AVV-Vorlage 2026: was rein muss, was nicht (Art. 28 DSGVO)

1. Was ist ein AVV?

Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 Abs. 3 DSGVO ein verpflichtender Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Er regelt die Verarbeitung personenbezogener Daten im Auftrag.

"Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments..." — Art. 28 Abs. 3 DSGVO

Der Vertrag ist dabei die zweite Stufe, nicht die erste. Art. 28 Abs. 1 DSGVO verpflichtet den Verantwortlichen zunächst zur Auswahl: Er arbeitet nur mit Auftragsverarbeitern, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Wer unterschreibt, ohne diese Garantien vorher geprüft zu haben, erfüllt formal Abs. 3 und verfehlt Abs. 1. Praxisempfehlung: das Prüfergebnis mit Datum im AV-Inventar festhalten.

Davor steht die Rollenklärung. Drei Rollen sind zu unterscheiden: Verantwortlicher (Art. 4 Nr. 7 DSGVO), Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO) und gemeinsam Verantwortliche (Art. 26 DSGVO). Nur die zweite Konstellation führt zum AVV — die Verwechslung von Auftragsverarbeitung und gemeinsamer Verantwortlichkeit gehört zu den häufigsten Dokumentationsfehlern in der Praxis. Das Unterscheidungsmerkmal ist die Weisungsbindung: Auftragsverarbeitung liegt nur vor, wenn die Gegenseite ausschließlich auf Ihre Weisung und ohne eigenes Verarbeitungsinteresse verarbeitet (Abschnitt 2). Trifft das nicht zu, ist der AVV das falsche Instrument — dann ist entweder die Gegenseite eigenständig Verantwortlicher (Abschnitt 6) oder es liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor.

Und der AVV ist kein Erlaubnistatbestand: Er regelt, wie ein Dritter in Ihrem Auftrag verarbeitet, nicht ob Sie verarbeiten dürfen. Die Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO brauchen Sie unabhängig davon (Abschnitt 8).

2. Wann ist ein AVV Pflicht?

Ein AVV ist Pflicht, sobald drei Kriterien zusammenkommen:

1. Externe Stelle verarbeitet
2. für Sie personenbezogene Daten
3. auf Ihre Weisung (kein eigenes Verarbeitungsinteresse)

Typische AV-Konstellationen:

• IT-Hosting (AWS, Azure, GCP, Hetzner)
• Cloud-Software (Microsoft 365, Salesforce, HubSpot)
• Newsletter-Tools (Mailchimp, Brevo, CleverReach)
• Lohnabrechnungs-Dienstleister (oft, nicht immer)
• IT-Wartungsdienstleister mit Datenzugriff
• Backup-Dienstleister
• SOC / Externe IT-Security

Die Anbieter- und Toolnennungen in dieser Liste sind der Stand der Erstfassung dieses Artikels. Entscheidend ist nicht der Name, sondern das dritte Kriterium: Weisungsgebundenheit. Wer nicht weisungsgebunden arbeitet, sondern ein eigenes Verarbeitungsinteresse verfolgt, ist nicht Auftragsverarbeiter — dann ist die Gegenseite entweder eigenständig Verantwortlicher (Abschnitt 6) oder es liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor.

Zu bedenken ist außerdem: Der Auftragsverarbeiter trägt eigene Pflichten, die der AVV nicht abbedingt — ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO und gegebenenfalls einen eigenen Datenschutzbeauftragten (Abschnitt 8 und Abschnitt 9).

3. 8 Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO benennt den Mindestinhalt des Vertrags ausdrücklich: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Die Praxis führt daraus acht prüfbare Vertragsbausteine:

Zwei Punkte werden regelmäßig falsch gelesen. Die "14 Tage" in Zeile 7 sind eine vertragliche Zuliefer-Frist, keine gesetzliche: Gesetzlich gilt für den Verantwortlichen Art. 12 Abs. 3 DSGVO — unverzüglich, in jedem Fall binnen eines Monats nach Eingang des Antrags, verlängerbar um weitere zwei Monate bei Komplexität oder Anzahl der Anträge, wobei die betroffene Person über die Verlängerung binnen eines Monats unter Angabe der Gründe zu unterrichten ist. Wer im AVV keine kürzere Zuliefer-Frist vereinbart, kann seine eigene Frist strukturell nicht halten. Und Zeile 3 ist kein Formalismus: Für Daten nach Art. 9 Abs. 1 DSGVO — etwa Gesundheitsdaten aus Krankheitsfällen — gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen nach Art. 9 Abs. 2 DSGVO.

