Auftragsverarbeitung (AV) nach Art. 28 DSGVO
DefinitionVertragliche Regelung, wenn Dienstleister personenbezogene Daten verarbeiten.
Auftragsverarbeitung (AV) nach Art. 28 DSGVO bedeutet, dass ein externer Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag eines Unternehmens (Verantwortlicher) verarbeitet – z. B. Hosting, Lohnabrechnung oder IT-Support. Dafür ist ein Vertrag zur Auftragsverarbeitung (AVV/DPA) Pflicht, der Zweck, Weisungen, Schutzmaßnahmen und Kontrollrechte regelt.
Was bedeutet „Auftragsverarbeitung“ konkret?
In der Praxis liegt AV vor, wenn Ihr Unternehmen die Zwecke und Mittel der Verarbeitung bestimmt, aber ein Dienstleister die Daten technisch oder organisatorisch verarbeitet. Typische Beispiele für KMU:
- Cloud-Hosting & E-Mail (z. B. Serverbetrieb, Backup, Managed Hosting)
- IT-Wartung/Remote-Support, wenn dabei Zugriff auf Systeme mit Kundendaten möglich ist
- Lohn- und Gehaltsabrechnung über ein externes Payroll-Büro
- CRM-/Ticketsysteme als SaaS, wenn dort Kunden- oder Mitarbeiterdaten liegen
Wichtig: Nicht jede Zusammenarbeit ist AV. Wird ein Dienstleister selbst „Herr der Zwecke“ (z. B. eigener Entscheidungsspielraum), kann es sich um gemeinsame Verantwortlichkeit oder eine eigene Verantwortlichkeit handeln. Das muss sauber eingeordnet werden.
Wie funktioniert AV nach Art. 28 DSGVO? (Ablauf für KMU)
- 1) Prüfen, ob AV vorliegt: Verarbeitet der Anbieter Daten nur nach Ihren Weisungen?
- 2) Dienstleister auswählen: Art. 28 verlangt „hinreichende Garantien“ (z. B. TOMs, Zertifizierungen, Sicherheitskonzept).
- 3) AV-Vertrag abschließen: Vor Start der Verarbeitung – meist als AVV/DPA des Anbieters.
- 4) TOMs bewerten & dokumentieren: Zugriffsschutz, Verschlüsselung, Backup, Berechtigungen, Protokollierung etc.
- 5) Unterauftragsverarbeiter steuern: Subdienstleister (z. B. Rechenzentrum) nur mit Genehmigung/Transparenz.
- 6) Kontrolle & laufende Pflege: Regelmäßig prüfen (z. B. jährlicher Check, bei Tool-Wechseln, bei Sicherheitsvorfällen).
Was muss im AV-Vertrag stehen (Kernpflichten nach Art. 28 DSGVO)?
Ein AVV muss u. a. regeln: Gegenstand und Dauer, Art und Zweck, Datenarten und Betroffenengruppen, Weisungsrecht, Vertraulichkeit, technische und organisatorische Maßnahmen (TOMs), Unterstützung bei Betroffenenrechten (Auskunft/Löschung), Unterstützung bei Datenschutzvorfällen, Löschung/Rückgabe nach Vertragsende sowie Nachweise/Audits. Für viele KMU ist der Knackpunkt, dass diese Punkte zwar „im Template“ stehen, aber inhaltlich zu Ihrem Einsatz passen müssen (z. B. welche Systeme, welche Daten, welche Löschfristen).
Warum ist Auftragsverarbeitung wichtig?
Ohne AVV ist die Nutzung vieler IT-Dienstleister datenschutzrechtlich riskant: Es drohen Beanstandungen durch Aufsichtsbehörden, Bußgelder und vor allem operative Probleme (z. B. fehlende Regelungen zur Löschung oder zum Incident-Handling). Ein sauberer AVV schafft zudem Klarheit, wer bei einem Sicherheitsvorfall was wann liefern muss (Logs, Meldungen, Ansprechpartner).
Praxis-Tipps für KMU (häufige Stolperfallen)
- IT-Support-Verträge: Wenn Admins Zugriff auf produktive Systeme haben, ist fast immer ein AVV nötig.
- Cloud & internationale Anbieter: AVV allein reicht nicht, wenn Datenübermittlungen in Drittländer stattfinden (zusätzliche Transferprüfung/Standardvertragsklauseln).
