16. Juni 2026

AV-Vertrag nach DSGVO – wann ist er erforderlich?

Wann benötigen Unternehmen einen Auftragsverarbeitungsvertrag? Erfahren Sie, worauf es bei Cloud-Diensten, IT-Support und externen Dienstleistern ankommt.

AV-Vertrag nach DSGVO: Wann ist er erforderlich?

Viele Unternehmen nutzen externe Dienstleister: Cloud-Speicher, Newsletter-Tools, Lohnabrechnungssoftware, Hosting-Anbieter oder IT-Support. Sobald dabei personenbezogene Daten verarbeitet werden, stellt sich die Frage, ob ein Vertrag zur Auftragsverarbeitung erforderlich ist.

Ein solcher Vertrag wird häufig als AV-Vertrag oder AVV bezeichnet.

Was bedeutet Auftragsverarbeitung?

Von Auftragsverarbeitung spricht man vereinfacht gesagt, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines anderen Unternehmens verarbeitet.

Das beauftragende Unternehmen bleibt für die Verarbeitung verantwortlich. Der Dienstleister unterstützt bei der Durchführung, verfolgt mit den Daten aber grundsätzlich keine eigenen Zwecke.

Artikel 28 DSGVO enthält Vorgaben für die Einschaltung von Auftragsverarbeitern und für den Inhalt der entsprechenden vertraglichen Regelung.

Typische Beispiele

Ein AV-Vertrag kann insbesondere in Betracht kommen bei:

• Hosting einer Website;
• Cloud-Speicherung von Kundendaten;
• externer Datensicherung;
• Newsletter-Versand;
• Lohn- oder Gehaltsabrechnung als Dienstleistung;
• Wartung von IT-Systemen mit möglichem Zugriff auf personenbezogene Daten;
• Einsatz einer CRM-Software;
• Terminbuchungssystemen;
• extern betriebenen Support-Systemen.

Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter

Entscheidend ist nicht, ob ein Unternehmen eine Rechnung stellt oder Zugriff auf Daten haben könnte. Es kommt auf die konkrete Rolle an.

Ein Steuerberater, Rechtsanwalt oder anderer eigenverantwortlich handelnder Berufsträger kann personenbezogene Daten für eigene berufliche Zwecke und auf Grundlage eigener rechtlicher Pflichten verarbeiten. Dann liegt nicht automatisch eine Auftragsverarbeitung vor.

Auch bei gemeinsam getroffenen Entscheidungen über Zwecke und Mittel der Verarbeitung kann eine andere datenschutzrechtliche Einordnung erforderlich sein.

Deshalb sollte nicht reflexartig mit jedem Geschäftspartner ein AV-Vertrag abgeschlossen werden. Zunächst ist zu klären:

1. Welche personenbezogenen Daten werden verarbeitet?
2. Entscheidet der Dienstleister selbst über Zwecke und wesentliche Mittel?
3. Handelt er ausschließlich nach Weisung?
4. Bestehen eigene gesetzliche Pflichten?
5. Werden Unterauftragnehmer eingesetzt?
6. Findet eine Verarbeitung außerhalb der EU oder des Europäischen Wirtschaftsraums statt?

Was sollte ein AV-Vertrag regeln?

Artikel 28 DSGVO verlangt insbesondere Regelungen zu Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und personenbezogener Daten sowie zu den Pflichten und Rechten des Verantwortlichen. Hinzu kommen unter anderem Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragnehmer, Unterstützungspflichten und die Löschung oder Rückgabe von Daten nach Vertragsende.

Häufiger Fehler: Verträge sammeln, aber nicht prüfen

Viele Unternehmen laden AV-Verträge aus Kundenportalen herunter und legen sie ab. Das ist besser als gar keine Dokumentation, reicht aber nicht immer aus.

Prüfen Sie insbesondere:

• Passt der Vertrag zur tatsächlich genutzten Leistung?
• Sind Unterauftragnehmer transparent benannt?
• Ist erkennbar, wo Daten verarbeitet werden?
• Sind Sicherheitsmaßnahmen beschrieben?
• Gibt es problematische Drittlandübermittlungen?
• Wurde der Vertrag tatsächlich wirksam abgeschlossen?

Fazit

Ein AV-Vertrag ist kein bloßes Formalpapier. Er dokumentiert, wie ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Die richtige Einordnung der Beteiligten ist ebenso wichtig wie der Vertragsinhalt.

Sie sind unsicher, bei welchen Dienstleistern ein AV-Vertrag erforderlich ist?
DeinRechtsanwalt.com unterstützt Unternehmen bei der Prüfung und Erstellung von Vereinbarungen zur Auftragsverarbeitung. Melden Sie sich.

Über den Autor
Rechtsanwalt Christoph Kehr berät Unternehmen praxisnah und digital. Zu seinen Tätigkeitsfeldern zählen insbesondere das außergerichtliche Forderungsmanagement und die datenschutzrechtliche Beratung kleiner und mittlerer Unternehmen.

Hinweis: Dieser Beitrag bietet einen allgemeinen Überblick und ersetzt keine rechtliche Beratung im Einzelfall. Die rechtliche Bewertung kann insbesondere von den vertraglichen Vereinbarungen und den konkreten Umständen abhängen.