Der AVV: mit wem Sie ihn brauchen, mit wem nicht — und wie Sie den Überblick behalten

Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet, verlangt Art. 28 DSGVO einen Vertrag — den Auftragsverarbeitungsvertrag. Ohne ihn ist schon die Weitergabe selbst der Verstoß, ganz gleich, wie sorgfältig der Dienstleister arbeitet. Die gute Nachricht: Bei fast allen Anbietern ist der AVV drei Klicks entfernt. Die schlechte: Bei fast allen Unternehmen weiß niemand, wo diese Klicks schon gemacht wurden und wo nicht.

Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am 1. September 2026

Die Grundregel: Verarbeitung im Auftrag braucht einen Vertrag

Ein Auftragsverarbeiter ist, wer personenbezogene Daten weisungsgebunden für Sie verarbeitet: der Cloud-Speicher mit Ihren Kundendateien, das Newsletter-Tool mit Ihrem Verteiler, das Lohnbüro, der Hoster, das KI-Tool in der Business-Variante. Mit jedem von ihnen verlangt Art. 28 einen Vertrag mit festem Mindestinhalt: Gegenstand und Dauer, Art der Daten, Weisungsbindung, Vertraulichkeit, Unterauftragsverhältnisse, Löschung nach Vertragsende, Unterstützungspflichten.

Keinen AVV brauchen Sie mit Stellen, die eigenverantwortlich arbeiten: Steuerberater und Rechtsanwälte (eigene berufsrechtliche Verantwortung), Banken, die Post. Faustregel: Wer nur Ihre Werkzeugverlängerung ist, braucht den Vertrag — wer eine eigene Fachverantwortung trägt, nicht.

Der Praxisweg: Bei Standarddiensten ist der AVV fertig

Sie müssen fast nie selbst einen AVV aufsetzen. Microsoft, Google, Mailchimp, OpenAI & Co. halten fertige Verträge bereit — als „Data Processing Agreement/Addendum“ im Kundenkonto oder automatisch als Teil der Geschäftsbedingungen für Geschäftskunden. Ihre Aufgabe ist nicht das Verhandeln, sondern das Prüfen und Dokumentieren: Besteht für jedes Werkzeug mit Personenbezug ein AVV — und können Sie das auf Nachfrage zeigen?

Den Überblick behalten: eine Liste, drei Spalten

Die AVV-Frage ist eine Inventar-Frage. Je Werkzeug drei Angaben: Personenbezug ja/nein? AVV vorhanden? Drittlandtransfer? Steht bei „Personenbezug: nein“, ist die AVV-Frage gegenstandslos; steht dort „ja“ und bei AVV „offen“, haben Sie Ihre To-do-Liste. Diese drei Spalten sind zugleich die Zulieferung für das Verarbeitungsverzeichnis und die Antwort auf Kundenfragebögen — eine Erfassung, mehrere Nachweise.

Was hinter dem AVV noch hängt

Zwei Dinge gehören ehrlich dazu. Erstens: Der AVV heilt keinen Drittlandtransfer — sitzt der Anbieter in den USA, braucht es zusätzlich eine Übermittlungsgrundlage (Art. 44 ff.). Zweitens: Der AVV bindet den Dienstleister, entlastet Sie aber nicht von der Auswahlverantwortung — Sie bleiben Verantwortlicher und wählen Dienstleister, die „hinreichende Garantien“ bieten (Art. 28 Abs. 1).

Häufige Fragen