Auftragsverarbeitung (AVV) nach DSGVO: Was KMU wirklich brauchen

Die Auftragsverarbeitung (AVV) ist eines der am häufigsten missverstandenen Konzepte der DSGVO. Viele KMU arbeiten tagtäglich mit externen Dienstleistern zusammen – von Cloud-Anbietern über Agenturen bis hin zu Zahlungsabwicklern – ohne zu wissen, dass sie einen Auftragsverarbeitungsvertrag abschließen müssen. Dieser Leitfaden zeigt dir, was wirklich notwendig ist.

Wann ist eine Auftragsverarbeitung notwendig?

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister im Auftrag eines Verantwortlichen personenbezogene Daten verarbeitet. Der entscheidende Test ist einfach: Verarbeitet der externe Dienstleister Daten im Auftrag meines Unternehmens oder auf eigene Rechnung?

Typische Szenarien mit AVV-Erfordernis

• Webhosting und Cloud-Speicher (Server-Betreiber)
• Zahlungsabwicklung und Zahlungsdienstleister
• E-Mail-Marketing und CRM-Agenturen
• Buchhaltungs- und Steuerberatung
• HR-Software und Personalberatung
• Website-Analyse und Tracking-Tools
• Social-Media-Management durch Agenturen
• Kundenservice und Support-Dienstleister
• Newsletter-Versand und Mailinglisten

Faustregel: Wenn die dritte Partei Zugriff auf, Kenntnis von oder die Möglichkeit der Verarbeitung von Kundendaten, Mitarbeiterdaten oder sonstigen personenbezogenen Daten hat, ist eine AVV wahrscheinlich erforderlich.

Verantwortlicher vs. Auftragsverarbeiter: Die wichtigsten Rollen

Die DSGVO unterscheidet streng zwischen zwei Rollen: dem Verantwortlichen (Controller) und dem Auftragsverarbeiter (Processor). Diese Unterscheidung ist fundamental für die Rechtsverhältnisse.

Achtung: Wenn der Dienstleister eigene Zwecke verfolgt (z.B. Tracking für eigene Geschäftsinteressen), ist er ein Co-Controller, nicht nur ein Auftragsverarbeiter. Dies erfordert einen anderen Vertrag.

Artikel 28 DSGVO: Die rechtlichen Anforderungen

Artikel 28 DSGVO schreibt vor, dass die Beziehung zwischen Verantwortlichem und Auftragsverarbeiter durch einen Vertrag oder ein anderes Rechtsinstrument geregelt sein muss. Das ist nicht optional – es ist eine zwingende Anforderung.

Was Artikel 28 konkret fordert

• Verarbeitung nur auf Anweisung des Verantwortlichen
• Vertraulichkeitsverpflichtung des Personals
• Angemessene technische und organisatorische Maßnahmen (TOM)
• Keine Untervergabe ohne Genehmigung
• Unterstützung bei Betroffenenrechten
• Unterstützung bei Datenschutzprüfungen und Risikoanalysen
• Löschung oder Rückgabe von Daten nach Vertragsende
• Ermittlung der Auftragsverarbeiter und Vertragspartner

Diese Anforderungen müssen explizit im Vertrag geregelt sein. Ein einfacher Servicevertrag reicht nicht aus.

Wesentliche Klauseln im AVV-Vertrag

Ein gut strukturierter AVV-Vertrag sollte folgende Kernpunkte abdecken:

1. Umfang und Art der Verarbeitung

Der Vertrag muss klar festhalten, welche Daten (Kategorien), für welche Zwecke, für wie lange und auf wessen Anweisung verarbeitet werden. Ein weit verbreiteter Irrtum ist, dass vage Formulierungen ausreichen. Das DSGVO-Audit wird dich eines Besseren belehren.

2. Anweisungen und Verarbeitung nur auf Anforderung

Der Auftragsverarbeiter muss sich verpflichten, Daten nur auf dokumentierte Anweisung des Verantwortlichen zu verarbeiten. Dies ist der zentrale Kontrollmechanismus.

3. Unterauftragsverarbeiter (Sub-Processor)

Viele Dienstleister geben Daten an weitere Subunternehmer weiter. Der Vertrag muss regeln, dass Unterauftragsverarbeiter nur mit Genehmigung des Verantwortlichen eingesetzt werden und die gleichen Datenschutzverpflichtungen erfüllen müssen.

4. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter muss nachweisbare Sicherheitsmaßnahmen ergreifen: Verschlüsselung, Zugriffskontrolle, Netzwerksicherheit, Schulungen, Incident-Management. Der Vertrag sollte die TOM-Standards konkret benennen.

5. Vertraulichkeit und Mitarbeiterverpflichtung

Alle Mitarbeiter des Auftragsverarbeiters, die mit personenbezogenen Daten arbeiten, müssen Vertraulichkeitsverpflichtungen unterliegen. Dies muss schriftlich dokumentiert sein.