Ebenso klar ist, was nicht in den AVV gehört: Regelungen für Stellen, die eigenständig Verantwortliche sind (Abschnitt 6) — dort ist der AVV der falsche Vertrag; die Rechtsgrundlage der Verarbeitung, die unabhängig nach Art. 6 Abs. 1 DSGVO bestehen muss (Abschnitt 8); und pauschale TOM-Zusagen, die die Garantien nach Art. 28 Abs. 1 DSGVO gerade nicht prüfbar machen (Zeile 8 der Tabelle).

4. 6 typische AVV-Fehler

Sechs Fehler tauchen in vorgelegten AVV immer wieder auf — allen gemeinsam ist, dass der Vertrag formal existiert, im Prüffall aber keine Aussage trägt: weil er nicht zu den eigenen Verarbeitungen passt, weil Anlagen fehlen oder weil niemand belegen kann, welche Fassung gilt. Die zugehörige Prüffrage am Vertragstext steht jeweils in Abschnitt 7.

1. Generischer 'Mustervertrag aus dem Internet': deckt keine eigenen Verarbeitungen ab — Art. 28 Abs. 3 DSGVO verlangt Gegenstand, Dauer, Art und Zweck sowie Datenarten und Betroffenenkategorien konkret für dieses Auftragsverhältnis.
2. Sub-AV-Liste fehlt: Große Anbieter wie Microsoft setzen eine Vielzahl von Sub-Auftragsverarbeitern ein — alle müssen aufgelistet sein. Ohne beigefügte Liste lässt sich weder ein Widerspruchsverfahren ausüben noch die Drittland-Lage bewerten. (Anbieterangabe: Stand der Erstfassung dieses Artikels.)
3. Drittland-Transfer ohne SCC/DPF-Anhang: bei US-Tools (Mailchimp, Zoom, Salesforce) Pflicht. Dieselbe Übermittlung samt Garantie gehört zusätzlich ins Verarbeitungsverzeichnis — beim Verantwortlichen nach Art. 30 Abs. 1 DSGVO, beim Auftragsverarbeiter nach Art. 30 Abs. 2 lit. c DSGVO. (Toolnennungen: Stand der Erstfassung.)
4. Right-to-Audit fehlt oder ist unwirksam ('mit 6 Monaten Vorlauf') — ein Prüfrecht, das erst nach zwei Quartalen greift, klärt eine akute Zweifelsfrage nicht.
5. Datenrückgabe nach Vertragsende ungeregelt — ohne Regelung ist am Kündigungstag offen, wer welche Kopien in welcher Frist löscht und wie das nachgewiesen wird.
6. Versionsverwaltung: alte AVV-Version aus 2018 noch in Anwendung trotz neuer SCC 2021/914 — ohne Versionsdatum lässt sich gegenüber der Aufsicht nicht belegen, welche Fassung gilt.

5. Schrems II / DPF-Anhang

Bei US-Auftragsverarbeitern oder Sub-Auftragsverarbeitern in Drittländern genügt der AVV allein nicht — es braucht einen Pflicht-Anhang mit:

• Standardvertragsklauseln (SCC 2021/914) ODER
• DPF-Zertifizierungs-Nachweis (für DPF-zertifizierte US-Unternehmen)
• Transfer Impact Assessment (TIA) — je Empfänger zu erstellen, nicht je Vertrag; Arbeitsgrundlage ist die Sub-AV-Liste aus Pflichtinhalt 6
• Zusätzliche technische Maßnahmen (Verschlüsselung, Pseudonymisierung)

