AVV prüfen lassen: Warum die Vorlage des Anbieters nicht genügt

Lesezeit ca. 9 Minuten

1. Wann ein AVV Pflicht ist – und was drinstehen muss

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet, ohne über Zweck und Mittel selbst zu entscheiden. Das betrifft weit mehr Konstellationen, als viele annehmen: Cloud- und Hosting-Anbieter, CRM- und Newsletter-Systeme, Ticket- und Helpdesk-Software, Lohnbuchhaltung, externe IT-Wartung mit Zugriffsmöglichkeit, Aktenvernichtung, Callcenter, Recruiting-Tools und zunehmend KI-gestützte Assistenzsysteme.

Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag in Schriftform oder elektronischer Form mit festem Mindestinhalt: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten und Meldepflichten, Löschung oder Rückgabe nach Vertragsende sowie Nachweis- und Kontrollrechte.

Wichtig: Der fehlende oder unvollständige AVV ist ein eigenständiger Verstoß. Er wird nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes sanktioniert – unabhängig davon, ob den Daten tatsächlich etwas zugestoßen ist. Kommt ein materieller Verstoß hinzu, greift der höhere Rahmen von 20 Mio. Euro oder 4 Prozent.

2. Der teure Irrtum: „Der Anbieter hat doch einen Standardvertrag“

Anbietervorlagen sind fast immer formal korrekt – sie enthalten die Punkte aus Art. 28 Abs. 3 DSGVO. Das ist auch ihr Zweck: Sie sollen die Prüfung überstehen, nicht Ihre Interessen schützen. Verhandelt wurde nichts, geschrieben hat sie die Rechtsabteilung der Gegenseite.

Der entscheidende Punkt wird dabei regelmäßig übersehen: Der AVV ist kein Formular, sondern ein Haftungsverteilungsvertrag. Er bestimmt, wer bei einer Datenpanne die Meldung schreibt, wer die Kosten der Aufklärung trägt, wer Betroffene informiert, wer bei einer Aufsichtsprüfung Nachweise liefert – und ob Sie überhaupt Regress nehmen können. Diese Fragen entscheiden sich in Klauseln, die im Fließtext unauffällig wirken.

