Auftragsverarbeitungsvertrag (AVV)
Ein Auftragsverarbeitungsvertrag regelt die rechtlichen Pflichten zwischen Verantwortlichem und Auftragsverarbeiter bei der Verarbeitung personenbezogener Daten. Er ist nach DSGVO Art. 28 verpflichtend, sobald ein Dienstleister im Auftrag Zugriff auf Kundendaten, Mitarbeiterdaten oder andere personenbezogene Informationen erhält. Ohne AVV drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Der AVV unterscheidet sich von der Datenschutzerklärung, die du deinen Endkunden zeigst. Während diese die Betroffenen über die Verarbeitung informiert, definiert der AVV die Weisungsbefugnis: Du bleibst Verantwortlicher, der Dienstleister darf nur nach deiner Anweisung handeln. Bei Marketing Automation mit US-Tools wie HubSpot oder Mailchimp wird dieser Unterschied praktisch relevant. Der Anbieter verarbeitet deine Kontaktdaten, trifft aber keine eigenen Entscheidungen über Zweck oder Art der Verarbeitung. Diese Weisungsgebundenheit macht ihn zum Auftragsverarbeiter, nicht zum gemeinsam Verantwortlichen.
Im B2B-Alltag brauchst du AVVs für praktisch jeden SaaS-Anbieter, der personenbezogene Daten verarbeitet: CRM-Systeme, E-Mail-Tools, Analytics-Plattformen, Chatbot-Anbieter. Die meisten US-Anbieter stellen standardisierte DPAs bereit, die du online akzeptieren kannst. Bei Customer Data Platforms oder AI Agents wird es komplexer, weil Datenflüsse in Drittländer ohne Angemessenheitsbeschluss zusätzliche Schutzmaßnahmen erfordern. Seit Schrems II reichen Standardvertragsklauseln nicht mehr automatisch: Du musst im Einzelfall prüfen, ob die Rechtslage im Zielland die vertraglichen Garantien aushöhlt, und nur wenn diese Prüfung Lücken zeigt, brauchst du zusätzliche Maßnahmen wie Verschlüsselung oder Pseudonymisierung, die den Behördenzugriff faktisch verhindern.
Die größte Falle liegt in der Illusion der Compliance. Ein unterschriebener AVV schützt dich nicht automatisch vor Bußgeldern. Aufsichtsbehörden prüfen zunehmend, ob du die Einhaltung der Vertragspflichten tatsächlich kontrollierst. Das bedeutet: regelmäßige Audits, Dokumentation von Datenschutzvorfällen, Nachweis über Löschfristen. Bei AI-Systemen kommt hinzu, dass viele Anbieter Trainingsdaten nicht vollständig isolieren können. Wenn deine Kundendaten in ein Modell einfließen, das andere Kunden nutzen, verletzt das die Weisungsgebundenheit. Kosten entstehen weniger durch den AVV selbst als durch die laufende Compliance-Arbeit: Rechtsberatung, Datenschutzbeauftragte, technische Prüfungen.
Achte bei der Auswahl von Dienstleistern darauf, dass der AVV konkrete technische und organisatorische Maßnahmen benennt, nicht nur allgemeine Absichtserklärungen. Prüfe, ob der Anbieter Subunternehmer einsetzt und wie deren Kontrolle geregelt ist. Bei Data Privacy im Marketing gilt: Je sensibler die Daten, desto enger die Weisungsbefugnis. Für Newsletter-Versand reicht ein Standard-DPA. Für Predictive Analytics mit Gesundheitsdaten brauchst du individuelle Vereinbarungen, die Zweckbindung und Löschfristen exakt definieren. Der AVV ist kein Formular, sondern ein Steuerungsinstrument für Datenflüsse, das du aktiv managen musst.
Verwandte Begriffe
So sieht diese Technologie im Einsatz aus.
Sieh dir an, wie wir Technologien wie diese für Unternehmen einsetzen, oder sprich direkt mit uns.