Pflichtinhalte, Muster und Praxisbeispiele für Ihren Auftragsverarbeitungsvertrag. Kostenloser Leitfaden für Cloud-Dienste, SaaS, IT-Dienstleister und KMU.
Auftragsverarbeitungsvertrag mit allen Pflichtklauseln nach Art. 28 Abs. 3 lit. a–h DSGVO, TOM-Anlage nach Art. 32 und Unterauftragsverarbeiter-Anlage — inkl. §-203-StGB-Hinweis für Berufsgeheimnisträger.
Vorlage herunterladen Vorschau ansehen Kostenlos, ohne Registrierung und ohne E-Mail-Adresse. Druckfertiges Dokument — per Strg + P als PDF speichern oder in Word einfügen. Muster ohne Gewähr, keine Rechtsberatung.Der Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO ist die vertragliche Grundlage, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Er regelt die Rechte und Pflichten beider Parteien — des Verantwortlichen (Auftraggeber) und des Auftragsverarbeiters (Dienstleister).
Ohne gültigen AVV liegt ein Datenschutzverstoß vor, der mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes geahndet werden kann. Die Aufsichtsbehörden prüfen das Vorhandensein und die Qualität von AVVs regelmäßig — besonders bei Cloud- und SaaS-Diensten.
Art. 28 Abs. 3 DSGVO schreibt folgende Mindestinhalte für jeden AVV vor:
| # | Pflichtinhalt | Erläuterung |
|---|---|---|
| 1 | Gegenstand und Dauer der Verarbeitung | Was wird verarbeitet, wie lange läuft der Vertrag? |
| 2 | Art und Zweck der Verarbeitung | z. B. Hosting, E-Mail-Versand, Lohnabrechnung |
| 3 | Art der personenbezogenen Daten | Kontaktdaten, Gesundheitsdaten, Zahlungsdaten |
| 4 | Kategorien betroffener Personen | Kunden, Patienten, Mitarbeiter, Websitebesucher |
| 5 | Weisungsbindung | Verarbeitung nur auf dokumentierte Weisung |
| 6 | Vertraulichkeitspflicht | Alle Mitarbeiter des Dienstleisters sind verpflichtet |
| 7 | Technisch-organisatorische Maßnahmen (TOM) | Verschlüsselung, Zugriffskontrolle, Backup-Konzept |
| 8 | Unterauftragsverarbeiter | Genehmigungspflicht, Liste der Sub-Dienstleister |
| 9 | Unterstützung bei Betroffenenrechten | Auskunft, Löschung, Datenübertragbarkeit |
| 10 | Löschung und Rückgabe nach Vertragsende | Daten löschen oder zurückgeben, Nachweis erbringen |
| 11 | Nachweispflichten und Audits | Auftraggeber darf Kontrollen durchführen |
Ein AVV ist immer dann erforderlich, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Entscheidend ist: Sie bestimmen den Zweck und die Mittel der Verarbeitung, der Dienstleister führt nur aus.
Keine Auftragsverarbeitung liegt vor bei eigenverantwortlicher Tätigkeit — etwa wenn ein Steuerberater seine eigene fachliche Leistung erbringt oder ein Rechtsanwalt eigenständig berät. In diesen Fällen genügt eine Vereinbarung zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) oder eine einfache Vertraulichkeitsvereinbarung.
In diesen Fällen sollte in der Regel geprüft werden, ob ein Auftragsverarbeitungsvertrag erforderlich ist:
Besonders Arztpraxen und Gesundheitseinrichtungen müssen aufgrund der Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO) besonders sorgfältige AVVs abschließen.
Wo kein fertiger Vertrag vorliegt, nehmen Sie das Auftragsverarbeitungsvertrag Muster von dieser Seite als Ausgangspunkt.
Ja. Für denselben Vertrag sind mehrere Bezeichnungen im Umlauf, und ältere Muster tragen noch die alten:
| Bezeichnung | Herkunft | Heute |
|---|---|---|
| AVV — Auftragsverarbeitungsvertrag | DSGVO, seit 25.05.2018 | die aktuelle Bezeichnung |
| ADV — Auftragsdatenverarbeitung | altes BDSG, § 11 BDSG a. F. | veraltet; ein ADV-Vertrag aus der Zeit vor 2018 erfüllt Art. 28 DSGVO in der Regel nicht |
| AV-Vertrag / Auftragsverarbeitungsvereinbarung | Kurzform | gleichbedeutend mit AVV |
| DPA — Data Processing Agreement | englischsprachige Anbieter | gleichbedeutend mit AVV |
Wenn Sie einen ADV-Vertrag aus der Zeit vor Mai 2018 in der Ablage finden: der ersetzt keinen AVV. Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO sind umfangreicher als das, was § 11 BDSG alter Fassung verlangte — insbesondere bei Unterauftragnehmern, Löschung nach Vertragsende und den Unterstützungspflichten gegenüber dem Verantwortlichen.
