Auftragsverarbeitungsvertrag (AVV): Wann Sie ihn brauchen
Was Auftragsverarbeitung ist
Wenn Sie als Unternehmen personenbezogene Daten verarbeiten, sind Sie in der Regel Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO). Sobald ein Dienstleister Daten in Ihrem Auftrag bearbeitet – nicht in eigenem Interesse – spricht man von Auftragsverarbeitung.
Auftragsverarbeiter ist nach Art. 4 Nr. 8 DSGVO jede Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Die Gesamtverantwortung bleibt bei Ihnen; der Auftragsverarbeiter handelt nur nach Ihren Weisungen.
Das Kurzpapier Nr. 13 der Datenschutzkonferenz (DSK) „Auftragsverarbeitung, Art. 28 DS-GVO“ nennt in Anhang A typische Beispiele:
- DV-technische Arbeiten für Lohn- oder Gehaltsabrechnung oder Finanzbuchhaltung durch Rechenzentren
- Cloud-Computing, ohne dass ein inhaltlicher Datenzugriff des Cloud-Betreibers erforderlich ist
- Lettershop, Callcenter ohne eigene Entscheidungsspielräume
- Auslagerung der E-Mail-Verwaltung oder von Kontaktformularen
- Datenerfassung und Scannen
- Backup-Auslagerung und Archivierung
- Datenträgerentsorgung
Wer Buchhaltungssoftware für Selbstständige, ein Rechnungsprogramm, ein Kassensystem oder Lohnverfahren in der Cloud nutzt, liegt oft in diesen Konstellationen. Typische SaaS-Fälle im Betrieb:
- Cloud-Buchhaltung: Kunden- und Lieferantendaten, Rechnungsbeträge, ggf. Lohnlisten – Verarbeitung im Rechenzentrum des Anbieters
- Kassensystem online: Bon- und Zahlungsdaten, ggf. Kundenkarten – oft mit Backup beim Hoster
- Lohn in der Cloud: Personaldaten, Steuer- und Sozialversicherungsmerkmale – besonders sensibel
- Newsletter- oder Kontaktformular-Dienst: E-Mail-Adressen und Namen der Empfänger – Lettershop-ähnliche Verarbeitung nach DSK
Einstieg in den Themenbereich: Datenschutz.
Fernwartung oder IT-Support mit möglichem Datenzugriff kann Auftragsverarbeitung sein; rein technische Infrastruktur-Wartung (Strom, Kühlung, Heizung) ist es nach DSK in der Regel nicht.
Wann keine AVV nötig ist
Nicht jeder Dienstleister ist Auftragsverarbeiter. Anhang B des DSK-Kurzpapiers nennt Fälle, in denen in der Regel keine Auftragsverarbeitung vorliegt – die Partner sind eigenständig Verantwortliche und benötigen eine eigene Rechtsgrundlage nach Art. 6 DSGVO:
- Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer
- Inkasso mit Forderungsübertragung
- Banken beim Geldtransfer
- Postdienste
Übergeben Sie Unterlagen an Ihre Steuerberatung, liegt in der Regel keine Auftragsverarbeitung vor: Steuerberater sind Berufsgeheimnisträger und eigenständig Verantwortliche (DSK Anhang B). Ein AVV nach Art. 28 ist dann nicht der richtige Instrumententyp – stattdessen braucht die Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Steuerliche GoBD-Pflichten bleiben unabhängig davon beim Steuerpflichtigen; zur Auslagerung siehe GoBD.
Anhang C behandelt gemeinsam Verantwortliche nach Art. 26 DSGVO – dort gelten andere Pflichten als beim AVV.
AVV (Art. 28) vs. gemeinsam Verantwortliche (Art. 26)
Bei Auftragsverarbeitung entscheiden Sie über Zweck und Mittel; der Dienstleister handelt nur auf Weisung – dafür ist der AVV Pflicht. Bei gemeinsam Verantwortlichen bestimmen zwei oder mehr Stellen gemeinsam die Zwecke und Mittel (DSK Anhang C). Dann brauchen Sie eine Vereinbarung nach Art. 26 DSGVO (Transparenz, wer welche Pflichten trägt), keinen klassischen AVV allein. Die DSK nennt als Beispiele etwa die gemeinsame Verwaltung bestimmter Datenkategorien (z. B. Stammdaten) für gleichlaufende Geschäftszwecke mehrerer Konzernunternehmen – reine Auftragsverarbeitung liegt dagegen vor, wenn der Anbieter keine eigenen Zwecke verfolgt.
Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
Schließen Sie Auftragsverarbeitung ab, muss der Vertrag mindestens festhalten:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Rechte und Pflichten des Verantwortlichen
Zudem verpflichtet Art. 28 Abs. 3 den Auftragsverarbeiter u. a. zu:
| Buchstabe | Pflicht |
|---|---|
| a) | Verarbeitung nur auf dokumentierte Weisung – auch bei Drittlandübermittlung |
| b) | Vertraulichkeit der Beschäftigten |
| c) | Technische und organisatorische Maßnahmen nach Art. 32 DSGVO |
| d) | Regeln für Unterauftragsverarbeiter |
| e) | Unterstützung bei Betroffenenrechten |
| f) | Unterstützung bei Art. 32–36 DSGVO (Sicherheit, Meldungen, Folgenabschätzung) |
| g) | Löschung oder Rückgabe nach Ende der Leistung |
| h) | Nachweise und Überprüfungen, einschließlich Inspektionen |
Art. 28 Abs. 1 verlangt, dass Sie nur Auftragsverarbeiter wählen, die hinreichende Garantien für geeignete Maßnahmen bieten.
TOM nach Art. 32 DSGVO – was Sie konkret prüfen
Der AVV verweist auf technische und organisatorische Maßnahmen (TOM). In der Praxis bedeutet das für kleine Unternehmen:
- Zugriff: Starke Passwörter, getrennte Benutzerkonten, keine gemeinsamen Admin-Zugänge
- Transport: Verschlüsselte Verbindungen (HTTPS) zwischen Browser und Anbieter
- Speicherort: Vertraglich festgehaltene Rechenzentrumsstandorte und Subdienstleister
- Verfügbarkeit: Backup und Wiederherstellung – oft als ausgelagerte Leistung nach DSK Anhang A
- Löschung: Was passiert bei Kündigung? Art. 28 Abs. 3 lit. g) verlangt Rückgabe oder Löschung
- Vorfälle: Meldewege für Datenpannen und Unterstützung bei Betroffenenanfragen (Art. 28 Abs. 3 lit. e) und f))
Dokumentieren Sie Ihre eigene Nutzung (wer darf welche Daten sehen?) zusätzlich zum Anbieter-TOM.
Form: schriftlich, auch elektronisch
Art. 28 Abs. 9 DSGVO schreibt die schriftliche Form vor – elektronisches Format ist ausdrücklich erlaubt. In der Praxis stellen viele SaaS-Anbieter einen AVV zum Download oder zur Bestätigung im Kundenkonto bereit.
Standardvertragsklauseln der EU-Kommission können genutzt werden (Art. 28 Abs. 6 und 7 DSGVO). Grundlage ist der Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern.
Zertifizierungen oder genehmigte Verhaltensregeln können laut Art. 28 Abs. 5 als Faktor bei der Auswahl fließen – sie ersetzen den Vertrag nicht allein.
Unterauftragsverarbeiter
Art. 28 Abs. 2 DSGVO: Weitere Auftragsverarbeiter (Subdienstleister) sind nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung zulässig. Bei allgemeiner Genehmigung muss der Auftragsverarbeiter Sie informieren und Ihnen Einspruch ermöglichen.
Art. 28 Abs. 4: Unterauftragsverarbeiter unterliegen denselben Pflichten; der erste Auftragsverarbeiter haftet für deren Einhaltung. Lesen Sie in Cloud-Verträgen die Subprocessor-Liste und prüfen Sie, ob Ihre Branche besondere Anforderungen hat.
So gehen Sie vor
Ein pragmatischer Ablauf für kleine Betriebe:
- Dienstleister auflisten – Hosting, Buchhaltung, Rechnung, Kasse, Newsletter, Backup.
- Prüfen, ob Auftragsverarbeitung vorliegt (DSK-Anhänge A–C als Orientierung).
- AVV anfordern oder abschließen – oft im Anbieter-Portal; Version und Datum archivieren.
- Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO gegenprüfen – Passwortrichtlinien, Verschlüsselung, Standort der Server (Vertragstext).
- Ablage zusammen mit Verfahrensdokumentation; bei Wechsel des Anbieters Löschung/Rückgabe nach Art. 28 Abs. 3 lit. g) anstoßen.
Der AVV regelt Datenschutz zwischen Ihnen und dem Dienstleister. Er ersetzt nicht die GoBD und die ordnungsmäßige Buchführung: Unveränderbarkeit, Nachvollziehbarkeit und Aufbewahrungsfristen für steuerliche Unterlagen bleiben Ihre Pflicht – auch wenn die Software in der Cloud läuft. Ein unterschriebener AVV befreit Sie nicht von GoBD-konformer Führung der Bücher oder von korrekten Rechnungen über Ihr Rechnungsprogramm. Umgekehrt ersetzt eine technisch einwandfreie Buchhaltung keinen fehlenden AVV.
Prüfen Sie bei der Softwareauswahl beide Ebenen: Vertrag nach Art. 28 DSGVO und ob Exporte, Journal und Archivierung Ihren steuerlichen Anforderungen genügen.
Folgen bei Verstößen
Fehlt ein erforderlicher Vertrag oder werden Pflichten aus Art. 25 bis 39 DSGVO verletzt, können Aufsichtsbehörden Geldbußen verhängen. Art. 83 Abs. 4 lit. a DSGVO nennt für Verstöße von Verantwortlichen und Auftragsverarbeitern unter anderem gegen Art. 28 einen Rahmen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs – je nachdem, welcher Betrag höher ist. Das ist der gesetzliche Höchstwert, keine automatische Sanktion im Einzelfall.
Fazit
Ein Auftragsverarbeitungsvertrag ist das zentrale Instrument, wenn Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeiten – typisch bei Cloud-Software für Finanzen, Kasse und Kommunikation. Steuerberater sind Berufsgeheimnisträger und in der Regel eigenständig Verantwortliche – kein AVV nach Art. 28. Schließen Sie die Pflichtinhalte vertraglich ab, prüfen Sie Unterauftragsverarbeiter und dokumentieren Sie die TOM.
Häufige Fragen
Brauche ich einen AVV mit meinem Steuerberater?
Laut Kurzpapier Nr. 13 der Datenschutzkonferenz (Anhang B) sind Steuerberater Berufsgeheimnisträger und in der Regel eigenständig Verantwortliche, nicht Auftragsverarbeiter – dann ist kein AVV nach Art. 28 nötig, sondern eine eigene Rechtsgrundlage nach Art. 6 DSGVO.
Reicht die Datenschutzerklärung des Anbieters?
Die Website-Erklärung informiert Betroffene. Für die Beauftragung brauchen Sie einen Vertrag nach Art. 28 DSGVO mit den Pflichtinhalten aus Abs. 3 – oft als AVV im Kundenkonto.
Was sind Standardvertragsklauseln der EU?
Die EU-Kommission hat mit Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 Musterklauseln für Verantwortliche und Auftragsverarbeiter erlassen. Sie können nach Art. 28 Abs. 6 und 7 DSGVO genutzt werden.
Muss der AVV auf Papier unterschrieben sein?
Nein. Art. 28 Abs. 9 DSGVO verlangt die schriftliche Form – elektronisches Format ist ausdrücklich zulässig.
Was droht ohne AVV?
Verstöße gegen Pflichten aus Art. 25 bis 39 können nach Art. 83 Abs. 4 DSGVO mit Geldbußen von bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Das ist der gesetzliche Höchstrahmen, keine automatische Strafe.
Quellen
Wichtiger Hinweis: Dieser Artikel dient ausschließlich der allgemeinen Information und ersetzt keine Steuer- oder Rechtsberatung. Gesetze, Fristen, Preise und Funktionen von Programmen können sich jederzeit ändern; verbindlich sind allein die aktuellen Angaben von Finanzamt, Behörden und Anbieter. Für Ihren Betrieb wenden Sie sich bitte an eine Steuerberaterin oder einen Steuerberater, eine Rechtsanwältin oder einen Rechtsanwalt oder die zuständige Kammer.