Praktisch heißt das: Die Prüfung erfolgt je Empfänger, nicht je Vertrag. Der Nachweis nach der DPF-Variante gilt jeweils für das zertifizierte US-Unternehmen, weshalb die Sub-AV-Liste aus Pflichtinhalt 6 die Arbeitsgrundlage dieses Anhangs ist. Rechtsgrundlage der DPF-Variante ist der Durchführungsbeschluss (EU) 2023/1795 der Kommission vom 10. Juli 2023; er ist in Kraft. Die Klage dagegen hat das Gericht der Europäischen Union in der Rechtssache T-553/23 (Latombe) am 3. September 2025 abgewiesen; das am 31. Oktober 2025 eingelegte Rechtsmittel C-703/25 P war zum Stand 17. August 2026 nicht entschieden, zusätzlich ist das Vorabentscheidungsersuchen C-804/25 zur Reichweite des DPF anhängig. Der Beschluss ist zusammen mit dem Urteil T-553/23 und der EDPB-Bindungsentscheidung 1/2023 im Quellenblock verlinkt.

Der Anhang endet nicht im Vertragsordner: Jede Drittlandübermittlung ist im Verarbeitungsverzeichnis mit der zugehörigen Garantie zu dokumentieren. Als Praxisempfehlung: TIA und DPF-Nachweis mit Prüfdatum und Prüfer im AV-Inventar hinterlegen, damit bei einer Aufsichtsanfrage nicht neu recherchiert werden muss.

6. BayLDA: was kein AVV ist

Nicht jeder externe Dienstleister mit Datenzugriff ist Auftragsverarbeiter — wer im eigenen Verarbeitungsinteresse oder kraft eigener Berufspflichten handelt, ist in den Fällen dieser Tabelle eigenständig Verantwortlicher (in anderen Konstellationen kommt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht), und dann ist der AVV der falsche Vertrag.

Für die Zeilen "Eigenständig Verantwortlich" schließen Sie keinen AVV — die Stelle wird stattdessen als Empfänger-Kategorie im Verarbeitungsverzeichnis geführt. Ein zu Unrecht geschlossener AVV ist dabei nicht bloß überflüssig: Er beschreibt die Rollen falsch und widerspricht damit dem, was Ihr Verzeichnis über dieselbe Verarbeitung sagt.

Das BayLDA ist als Bayerisches Landesamt für Datenschutzaufsicht für nichtöffentliche Stellen in Bayern zuständig; die Aufsicht über nichtöffentliche Stellen liegt in Deutschland allgemein bei den nach Landesrecht zuständigen Behörden (§ 40 Abs. 1 BDSG). In Österreich ist die Datenschutzbehörde die zuständige Aufsichtsbehörde (§ 18 Abs. 1 DSG). Für die Auftragsverarbeitung selbst gibt es dort keine österreichische Sonderregel — maßgeblich sind Art. 28 Abs. 1 und Abs. 3 DSGVO, ergänzt um das Datengeheimnis nach § 6 DSG.

7. AVV-Checkliste vor Unterschrift

Acht Prüfpunkte entscheiden, ob ein vorgelegter AVV unterschriftsreif ist — jeder davon wird direkt am Vertragstext beantwortet:

Praxisempfehlung zur Zuständigkeit: Der Fachbereich, der den Dienstleister einsetzt, fordert den AVV an und beschreibt Gegenstand und Zweck; die Datenschutzfunktion prüft die Punkte 1 bis 7 gegen den Vertragstext; die zeichnungsberechtigte Leitung gibt frei; dokumentiert wird das Ergebnis mit Datum und Prüfer im AV-Inventar. Ohne benannte Zuständigkeit bleibt Punkt 8 dieser Liste im Prüffall unbelegt.