Ebenso austauschbar sind die Bezeichnungen für das Dokument selbst: ob Sie nach einem AVV Muster, einer Auftragsverarbeitungsvertrag Vorlage, einem Auftragsverarbeitungsvertrag Muster oder — bei englischsprachigen Anbietern — nach einem AVV template suchen: gemeint ist immer dasselbe, ein Vertrag zum Ausfüllen nach Art. 28 DSGVO. Für Deutschland maßgeblich ist die deutsche Fassung der DSGVO; eine gesonderte nationale Regelung zum Vertragsinhalt gibt es nicht.
Bei großen Anbietern müssen Sie den Vertrag meist nicht selbst aufsetzen: viele stellen einen fertigen AVV bereit, den Sie im Kundenkonto abrufen oder elektronisch annehmen. Typische Beispiele aus der Praxis:
Der Weg ist fast immer derselbe: im Kundenkonto nach „Auftragsverarbeitung", „AVV", „DPA" oder „Datenschutz" suchen. Nur wenn dort nichts hinterlegt ist — oder bei kleineren Dienstleistern, etwa dem örtlichen IT-Betreuer, dem Aktenvernichter oder dem Telefonservice — setzen Sie den Vertrag selbst auf. Dafür ist die Vorlage oben gedacht.
Prüfen Sie einen fremden AVV trotzdem auf drei Punkte: Werden Unterauftragnehmer benannt und dürfen Sie widersprechen? Was geschieht mit den Daten nach Vertragsende — Löschung oder Rückgabe? Wo werden die Daten verarbeitet, und gibt es eine Grundlage für eine Übermittlung außerhalb der EU?
| Kriterium | Word / PDF | Custodio |
|---|---|---|
| Einstieg | Kostenlos | Ab 49 €/Monat |
| Vorlagen | Generische Muster, manuell anpassen | Branchenspezifische AVV-Bausteine |
| TOM-Anlage | Manuell formulieren | TOM-Katalog mit Auswahlfeldern |
| Unterauftragnehmer | Statische Liste im Anhang | Dynamische Liste mit Änderungshistorie |
| Versionierung | AVV_Hoster_v2_final_korr.docx | Automatisch mit Audit-Trail |
| Fristüberwachung | Kalender-Eintrag manuell | Automatische Erinnerungen |
| Verknüpfung zum VVT | Nicht vorhanden | AVV automatisch mit VVT-Einträgen verknüpft |
| Unterschrift | Drucken, scannen, ablegen | Digitale Signatur, zentrale Ablage |
Mit Custodio erstellen Sie Auftragsverarbeitungsverträge in Minuten — mit branchenspezifischen Bausteinen, TOM-Katalog, Unterauftragnehmer-Verwaltung und automatischer VVT-Verknüpfung.
Kostenlos beraten lassen Kostenlos DSE erstellen📞 Oder rufen Sie an: 030 - 91 74 77 13Datenschutz-Hotline · kostenlose Erstberatung · Mo–Fr 8–15 Uhr
Ein AVV-Generator baut aus Ihren Antworten einen fertigen Vertragstext. Das spart das Schreiben — nicht die Prüfung. Und in den meisten Fällen brauchen Sie ihn gar nicht:
Ein Generator nimmt Ihnen die Entscheidung nicht ab, ob ein Dienstleister Auftragsverarbeiter ist. Das ist die eigentliche Frage, und sie ist juristisch: Wer nach Ihren Weisungen verarbeitet, ist Auftragsverarbeiter; wer über Zwecke und Mittel selbst entscheidet, ist es nicht — dann brauchen Sie keinen AVV, sondern eine andere Rechtsgrundlage.
Was ein Werkzeug dafür wirklich leistet, ist das Nachhalten: welcher Vertrag mit welchem Dienstleister läuft, bis wann, mit welchen Unterauftragnehmern — und eine Erinnerung, bevor er abläuft.
Ein AVV nach Art. 28 DSGVO regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag des Verantwortlichen. Er ist Pflicht, sobald ein externer Dienstleister Zugriff auf personenbezogene Daten erhält — etwa beim Cloud-Hosting, IT-Support oder E-Mail-Marketing.
Ein AVV muss enthalten: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenkategorien, Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeitspflicht, TOM, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten, Löschpflichten und Nachweispflichten.
Immer wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet — z. B. Cloud-Anbieter, IT-Support mit Fernzugriff, Lohnbüro, Newsletter-Dienst, Hosting-Provider oder SaaS-Anwendungen. Bei eigenverantwortlicher Tätigkeit (z. B. Steuerberater) ist kein AVV nötig.
Kostenlose AVV Vorlagen sind ein guter Startpunkt, müssen aber individuell angepasst werden. Jeder AVV muss die konkreten Verarbeitungen, Datenkategorien und TOM des jeweiligen Dienstleisters abbilden. Tools wie Custodio unterstützen die Erstellung von AVVs mit strukturierten Bausteinen und Vorlagen.