- KI-Tools im Unternehmen: Bei Nutzung von ChatGPT oder Generative KI (Generative AI) kann AV relevant sein, wenn personenbezogene Daten eingegeben werden und der Anbieter als Auftragsverarbeiter agiert. Prüfen Sie zusätzlich Datenaufbewahrung und Optionen wie Zero Data Retention (ZDR).
- Dokumentation: Halten Sie fest, welche Tools AV sind, welche Unterauftragsverarbeiter eingesetzt werden und wo die TOMs liegen.
Was kostet ein AV-Vertrag?
Der AVV selbst ist bei SaaS-Anbietern oft kostenlos Bestandteil der Vertragsunterlagen. Kosten entstehen typischerweise indirekt durch Prüfung, Anpassungen, Rechtsberatung (bei Sonderfällen) und den internen Aufwand für Vendor-Checks und Dokumentation. Je stärker reguliert oder je sensibler die Daten, desto höher der Prüfaufwand.
- 3 von 4
AV bei Dienstleistern
Für die meisten KMU ist eine Auftragsverarbeitung relevant, sobald externe Anbieter wie Hosting-, CRM- oder Lohnabrechnungsdienste personenbezogene Daten im Auftrag verarbeiten.
- 20 Mio. €
maximales Bußgeld
Fehlende oder unzureichende AV-Verträge können als DSGVO-Verstoß gewertet werden und theoretisch Bußgelder von bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes auslösen.
- 30%
weniger Prüfaufwand
Standardisierte AV-Vorlagen und klare TOM-Dokumentation senken in KMU oft den internen Abstimmungs- und Prüfaufwand bei neuen Dienstleistern spürbar.
Lohnabrechnung mit externem Payroll-Dienstleister DSGVO-konform absichern
Ein KMU übermittelt Mitarbeiterdaten wie Gehalt, Steuermerkmale und Krankenkassendaten an einen externen Anbieter für die monatliche Lohnabrechnung. Mit einer Auftragsverarbeitung nach Art. 28 DSGVO werden Verantwortlichkeiten, Sicherheitsmaßnahmen und Löschfristen klar geregelt, damit die HR-Abteilung den Dienstleister rechtssicher einsetzen kann.
CRM- und Newsletter-Tools rechtssicher für Kundenkommunikation einsetzen
Ein mittelständisches Unternehmen nutzt cloudbasierte CRM- und E-Mail-Marketing-Software, um Kundendaten zu verwalten und Kampagnen zu versenden. Da der Softwareanbieter personenbezogene Daten im Auftrag verarbeitet, schafft ein AV-Vertrag die Grundlage für den datenschutzkonformen Einsatz im Vertrieb und Marketing.
IT-Support und Hosting für den Onlineshop vertraglich sauber regeln
Ein kleiner Händler betreibt seinen Webshop über einen externen Hosting-Provider und lässt Wartung sowie Support von einer IT-Agentur durchführen. Weil dabei Kundendaten wie Bestellungen, Adressen und Zahlungsinformationen verarbeitet werden können, stellt die Auftragsverarbeitung sicher, dass Zugriffe, Schutzmaßnahmen und Unterauftragnehmer transparent geregelt sind.
Häufig gestellte Fragen
Was ist Auftragsverarbeitung (AV) nach Art. 28 DSGVO?
AV liegt vor, wenn ein Dienstleister personenbezogene Daten nur nach Weisung Ihres Unternehmens verarbeitet (z. B. Hosting, IT-Support, Payroll). Dafür ist ein Vertrag zur Auftragsverarbeitung (AVV/DPA) nach Art. 28 DSGVO verpflichtend.
Wann brauche ich einen AV-Vertrag (AVV/DPA)?
Immer dann, wenn der Dienstleister Zugriff auf personenbezogene Daten hat oder diese für Sie speichert/verarbeitet und dabei nicht selbst über Zweck und Mittel entscheidet. Typisch sind Cloud-Dienste, Newsletter-Tools, Ticketsysteme und externe IT-Administratoren.
Was muss in einem AV-Vertrag nach Art. 28 DSGVO stehen?
Der AVV muss u. a. Zweck und Dauer der Verarbeitung, Datenarten, Weisungsrecht, TOMs, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten, Incident-Handling sowie Löschung/Rückgabe nach Vertragsende regeln. Außerdem brauchen Sie Audit- bzw. Nachweisrechte.
Wie prüfe ich als KMU einen Dienstleister für Auftragsverarbeitung praktisch?