3. Zehn Klauseln, an denen es in der Praxis scheitert

1. Pauschale Subunternehmergenehmigung ohne Konsequenz KlassikerSie genehmigen alle künftigen Unterauftragsverarbeiter allgemein, der Anbieter informiert nur noch über eine Website-Liste. Ein Widerspruchsrecht steht zwar im Vertrag – nur ohne Kündigungsrecht ist es wertlos. Prüfen Sie: Ankündigungsfrist, aktive Benachrichtigung statt Bringschuld, und ein Sonderkündigungsrecht bei berechtigtem Widerspruch.
2. Technische und organisatorische Maßnahmen als dynamischer Link RiskantDie TOM stehen nicht im Vertrag, sondern auf einer Unterseite, die der Anbieter jederzeit ändern kann. Damit ist der zugesagte Schutzstandard einseitig disponibel. Sinnvoll ist eine Anlage mit Stichtagsfassung und die Zusage, das Schutzniveau nicht zu verschlechtern.
3. Kontrollrechte, die auf Zertifikate reduziert werden Klassiker„Der Verantwortliche erkennt die Vorlage eines ISO-27001-Zertifikats als Nachweis an.“ Zertifikate sind ein guter Baustein, ersetzen aber nicht jedes Kontrollrecht. Es sollte zumindest bei konkretem Anlass – etwa nach einer Datenpanne – ein weitergehendes Prüfrecht bestehen.
4. Unterstützungsleistungen gegen Zusatzvergütung KostenfalleArt. 28 Abs. 3 lit. e und f DSGVO verpflichtet den Auftragsverarbeiter zur Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzung. Viele Vorlagen stellen genau das unter Vergütungsvorbehalt. Im Ernstfall verhandeln Sie dann unter Zeitdruck über Stundensätze.
5. Weiche Meldefristen bei Datenpannen Kritisch„Unverzüglich“ hilft Ihnen nicht, wenn Sie selbst nach Art. 33 DSGVO binnen 72 Stunden melden müssen. Nötig ist eine konkrete Frist – üblich sind 24 bis 48 Stunden – mit definiertem Meldeweg, benanntem Ansprechpartner und Mindestinhalt der Meldung.
6. Löschung und Rückgabe ohne Verfahren PraxislückeDer Vertrag sagt „Löschung nach Vertragsende“, schweigt aber zu Frist, Format der Rückgabe, Backups, Log-Daten und Löschbestätigung. Genau daran scheitern Anbieterwechsel regelmäßig.
7. Drittlandtransfer per Verweis KritischEin Satz zu Standardvertragsklauseln genügt nicht. Zu klären sind: welches Modul, welche Anlagen, welche Transfer-Folgenabschätzung, welche Zusatzmaßnahmen – und ob Supportzugriffe aus Drittstaaten überhaupt offengelegt werden. Fernwartung aus Drittstaaten ist ein Transfer, auch ohne Datenexport im klassischen Sinn.
8. Nutzung der Daten für eigene Zwecke NeuFormulierungen wie „zur Verbesserung der Dienste“, „für Analysezwecke“ oder „zum Training von Modellen“ sprengen die Auftragsverarbeitung. Wer eigene Zwecke verfolgt, ist selbst Verantwortlicher – mit allen Folgen für Rechtsgrundlage und Informationspflichten.
9. Haftungsbeschränkung, die den AVV aushebelt KostenfalleDie Haftungsklausel steht meist im Hauptvertrag und deckelt Ansprüche auf eine Jahresvergütung. Wenn eine Aufsichtsbehörde ein Bußgeld verhängt oder Betroffene Schadensersatz verlangen, ist das schnell weit unterschritten. Prüfen Sie Freistellungen, Ausnahmen und Versicherungsdeckung.
10. Einseitiges Änderungsrecht am AVV Riskant„Der Anbieter kann diesen Vertrag jederzeit anpassen; die Fortnutzung gilt als Zustimmung.“ Damit steht Ihre gesamte Prüfung unter Vorbehalt. Mindestens erforderlich sind Ankündigungsfrist und Widerspruchsmöglichkeit.

4. Falscher Vertragstyp: AVV, gemeinsame Verantwortlichkeit oder eigener Zweck?

Bevor über Klauseln gesprochen wird, muss die Rollenfrage stimmen. Ein AVV über eine Konstellation, die in Wahrheit keine Auftragsverarbeitung ist, schafft keine Rechtssicherheit, sondern verdeckt das Problem.

Die Rollenzuordnung ist auch deshalb heikel, weil sie sich innerhalb einer Geschäftsbeziehung ändern kann: Ein Tool kann für die Kernleistung Auftragsverarbeiter sein und zugleich für Nutzungsstatistiken eigener Verantwortlicher. Genau solche Mischkonstellationen bilden Standardvorlagen praktisch nie sauber ab.

5. Haftung: Warum Sie zuerst in Anspruch genommen werden

Nach Art. 82 DSGVO können sich betroffene Personen grundsätzlich an den Verantwortlichen halten – unabhängig davon, in wessen Rechenzentrum der Fehler passiert ist. Sie tragen zudem die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Sie müssen belegen, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien bieten.

Der EuGH hat außerdem klargestellt, dass sich ein Verantwortlicher nicht allein dadurch entlasten kann, dass er im Vertrag geeignete Maßnahmen vereinbart hat; entscheidend ist, ob die Maßnahmen tatsächlich angemessen waren und umgesetzt wurden. Praktisch bedeutet das: Auswahl, Prüfung und laufende Kontrolle Ihrer Dienstleister müssen dokumentiert sein. Ein sauber verhandelter AVV ist dafür der zentrale Nachweis – und zugleich die Grundlage, um Kosten und Schäden gegenüber dem Dienstleister überhaupt geltend machen zu können.

