AV-Vertrag (Auftragsverarbeitung)
Von DI (FH) Shahab Daban, MScRedaktionell geprüft von CheckVertrag RedaktionKurz erklärt
Ein AV-Vertrag (Auftragsverarbeitungsvertrag) ist nach Art. 28 DSGVO zwingend, sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet – etwa Hosting, Newsletter-Versand oder Lohnbuchhaltung. Er hat einen gesetzlich festen Pflichtinhalt. Fehlt er, ist das ein eigenständiger Verstoß, unabhängig davon, ob je Daten abgeflossen sind.
Steht „AV-Vertrag (Auftragsverarbeitung)“ in deinem Vertrag?
Füge die Stelle aus deinem Vertrag ein oder lade ihn ganz hoch: Die KI markiert, was „AV-Vertrag (Auftragsverarbeitung)“ betrifft, erklärt es in Alltagssprache und nennt die Vorschrift dazu.
Oder den ganzen Vertrag als Datei:
Kostenlos starten
Vertrag hierher ziehen oder auswählen
PDF, Word oder mehrere Fotos · Seite für Seite · max. 25 MB · kostenlos, ohne Anmeldung
- Ergebnis in rund 30 Sekunden
- Erste 3 Fundstellen gratis, ohne Konto
- Verarbeitung in der EU, DSGVO-konform
AV-Vertrag (Auftragsverarbeitung): Bedeutung im Detail
Der Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV, ist kein Formblatt zum Abhaken, sondern hat einen gesetzlich vorgegebenen Mindestinhalt. Art. 28 Abs. 3 DSGVO verlangt Angaben zu Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen, Weisungsbindung, Vertraulichkeit, technischen und organisatorischen Maßnahmen, Einsatz von Subunternehmern, Unterstützung bei Betroffenenrechten sowie Löschung oder Rückgabe am Ende. Fehlt einer dieser Punkte, ist der Vertrag bußgeldrelevant, und zwar für beide Seiten. In der Praxis scheitern AV-Verträge meist an drei Stellen: pauschale Genehmigung beliebiger Subunternehmer, fehlende Löschregelung nach Vertragsende und eine Haftungsklausel, die das Risiko vollständig auf den Auftraggeber schiebt.
Rechtslage in Deutschland und Österreich
- Deutschland
- Art. 28 DSGVO, ergänzend § 62 BDSG für Behörden. Verstöße sind eigenständig bußgeldbewehrt, unabhängig davon, ob ein Datenleck eingetreten ist.
- Österreich
- Art. 28 DSGVO gilt unmittelbar; ergänzend das DSG. Die Datenschutzbehörde prüft AV-Verträge regelmäßig im Rahmen von Beschwerdeverfahren mit.
Beispielformulierung aus der Praxis
Der Auftragnehmer ist berechtigt, jederzeit Unterauftragsverarbeiter einzusetzen. Eine gesonderte Information des Auftraggebers erfolgt nicht.
Unzulässig. Art. 28 Abs. 2 DSGVO verlangt entweder eine vorherige gesonderte Genehmigung oder eine allgemeine Genehmigung mit Informations- und Widerspruchsrecht bei jedem Wechsel.
Häufige Fragen
Wer muss den AV-Vertrag stellen?
Verantwortlich ist der Auftraggeber. In der Praxis legt aber der Dienstleister sein Muster vor. Genau dieses Muster gehört geprüft, weil es typischerweise zu seinen Gunsten formuliert ist.
Reicht ein Klick auf die AVV im Kundenkonto?
Ja, Textform genügt, auch elektronisch. Entscheidend ist der Inhalt, nicht die Unterschrift auf Papier.
Was passiert am Vertragsende mit den Daten?
Der Auftragsverarbeiter muss sie nach Wahl des Auftraggebers löschen oder zurückgeben. Eine Klausel, die dem Dienstleister die Wahl überlässt oder eine Weiternutzung erlaubt, ist unwirksam.
Brauchen Konzerngesellschaften untereinander einen AV-Vertrag?
Ja. Ein Konzernprivileg kennt die DSGVO nicht. Auch zwischen Mutter- und Tochtergesellschaft ist eine Rechtsgrundlage und bei Auftragsverarbeitung ein AV-Vertrag nötig.
Diese Klausel im eigenen Vertrag prüfen
Lade deinen Vertrag hoch – die KI-Vertragsprüfung markiert kritische Klauseln wie „AV-Vertrag (Auftragsverarbeitung)“ in rund zwei Minuten, inklusive Einordnung für DE und AT.
Passende Prüf-Seiten
Passend dazu im Produkt
Verwandte Begriffe
Wer diesen Beitrag verantwortet
DI (FH) Shahab Daban, MSc
Gründer & Geschäftsführer, verantwortlich für die Inhalte
Shahab Daban verantwortet die Inhalte von CheckVertrag namentlich. Grundlage jeder Erklärung sind die zitierten Gesetzestexte aus Deutschland und Österreich sowie die Auswertung der über die Plattform geprüften Verträge. Die Inhalte sind eine Vorprüfung und allgemeine Information, keine Rechtsberatung im Einzelfall.
CheckVertrag Redaktion
Redaktionelle Prüfung & Quellenabgleich, keine anwaltliche Prüfung
Jede Definition wird redaktionell gegen die genannten Primärquellen (Gesetzestexte in DE, AT und CH) abgeglichen. Inhalte sind allgemeine Information und ersetzen keine Rechtsberatung im Einzelfall.
Zuletzt aktualisiert am . Methodik und eingesetzte KI-Modelle: KI-Transparenz.
Allgemeine Information, keine Rechtsberatung. Zurück zum Glossar