Was ist ein Auftragsverarbeitungsvertrag (AVV)?
7 Min. Lesezeit · Aktualisiert: Juni 2026
Sobald ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet, schreibt die DSGVO einen Auftragsverarbeitungsvertrag vor. Dieser Ratgeber erklärt, was ein AVV ist, wann er Pflicht ist und worauf Unternehmen im DACH-Raum bei der Auswahl von SaaS-Tools achten sollten.
Definition: Was ist ein AVV?
Ein Auftragsverarbeitungsvertrag (AVV) — auf Englisch Data Processing Agreement (DPA) — ist ein nach Art. 28 DSGVO vorgeschriebener Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Der Verantwortliche ist das Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet; der Auftragsverarbeiter ist der Dienstleister, der die Daten weisungsgebunden in dessen Auftrag verarbeitet.
Bei nahezu jeder Cloud-Software liegt eine solche Auftragsverarbeitung vor: Der Anbieter speichert und verarbeitet auf seinen Servern die Daten, die Sie als Kunde eingeben — etwa Kontakte im CRM, Mitarbeiterdaten in der HR-Software oder Newsletter-Empfänger im E-Mail-Tool.
Wann ist ein AVV Pflicht?
Ein AVV ist immer dann erforderlich, wenn ein Dienstleister Zugriff auf personenbezogene Daten erhält, die Sie ihm anvertrauen. Ohne abgeschlossenen AVV ist der Einsatz eines solchen Tools formell rechtswidrig — unabhängig davon, wie sicher der Anbieter technisch aufgestellt ist. Aufsichtsbehörden können bereits das Fehlen des Vertrags sanktionieren.
- CRM- und Vertriebssysteme mit Kundendaten
- E-Mail-Marketing-Tools mit Empfängerlisten
- HR- und Bewerbermanagement-Software
- Cloud-Speicher und Backup-Dienste
- Helpdesk- und Ticketing-Systeme
- Analytics-Tools, die personenbezogene Daten verarbeiten
Welche Inhalte muss ein AVV enthalten?
Art. 28 Abs. 3 DSGVO gibt den Mindestinhalt eines AVV verbindlich vor. Ein vollständiger Vertrag regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien betroffener Personen sowie die Rechte und Pflichten beider Parteien.
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien Betroffener
- Weisungsgebundenheit des Auftragsverarbeiters
- Verpflichtung auf Vertraulichkeit
- Technische und organisatorische Maßnahmen (TOMs) nach Art. 32
- Regelungen zum Einsatz von Sub-Auftragsverarbeitern
- Unterstützung bei Betroffenenrechten und Meldepflichten
- Löschung oder Rückgabe der Daten nach Vertragsende
Worauf sollten Sie bei SaaS-Anbietern achten?
Die meisten etablierten SaaS-Anbieter stellen einen standardisierten AVV bereit, der online abrufbar ist und teilweise direkt im Account akzeptiert werden kann. Prüfen Sie, ob der Vertrag den vollständigen Pflichtinhalt abdeckt und ob die eingesetzten Sub-Auftragsverarbeiter transparent aufgelistet sind. Werden Daten in Drittländern wie den USA verarbeitet, müssen zusätzlich geeignete Garantien nach Art. 46 DSGVO vorliegen.
Im SaaSVault-Verzeichnis kennzeichnen wir Tools, für die ein AVV verfügbar ist, mit dem Badge „DPA verfügbar“. So lässt sich die Vorauswahl datenschutzkonformer Lösungen deutlich beschleunigen.
Häufige Fragen
Ist ein AVV und ein DPA dasselbe?
Ja. AVV (Auftragsverarbeitungsvertrag) ist der deutsche Begriff, DPA (Data Processing Agreement) der englische. Beide bezeichnen denselben Vertrag nach Art. 28 DSGVO.
Wer muss den AVV abschließen?
Der Verantwortliche (Ihr Unternehmen) schließt den AVV mit dem Auftragsverarbeiter (dem Dienstleister) ab. Die Verantwortung für den Abschluss liegt beim Verantwortlichen.
Was passiert ohne AVV?
Ohne AVV ist der Einsatz eines Tools, das personenbezogene Daten im Auftrag verarbeitet, rechtswidrig. Aufsichtsbehörden können bereits das Fehlen des Vertrags mit Bußgeldern ahnden.
Weiterlesen
Dieser Ratgeber dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: Juni 2026.