6. Sonderfall KI-Tools, Cloud und US-Anbieter

Der größte Zuwachs an Auftragsverarbeitungen entsteht derzeit durch KI-Anwendungen: Assistenzsysteme in Office-Paketen, Transkriptionsdienste, Chatbots im Kundenservice, Bewerbungs- und Textwerkzeuge. Hier lohnt der genaue Blick besonders:

• Werden Eingaben zum Training oder zur Modellverbesserung genutzt? Falls ja: Widerspruchs- oder Opt-out-Möglichkeit vertraglich absichern, nicht nur im Konto-Menü einstellen.
• Welche Subunternehmer stehen hinter dem Dienst – häufig mehrere Modell- und Infrastrukturanbieter in unterschiedlichen Ländern?
• Wie lange werden Prompts und Ausgaben gespeichert, und gilt eine „Zero Retention“-Zusage vertraglich oder nur werblich?
• Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert, und was passiert bei Wegfall der Zertifizierung?
• Bestehen Wechselwirkungen zur KI-Verordnung – etwa Transparenz- und Kennzeichnungspflichten beim Einsatz gegenüber Kunden?

Diese Fragen gehören in den AVV und in die begleitende interne Richtlinie. Ein Verweis auf die Datenschutzerklärung des Anbieters reicht nicht: Sie ist kein Vertrag und einseitig änderbar.

7. Digital Omnibus: Kein Grund zu warten

Das Digital-Omnibus-Paket der EU-Kommission sieht auch Änderungen an der DSGVO vor, unter anderem beim Begriff des Personenbezugs. Der datenschutzrechtliche Teil befindet sich weiterhin im Gesetzgebungsverfahren, und zwischen Kommission, Rat und Parlament bestehen erhebliche Divergenzen. Bis zu einer Verabschiedung gilt die DSGVO unverändert – Art. 28 DSGVO ebenso.

Für die Praxis heißt das: Verträge jetzt sauber aufstellen, aber mit Blick auf künftige Anpassungen. Eine Klausel, die Änderungen der Rechtslage adressiert und ein geordnetes Anpassungsverfahren vorsieht, erspart später die nächste Verhandlungsrunde.

8. Was eine anwaltliche AVV-Prüfung leistet

1. Rollenprüfung: Ist die Auftragsverarbeitung der richtige Rahmen – oder braucht es Art. 26 DSGVO oder gar keinen AVV?
2. Vollständigkeitsabgleich mit Art. 28 Abs. 3 DSGVO – inklusive der oft fehlenden Anlagen.
3. Risikobewertung der Klauseln nach Ampelsystem, priorisiert nach tatsächlichem Verhandlungsgewicht.
4. Konkrete Formulierungsvorschläge, die Sie unmittelbar an den Anbieter weitergeben können.
5. Abgleich mit dem Hauptvertrag: Haftung, Laufzeit, Kündigung, Vergütung und Service Level müssen zusammenpassen.
6. Dokumentation für die Rechenschaftspflicht – ein Prüfvermerk, den Sie der Aufsichtsbehörde vorlegen können.

Der wirtschaftliche Punkt: Eine Prüfung kostet einen überschaubaren Festbetrag. Ein Bußgeldverfahren, eine unklare Haftungslage nach einer Datenpanne oder ein blockierter Anbieterwechsel kosten ein Vielfaches – und binden vor allem Zeit im ungünstigsten Moment.

9. Wann eine Prüfung besonders dringend ist

• Einführung eines neuen Cloud-, SaaS- oder KI-Tools
• Wechsel oder Zukauf eines Dienstleisters, Konzernumstrukturierung
• Ausschreibungen und Kundenaudits, in denen Sie Nachweise liefern müssen
• nach einer Datenpanne beim Dienstleister – dann zeigt sich, was der Vertrag wirklich hergibt
• Anfrage oder Prüfung durch eine Aufsichtsbehörde
• AVV älter als drei Jahre, insbesondere bei Drittlandbezug
• Ihr Kunde verlangt Weitergabe von Pflichten aus NIS2 oder eigenen Datenschutzauflagen

10. Häufige Fragen zur Auftragsverarbeitung

Rechtlicher Hinweis: Dieser Beitrag gibt den Rechtsstand vom 17. August 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall.