Was ist ein Auftragsverarbeitungsvertrag?
Der Auftragsverarbeitungsvertrag beantwortet die Frage: Was darf dein Dienstleister mit den Daten deiner Kunden machen — und was nicht?
Die DSGVO nennt einen Dienstleister, der personenbezogene Daten im Auftrag eines anderen verarbeitet, Auftragsverarbeiter (Art. 4 Nr. 8). Typisch im Marketing: dein Newsletter-Tool, dein Webhoster, dein CRM, ein Callcenter oder die Agentur, die deine Kampagnen nach Vorgabe abwickelt.
Mit jedem davon brauchst du einen Vertrag nach Art. 28 DSGVO. Er macht aus dem Dienstleister deinen „verlängerten Arm“: Er arbeitet nur nach deinen Weisungen. Laut den deutschen Datenschutzbehörden gilt er dadurch nicht als „Dritter“, und seine Verarbeitung wird dir zugerechnet.
Was muss in einen AVV?
Zuerst die Eckdaten: Gegenstand, Dauer, Art und Zweck der Verarbeitung, welche Daten und wessen Daten. Dann zählt Art. 28 Abs. 3 acht Pflichten des Dienstleisters auf:
- nur auf deine dokumentierte Weisung arbeiten
- Mitarbeitende zur Vertraulichkeit verpflichten
- Daten technisch und organisatorisch sichern (Art. 32)
- Unterauftragnehmer nur mit deiner Genehmigung einsetzen
- dich bei Anfragen von Betroffenen unterstützen
- dich bei Sicherheit, Datenpannen und Folgenabschätzung unterstützen
- am Ende alle Daten löschen oder zurückgeben
- dir Nachweise liefern und Kontrollen ermöglichen
Der Vertrag muss schriftlich sein — elektronisch reicht (Art. 28 Abs. 9). Ein Klick auf „Akzeptieren“ im Kundenkonto oder ein PDF ist also genug. Wer kein eigenes Muster hat, kann die Standardvertragsklauseln der EU-Kommission von 2021 nutzen.
Wer braucht einen AVV — und wer nicht?
Dienstleister
AVV nötig?
Newsletter-Tool
ja
Webhoster, Cloud
ja
CRM-Anbieter
ja
Google Analytics, Tag Manager
ja
Google Ads
nein, eigener Verantwortlicher
Steuerberater, Anwalt
nein, eigene Fachleistung
Steuerberater, Anwälte, Banken bei Überweisungen oder die Post sind nach Auffassung der Datenschutzkonferenz selbst Verantwortliche. Sie erbringen eine eigene Fachleistung und arbeiten nicht nach deiner Weisung. Gleiches gilt für reine Technik-Wartung ohne Datenzugriff.
Bei Google hängt es vom Dienst ab: Analytics, Tag Manager und Customer Match laufen über Googles Auftragsverarbeitungsbedingungen. Für Google Ads selbst gelten Bedingungen zwischen zwei Verantwortlichen — dort gibt es keinen AVV. Stand der Liste ist Oktober 2025, Google ändert so etwas gelegentlich.
Was droht ohne AVV?
Verstöße gegen Art. 28 fallen unter die untere Bußgeldstufe der DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4). Die Sanktion kann auch den Dienstleister treffen, denn die Pflicht zum Vertrag haben beide Seiten.
In der Praxis sind Bußgelder allein wegen eines fehlenden AVV selten. Der Enforcement Tracker der Kanzlei CMS zählt bis März 2026 rund 2.700 DSGVO-Bußgelder — in der Kategorie „unzureichende Auftragsverarbeitungsverträge“ nur sehr wenige. Ein Freibrief ist das nicht: Die Pflicht steht im Gesetz, und bei jeder Prüfung oder Beschwerde fällt ein fehlender Vertrag als Erstes auf.
Haften gegenüber Betroffenen musst übrigens in erster Linie du. Der Dienstleister haftet nur, wenn er seine eigenen Pflichten verletzt oder gegen deine Weisungen handelt (Art. 82 DSGVO).
Häufige Fehler
Fehler 1 · „Mir hat keiner einen geschickt“
Die Pflicht liegt bei beiden Seiten. Große Anbieter haben den AVV meist schon in ihren Geschäftsbedingungen — bei Mailchimp etwa ist er Bestandteil der Vereinbarung, Google lässt ihn im Konto per Klick akzeptieren. Finden, akzeptieren, ablegen musst du ihn selbst.
Fehler 2 · Mit jedem einen AVV schließen
Wer dem Steuerberater einen AVV zum Unterschreiben schickt, zeigt vor allem, dass er das Prinzip nicht verstanden hat. Entscheidend ist: Arbeitet der Dienstleister nach deiner Weisung — oder in eigener Verantwortung?
Fehler 3 · Den AVV für eine Erlaubnis halten
Der AVV regelt, wie der Dienstleister arbeitet. Ob du die Daten überhaupt verarbeiten darfst, entscheidet weiter Art. 6 DSGVO. Für Tracking brauchst du trotz AVV mit Google eine Einwilligung.
Fehler 4 · Gemeinsame Verantwortung übersehen
Legen zwei Stellen Zwecke und Mittel gemeinsam fest, passt kein AVV. Dann braucht es eine Vereinbarung nach Art. 26 DSGVO. Das betrifft im Marketing etwa Fanpages auf sozialen Netzwerken.
So behältst du den Überblick
- Liste führen: Tool, Anbieter, wo der AVV liegt, Datum. Eine Tabelle neben deinem Verzeichnis der Verarbeitungstätigkeiten reicht.
- Im Konto suchen: Bei Google, Mailchimp, Brevo und Co. steckt der AVV meist in den Einstellungen unter „Datenschutz“ oder „Rechtliches“.
- Datenschutzerklärung abgleichen: Jeder Auftragsverarbeiter ist ein Empfänger und gehört dort hinein.
- Agenturen nicht vergessen: Arbeitet eine Agentur in deinem CRM oder verschickt Newsletter für dich, braucht ihr einen AVV.
Häufige Fragen
Brauche ich für mein Newsletter-Tool einen AVV?
Ja. Das Tool verarbeitet die Adressen deiner Abonnenten in deinem Auftrag. Bei großen Anbietern wie Mailchimp oder Brevo ist der AVV in der Regel schon Teil der Nutzungsbedingungen — leg dir trotzdem eine Kopie ab.
Muss der AVV unterschrieben sein?
Nein, nicht von Hand. Art. 28 Abs. 9 DSGVO verlangt Schriftform, ein elektronisches Format reicht ausdrücklich. Ein Klick im Kundenkonto oder ein PDF genügt.
Brauche ich einen AVV mit Google?
Für Google Analytics und den Tag Manager ja — die Bedingungen akzeptierst du im jeweiligen Konto. Für Google Ads selbst nicht, dort ist Google eigener Verantwortlicher. Prüf den Stand in Googles Übersicht, sie ändert sich gelegentlich.
Brauche ich einen AVV mit meinem Steuerberater?
Nein. Steuerberater, Anwälte und Banken erbringen eine eigene Fachleistung und sind selbst verantwortlich. Das hat die Datenschutzkonferenz in ihrem Kurzpapier zur Auftragsverarbeitung ausdrücklich so eingeordnet.
Was ist der Unterschied zur gemeinsamen Verantwortlichkeit?
Beim AVV entscheidest du allein, der Dienstleister führt aus. Bei gemeinsamer Verantwortlichkeit legen zwei Stellen Zwecke und Mittel zusammen fest — dann braucht es statt eines AVV eine Vereinbarung nach Art. 26 DSGVO.
