr. 8 DSGVO für einen externen Dienstleister, der personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen verarbeitet, ohne eigenen Zweck zu verfolgen. Vereinfacht gesagt: Der Dienstleister tut mit den Daten, was das Unternehmen ihm sagt — nicht mehr und nicht weniger.

Typische Auftragsverarbeiter sind Webhoster, Cloud-Speicher, Newsletter-Dienste, externe Lohnbuchhaltung, IT-Systemhäuser mit Fernzugriff, CRM-Anbieter und Backup-Dienste. Bei allen gilt: sobald der Dienstleister Zugriff auf Personendaten hat und weisungsgebunden handelt, ist ein AV-Vertrag Pflicht. Ohne ihn ist die Verarbeitung rechtswidrig — auch wenn der Dienstleister technisch sauber arbeitet.

Kein AV-Vertrag ist dagegen nötig, wenn der Dienstleister für eigene Zwecke handelt und dabei eine eigene datenschutzrechtliche Verantwortung übernimmt. Der klassische Fall: der Steuerberater. Er unterliegt dem Steuerberatungsgesetz und dem Berufsgeheimnis, verarbeitet die ihm übermittelten Daten für seine eigene Beratungsleistung — und ist damit selbst Verantwortlicher, nicht Auftragsverarbeiter. Gleiches gilt für Rechtsanwälte und Wirtschaftsprüfer. Stattdessen empfiehlt sich dort eine Vertraulichkeitsvereinbarung. Auch Zahlungsdienstleister wie Stripe oder PayPal sind Mischfälle: Sie übernehmen Teile als eigene Verantwortliche (Zahlungsabwicklung), andere Teile laufen als Auftragsverarbeitung — der AVV gilt dann nur für den AV-Teil.

Die praktische Prüffrage lautet: Verarbeitet der Dienstleister die Daten nach unseren Weisungen für unsere Zwecke — oder für seine eigenen? Wer diese Frage für jeden externen Partner einmal systematisch durchgeht, hat die Grundlage für ein vollständiges AVV-Register.

Art. 28 setzt den Rahmen:
zwölf Pflichtinhalte, kein Spielraum

Ein AV-Vertrag ist mehr als eine Formalie. Art. 28 Abs. 3 DSGVO listet zwölf Mindestinhalte, die jeder Vertrag enthalten muss. Fehlt auch nur einer, ist der Vertrag rechtlich unvollständig — und das zählt für Aufsichtsbehörden als eigenständiger Verstoß.

Pflichtinhalte-Tabelle Art. 28 Abs. 3 DSGVO

Besondere Aufmerksamkeit verdienen Punkt 7 und Punkt 12. Die TOM-Anlage ist nicht optional — ein Vertrag, der pauschal „angemessene Maßnahmen" zusagt ohne sie zu benennen, besteht keine Aufsichtsprüfung. Und das Audit-Recht in Punkt 12 ist keine theoretische Macht: Das OLG Dresden hat im November 2024 entschieden (Az. 4 U 729/24), dass der Verantwortliche nach Vertragsende aktiv eine Löschbestätigung einfordern muss — wer das versäumt, kann sich bei einem späteren Datenleck nicht auf einen „Exzess" des Dienstleisters berufen. Der BGH hat im November 2025 (Az. VI ZR 396/24) diese Linie bestätigt und die laufende Kontrollpflicht über die gesamte Vertragslaufzeit verschärft.

Dienstleister prüfen, bevor der Vertrag unterschrieben wird

Ein AV-Vertrag schafft Rechte — aber er schafft kein Vertrauen in den Dienstleister. Art. 28 Abs. 1 DSGVO stellt eine eigene Pflicht voran: Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die hinreichende Garantien bieten, dass die Verarbeitung DSGVO-konform abläuft. Diese Eignungsprüfung muss vor Vertragsabschluss dokumentiert sein.

Was als Nachweis gilt:

Zusätzlich sollten Koordinatoren die Liste der Subunternehmer einfordern. Was auf den ersten Blick nach Formalität klingt, hat praktische Bedeutung: Wer bei Mailchimp eine Kunden-Newsletter-Liste verwaltet, muss wissen, dass Mailchimp seinerseits AWS-Server in den USA nutzt — und das ist ein Drittlands-Transfer, der einer eigenen Rechtsgrundlage bedarf.

Drittlandsübermittlung:
der Standort allein sagt nicht alles

Drittlandsübermittlung — so nennt die DSGVO jede Weitergabe personenbezogener Daten in ein Land außerhalb der EU und des Europäischen Wirtschaftsraums. Vereinfacht gesagt: Verarbeitet ein Dienstleister Daten auf Servern in den USA, Indien oder anderen Drittstaaten, greift zusätzlich Kapitel V DSGVO — und der AV-Vertrag allein reicht nicht.

Entscheidend ist dabei: Ein europäischer Serverstandort schützt nicht automatisch. Wenn der Anbieter eine US-amerikanische Muttergesellschaft hat und US-Behörden auf die Daten zugreifen könnten, liegt faktisch ein Drittlandsbezug vor — unabhängig davon, wo der Server steht.

Drei Instrumente stehen für US-Übermittlungen zur Verfügung:

Typische Fallstricke —
und warum sie so häufig sind

Die häufigsten AVV-Fehler in der Praxis folgen einem Muster: Der Vertrag wurde nie abgeschlossen, oder er existiert zwar, wurde aber nie gepflegt.

Ein Register, das sich bewährt

Die AVV-Arbeit eines Datenschutzkoordinators endet nicht mit dem Vertragsabschluss. Was sich in der Praxis bewährt: ein einfaches Register — Dienstleister, Verarbeitungszweck, Rolle (AV / eigener Verantwortlicher / gemeinsam Verantwortlicher), AVV-Datum, nächste Prüfung, Drittlandsaspekte. Kein aufwändiges System, aber ein Dokument, das beim nächsten Audit die Nerven rettet.

Der Koordinator ist nicht verantwortlich dafür, dass jeder AVV inhaltlich juristisch perfekt ist — das ist Aufgabe der Rechts- und Datenschutzbeauftragten. Aber der Koordinator ist die Person, die sicherstellt, dass kein Dienstleister dauerhaft ohne AVV im System läuft. Das ist der Unterschied zwischen Compliance auf dem Papier und Compliance in der Praxis.