6. Betroffenenrechte und Unterstützung

Der Auftragsverarbeiter muss dem Verantwortlichen helfen, Auskunftsanfragen, Löschansprüche und sonstige Betroffenenrechte umzusetzen. Vertraglich festgelegte Reaktionszeiten sind kritisch.

7. Datensicherheitsvorfälle und Benachrichtigungspflicht

Bei einer Sicherheitsverletzung muss der Auftragsverarbeiter sofort (idealerweise innerhalb von 24-48 Stunden) den Verantwortlichen benachrichtigen. Keine Ausreden, kein Zwölfstunden-Warten.

8. Audit und Kontrollrechte

Der Verantwortliche muss das Recht haben, die Sicherheitsmaßnahmen des Auftragsverarbeiters zu überprüfen – durch Audits, Inspektionen oder unabhängige Zertifizierungen (ISO 27001, SOC 2).

9. Datenverwertung und Löschung nach Vertragsende

Nach Vertragsende muss der Auftragsverarbeiter Daten löschen oder zurückgeben. Es darf keine unbemerkte Weiterspeicherung geben.

Unterauftragsverarbeiter: Verwaltung und Probleme

Ein oft übersehenes Risiko: Der Auftragsverarbeiter engagiert selbst wieder Unterauftragsverarbeiter. Z. B. beauftragt dein CRM-Anbieter einen Cloud-Provider, der die Daten speichert. Diese Sub-Processor müssen ebenfalls vertraglich gebunden sein.

• Der primäre Auftragsverarbeiter haftet dir gegenüber für die Unterauftragsverarbeiter
• Du musst ein transparentes Verzeichnis der Unterauftragsverarbeiter erhalten
• Du musst Änderungen (neue oder ersetzte Sub-Processor) mit angemessener Frist erfahren
• Du musst das Recht haben zu widersprechen oder den Vertrag zu beenden, wenn neue Sub-Processor nicht akzeptabel sind

Praxistipp: Viele Auftragsverarbeiter (z.B. SaaS-Anbieter) veröffentlichen aktualisierte Listen ihrer Sub-Processor auf ihrer Website. Überprüfe diese regelmäßig.

Technische und organisatorische Maßnahmen (TOM)

Die Anforderung an "angemessene Sicherheit" ist nicht detailliert in der DSGVO vorgegeben. Sie hängt vom Risiko der Verarbeitung ab. Für Kundendaten sind andere TOM erforderlich als für interne HR-Daten.

Typische TOM-Erwartungen

• Verschlüsselung: Daten in Transit (HTTPS/TLS) und at Rest (AES-256 oder ähnlich)
• Zugriffskontrolle: Role-Based Access Control (RBAC), Multi-Faktor-Authentifizierung
• Datensicherheitsvorfälle: Incident Response Plan, Benachrichtigungsverfahren
• Backups: Redundante Systeme, Disaster Recovery
• Schulung: Regelmäßige Datenschutz- und Sicherheitsschulung des Personals
• Audit Logs: Protokollierung von Datenzugriffen und Änderungen
• Netzwerksicherheit: Firewalls, Intrusion Detection, Penetrationstests

Fordere vom Auftragsverarbeiter ein Sicherheitsaudit oder eine Zertifizierung (ISO 27001, SOC 2). Dies ist nicht paranoid – es ist Datenschutz-Compliance.

Rote Flaggen: Warnzeichen für problematische Auftragsverarbeiter

Manche Auftragsverarbeiter versuchen, ihre Verantwortung zu erleichtern. Achte auf diese roten Flaggen:

• Weigerung, einen AVV abzuschließen: Das ist rechtlich nicht zulässig. Die Zusammenarbeit ist fragwürdig.
• Vage TOM-Beschreibungen: "Wir haben Sicherheit" ohne technische Details.
• Keine Sub-Processor-Liste: Die müssen transparent sein.
• Unbegrenzte Unterstützung bei Betroffenenrechten nicht zugesagt: Dies ist ein Kernrecht.
• Verspätete oder langsame Datenpannenbenachrichtigungen: Kritisch.
• Keine Compliance-Dokumentation verfügbar: ISO 27001, SOC 2, Penetrationstests?
• Automatische Klauselanpassungen ohne Benachrichtigung: Du solltest Änderungen genehmigen.

Kontrollrechte und Audit-Prozesse

Als Verantwortlicher hast du das Recht zu überprüfen, wie dein Auftragsverarbeiter mit deinen Daten umgeht. Dies ist nicht nur ein Recht – es ist eine Pflicht der DSGVO-Compliance.

Praktische Kontrollmechanismen

• Zertifizierungen abfordern: ISO 27001, SOC 2 Type II (nicht Typ I)
• Penetrationstests: Unabhängige Sicherheitsaudits
• On-Site Audits: Regelmäßige Besuche in den Rechenzentren
• Compliance-Fragebogen: Detaillierte Fragen zu Sicherheit und Datenschutz
• Datenzugriff-Logs: Wer hat wann auf Daten zugegriffen?
• Regelmäßige Meetings: Zur Diskussion von Sicherheit und Risiken

Kleine KMU müssen nicht jeden Monat ein Audit durchführen. Aber jährliche Überprüfungen und umfassende Audits alle 2-3 Jahre sind Standard.