1. Alle 8 Pflichtinhalte enthalten? — Abschnitt 3 als Gegenliste verwenden, Zeile für Zeile; die Regelung zu Rückgabe und Löschung nach Vertragsende prüfen Sie zusätzlich über Punkt 6 dieser Liste.
2. Sub-AV-Liste vorhanden + Widerspruchsverfahren geregelt? — Liste als Anlage, nicht als Link auf eine Website, die sich ohne Mitteilung ändert.
3. TOM-Anhang konkret (nicht nur "angemessene TOMs")? — erst konkrete Maßnahmen machen die Garantien nach Art. 28 Abs. 1 DSGVO überhaupt prüfbar.
4. Drittland-Anhang (SCC/DPF) bei US-Sub-AVs? — Prüfmaßstab wie in Abschnitt 5.
5. Right-to-Audit vertraglich verankert? — mit ausübbarer Vorlaufzeit und benanntem Prüfumfang.
6. Datenrückgabe + Löschung nach Vertragsende geregelt? — Format, Frist und Nachweis der Löschung festhalten.
7. Versionsdatum + Gültigkeit dokumentiert? — Version im AV-Inventar mitführen, damit im Prüffall die geltende Fassung feststeht.
8. Beide Seiten signiert (digital signiert akzeptiert)? — im AV-Inventar festhalten, wann und von wem signiert wurde.

8. Was ein AVV nicht ersetzt

Ein AVV macht eine Verarbeitung nicht rechtmäßig — er regelt nur die Bedingungen, unter denen ein Dritter in Ihrem Auftrag verarbeitet. Vier Pflichten bleiben davon unberührt:

• Rechtsgrundlage: Jede Verarbeitung ist nur rechtmäßig, wenn mindestens einer der sechs Erlaubnistatbestände des Art. 6 Abs. 1 DSGVO erfüllt ist. Bei besonderen Kategorien tritt das Verbot des Art. 9 Abs. 1 DSGVO hinzu, das nur über die Ausnahmen des Art. 9 Abs. 2 DSGVO überwunden wird.
• Verarbeitungsverzeichnis: Der Verantwortliche führt sein Verzeichnis nach Art. 30 Abs. 1 DSGVO, der Auftragsverarbeiter ein eigenes nach Art. 30 Abs. 2 DSGVO mit vier Pflichtangaben — Name und Kontaktdaten, Kategorien der im Auftrag durchgeführten Verarbeitungen, gegebenenfalls Drittlandübermittlungen mit Garantien und, wenn möglich, eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 DSGVO.
• Datenschutz-Folgenabschätzung: Hat eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, führt der Verantwortliche vorab eine DSFA durch (Art. 35 Abs. 1 DSGVO) — auch dann, wenn die Verarbeitung technisch beim Auftragsverarbeiter stattfindet.
• Vorfalls-Dokumentation: Die Meldung an die Aufsichtsbehörde nach Art. 33 Abs. 1 DSGVO obliegt dem Verantwortlichen; zu dokumentieren ist nach Art. 33 Abs. 5 DSGVO jede Datenschutzverletzung, auch die nicht gemeldete, samt Begründung der Nichtmeldung.

9. AVV in Deutschland und Österreich

Der Mindestinhalt des AVV ist in beiden Ländern identisch, weil Art. 28 DSGVO unmittelbar gilt — und für Verstöße gegen Art. 28 gilt in beiden Ländern derselbe Rahmen des Art. 83 Abs. 4 DSGVO. Abweichend sind der nationale Überbau und die ergänzenden nationalen Straf- bzw. Verwaltungsstrafbestimmungen. Die folgende Übersicht nennt je Zeile die Fundstelle für genau diese Aussage.

10. AVV in der Aufsichtsprüfung: Fristen und Rhythmen

In der Prüfpraxis ist der AVV der zweite Schritt: Die Aufsicht beginnt regelmäßig beim Verarbeitungsverzeichnis und fragt anschließend für jeden dort genannten externen Dienstleister den passenden Vertrag ab; die beobachtete Reihenfolge lautet VVT → AVV → TOM → DSFA (Praxisbeobachtung, keine Rechtsbehauptung).

Daraus folgt die wichtigste organisatorische Anforderung: Ihr AV-Inventar muss deckungsgleich mit den Empfänger-Einträgen im Verzeichnis sein. Jeder dort genannte Auftragsverarbeiter braucht einen auffindbaren, datierten AVV — und jeder AVV im Ordner braucht einen Eintrag im Verzeichnis.

Die folgende Übersicht trennt gesetzliche Fristen von Praxisempfehlungen; die Spalte "Charakter" gilt jeweils genau für die Zeile, in der sie steht.