Auftragsverarbeitung nach Art. 28 DSGVO: Der AVV-Leitfaden für IT-Dienstleister

Kaum ein Vertrag wird im IT-Alltag so oft unterschrieben und so selten verstanden wie der Auftragsverarbeitungsvertrag. Wer als SaaS-Anbieter, Agentur oder IT-Dienstleister personenbezogene Daten für Kunden verarbeitet, braucht ihn zwingend. Dieser Leitfaden erklärt, was ein AV-Vertrag nach Art. 28 DSGVO leisten muss, wo die typischen Fehler liegen und wie Sie ihn so gestalten, dass er im Ernstfall trägt.

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten ausschließlich nach Weisung seines Kunden verarbeitet, ohne über Zwecke und Mittel selbst zu entscheiden. Das ist der Regelfall bei Hosting, Cloud-Software, Wartung mit Datenzugriff, Newsletter-Versand oder Support-Tools. Fehlt der Vertrag, verstoßen beide Seiten gegen die DSGVO — der Verantwortliche und der Auftragsverarbeiter.

Pflichtinhalte eines AV-Vertrags

Art. 28 Abs. 3 DSGVO gibt den Rahmen vor. Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festhalten. Hinzu kommen Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten, Meldepflichten bei Datenpannen, Löschung oder Rückgabe der Daten nach Vertragsende sowie Nachweis- und Kontrollrechte des Verantwortlichen.

Der häufigste Fehler ist nicht das Fehlen des Vertrags, sondern seine Realitätsferne. Ein AV-Vertrag, dessen Anlage zu den technischen und organisatorischen Maßnahmen aus einem generischen Textbaustein besteht, hält einer Prüfung nicht stand. Die TOM müssen die tatsächlich getroffenen Maßnahmen beschreiben — Verschlüsselung, Zugriffskontrolle, Protokollierung, Backup. Genau hier hilft die Verbindung von Recht und Technik.

Unterauftragsverarbeiter richtig einbinden

Kaum ein IT-Dienstleister arbeitet allein. Hosting, Monitoring, E-Mail-Versand — vieles läuft über weitere Anbieter. Diese Unterauftragsverarbeiter müssen vertraglich auf dasselbe Schutzniveau verpflichtet werden, und der Kunde muss ihrem Einsatz zustimmen können. Eine aktuelle, transparente Liste der Subdienstleister ist deshalb kein Nice-to-have, sondern Pflicht. Fehlt sie, entsteht eine Kette, in der niemand die Verantwortung trägt.

Für IT-Dienstleister ist ein sauberer, verständlicher AV-Vertrag auch ein Vertriebsargument. Enterprise-Kunden prüfen ihn genau, bevor sie unterschreiben. Wer hier vorbereitet ist, verkürzt den Sales-Zyklus erheblich. Wie wir AV-Verträge und die zugehörige Dokumentation aufsetzen, beschreiben wir unter DSGVO-Compliance & Datenschutzberatung.

Vom Vertrag zur gelebten Praxis

Ein AV-Vertrag ist kein Selbstzweck. Er muss sich in Prozessen widerspiegeln: Wer nimmt Weisungen entgegen, wer meldet eine Datenpanne innerhalb der Frist, wer pflegt die Subdienstleisterliste, wer löscht nach Vertragsende? Ohne diese Prozesse bleibt der beste Vertrag Papier. Wir empfehlen, die technischen Zusagen regelmäßig gegen die Realität zu prüfen — ein Punkt, an dem unser Software-Audit ansetzt.

RA Dr. Henrik Vance rät IT-Dienstleistern, den AV-Vertrag nicht als lästige Formalie, sondern als Teil des Produkts zu behandeln. Ein durchdachter Vertrag schafft Vertrauen, reduziert Haftung und beschleunigt den Verkauf. Eine Übersicht unserer Leistungen finden Sie in den Leistungen.