Datenverletzungen und Benachrichtigungspflichten

Im Falle einer Datenschutzverletzung spielt der Auftragsverarbeiter eine kritische Rolle. Der Vertrag muss festhalten, wie schnell du benachrichtigt werden.

Kritische Fristen nach einer Datenverletzung

• Auftragsverarbeiter an Verantwortlichen: 24-48 Stunden (idealerweise)
• Verantwortlicher an Betroffene: Ohne unzumutbare Verzögerung (max. 72 Stunden nach Kenntnis)
• Verantwortlicher an Datenschutzbehörde: 72 Stunden nach Kenntnis (wenn hohes Risiko)

Kritischer Punkt: Der Auftragsverarbeiter handelt bei Datenschutzverletzungen nicht selbstständig. Er informiert dich – und du entscheidest, ob die Betroffenen und die Datenschutzbehörde benachrichtigt werden müssen.

Häufige Fehler von KMU bei der AVV-Verwaltung

Fehler 1: Keine AVV abgeschlossen, obwohl notwendig

Das ist der Fehler Nummer eins. Ein Audit deckt dies sofort auf. Die Strafen können erheblich sein (bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes).

Fehler 2: Generische Verträge ohne spezifische AVV-Klauseln

"Wir haben einen Service-Vertrag, der auch den Datenschutz erwähnt" – das reicht nicht. Der Auftragsverarbeitungsvertrag muss explizit Artikel-28-DSGVO-Anforderungen enthalten.

Fehler 3: Keine Dokumentation oder Verzeichnis der AVVs

Du solltest ein zentrales Verzeichnis aller Auftragsverarbeiter pflegen (Wer? Welche Daten? Wo gespeichert?). Ein Audit fragt nach diesem Verzeichnis.

Fehler 4: Keine Kontrollen oder Audits

Die Unterschrift unter einen AVV ist nicht das Ende. Du musst den Auftragsverarbeiter überwachen.

Fehler 5: Unklarheit über Sub-Processor

Du weißt nicht, welche Unterauftragsverarbeiter Daten verarbeiten? Das ist ein riesiges Compliance-Risiko.

Kostenaspekte und Budgetplanung

Was kostet es, AVV-Verträge korrekt zu verwalten?

• Musterverträge oder rechtliche Beratung: 1.000-3.000 EUR (einmalig)
• Überprüfung bestehender Verträge: 500-2.000 EUR pro Vertrag
• Compliance-Management-Software: 50-500 EUR/Monat (für Verzeichnis, Audits, Monitoring)
• Regelmäßige Audits: 1.000-5.000 EUR pro Audit

Das ist eine Investition. Aber Bußgelder wegen fehlender AVVs könnten vielfach höher ausfallen. Achte auf das Kosten-Nutzen-Verhältnis.

Best Practices: So verwaltest du AVVs richtig

Zusammengefasst findest du hier einen praktischen Aktionsplan:

• 1. Audit durchführen: Welche Dienstleister verarbeiten personenbezogene Daten? Erstelle eine vollständige Liste.
• 2. Verträge überprüfen: Hast du AVVs mit allen Auftragsverarbeitern? Wenn nicht, verhandle zeitnah.
• 3. Verzeichnis erstellen: Dokumentiere alle Auftragsverarbeiter, Datentypen und Verarbeitungszwecke.
• 4. Monitoring etablieren: Führe eine jährliche Überprüfung durch (Compliance-Updates, neue Sub-Processor?).
• 5. Sicherheit validieren: Fordere Zertifizierungen oder Audits an.
• 6. Schulung: Stelle sicher, dass Mitarbeiter wissen, wann ein AVV erforderlich ist.

Tools und Ressourcen

Mehrere Ressourcen können helfen:

• DSGVO Muster-Verträge: Viele Datenschutzbehörden stellen Muster bereit
• Compliance-Management-Software: z.B. compliance.io, DataGuidance, OneTrust
• Beratung: Datenschutzbeauftragte oder spezialisierte Anwälte
• Branchenrichtlinien: Viele Verbände (z.B. BVDW für Online-Marketing) haben Leitfäden

Fazit: Auftragsverarbeitung ist nicht optional

Auftragsverarbeitungsverträge sind kein theoretisches Konzept aus dem DSGVO-Textbuch. Sie sind eine praktische Sicherheitsmaßnahme, um sicherzustellen, dass externe Dienstleister deine und die Daten deiner Kunden korrekt handhaben. Ein ordentlich strukturierter AVV-Vertrag mit klaren Klauseln zu Sub-Processor, Sicherheit und Kontrollrechten ist der Grundstein einer verantwortungsvollen Datenverarbeitung. Beginne noch heute: Erstelle ein Verzeichnis deiner Auftragsverarbeiter und überprüfe, welche AVVs noch fehlen.