Lassen Sie sich AVV/DPA, TOMs und eine Liste der Unterauftragsverarbeiter geben und prüfen Sie, ob das zu Ihrem Einsatz passt (Zugriffe, Verschlüsselung, Löschkonzept, Support-Prozesse). Dokumentieren Sie die Prüfung und wiederholen Sie sie regelmäßig oder bei wesentlichen Änderungen.
Ist die Nutzung von KI-Tools wie [[ChatGPT]] automatisch Auftragsverarbeitung?
Nicht automatisch: Es hängt davon ab, ob der Anbieter als Auftragsverarbeiter für Ihre Zwecke handelt und welche Vertragsbedingungen gelten. Wenn Sie personenbezogene Daten eingeben, sollten Sie AV/Transfer-Themen, Aufbewahrung und Optionen wie [[Zero Data Retention (ZDR)]] prüfen.
Ist Auftragsverarbeitung dasselbe wie gemeinsame Verantwortlichkeit?
Nein. Bei der Auftragsverarbeitung nach Art. 28 DSGVO verarbeitet der Dienstleister personenbezogene Daten nur nach deinen Weisungen, während bei gemeinsamer Verantwortlichkeit beide Parteien gemeinsam über Zwecke und Mittel der Verarbeitung entscheiden. Die Abgrenzung ist wichtig, weil dafür unterschiedliche Verträge und Pflichten gelten.
Welche technischen und organisatorischen Maßnahmen muss ein Auftragsverarbeiter nachweisen?
Ein Auftragsverarbeiter muss angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umsetzen, zum Beispiel Zugriffskontrollen, Verschlüsselung, Berechtigungskonzepte, Backups und Prozesse für Vorfälle. Welche Maßnahmen erforderlich sind, hängt vom Risiko, der Art der Daten und dem konkreten Verarbeitungsvorgang ab.
Ich bin kein Datenschutzprofi – kannst du mir trotzdem helfen, AV-Risiken in meiner Tool-Landschaft zu erkennen?
Ja. Im Tech-Gutachten analysiere ich deine eingesetzten Tools, Datenflüsse und Dienstleister so, dass du schnell erkennst, wo wahrscheinlich Auftragsverarbeitung vorliegt und wo AV-Verträge, TOM-Prüfungen oder saubere Zuständigkeiten fehlen. Du bekommst keine juristische Nebelkerze, sondern eine verständliche Entscheidungsgrundlage für dein Unternehmen.
Kannst du bei der Auswahl datenschutzfreundlicher Tools unterstützen, damit AV praktisch beherrschbar bleibt?
Ja, genau das ist Teil meiner Tech-Partnerschaft als externer CTO. Ich bewerte mit dir Tools nicht nur nach Funktionen und Preis, sondern auch nach Datenschutz-Praxis, Anbieterstruktur, Datenflüssen und Umsetzbarkeit im Alltag, damit du weniger Tool-Chaos und weniger AV-Risiko hast.
Wie hilft mir OrbitOS, wenn ich personenbezogene Daten nicht mehr über zu viele einzelne Tools verteilen will?
Mit der Tech-Umsetzung auf OrbitOS reduzierst du verstreute Datenhaltung und unnötige Schnittstellen, weil CRM, Projektmanagement, Content, KI-Assistent und Dashboards in einem System zusammenlaufen. Das macht Prozesse oft nicht nur effizienter, sondern erleichtert auch die Übersicht darüber, welche Daten wo verarbeitet werden und welche Dienstleister beteiligt sind.
Ich möchte KI nutzen, habe aber Sorge wegen DSGVO und Auftragsverarbeitung – ist das ein Ausschlusskriterium?
Nein, aber es braucht eine saubere Prüfung. In meiner KI-Beratung schauen wir uns konkret an, welche Prozesse KI-fähig sind, welche Daten dort verarbeitet würden und ob ein Tool datenschutzseitig sinnvoll einsetzbar ist, damit du nicht aus Unsicherheit Chancen liegen lässt oder blind Risiken eingehst.
Ist das Thema Auftragsverarbeitung nur für größere Unternehmen relevant oder auch für kleine Teams?
Gerade kleine Unternehmen mit vielen SaaS-Tools, externem IT-Support, Lohnabrechnung oder Cloud-Diensten sind schnell betroffen. Mit meiner laufenden Tech-Partnerschaft bekommst du einen festen Ansprechpartner, der deine Tool-Landschaft mitdenkt, Risiken früh erkennt und technische Entscheidungen so strukturiert, dass Datenschutz nicht erst zum Problem wird.