Auftragsverarbeitungsvertrag prüfen: 10 Klauseln, die KMU nicht übersehen dürfen

Stand: Oktober 2026. Die Aufsichtsbehörden prüfen AVVs zunehmend auf die zehn zwingenden Mindestinhalte des Art. 28 Abs. 3 DSGVO. Ein formeller Mangel reicht für ein Bußgeld, selbst wenn die Datenverarbeitung sicher erfolgt.

Was ist ein Auftragsverarbeitungsvertrag und wann brauche ich ihn?

Ein Auftragsverarbeitungsvertrag (AVV) regelt die weisungsgebundene Verarbeitung personenbezogener Daten durch einen Dienstleister – rechtliche Basis ist Art. 28 DSGVO. Er wird immer dann Pflicht, sobald ein externer Anbieter Daten nicht eigenverantwortlich, sondern allein nach Ihren Anweisungen verarbeitet. Typische Fälle: Cloud-Hosting, Newsletter-Versand, Lohnbuchhaltung oder Telefondienste. Fehlt der AVV, liegt eine unzulässige Datenweitergabe vor; der Verantwortliche haftet dennoch vollumfänglich.

Der Vertrag muss schriftlich oder in elektronischer Form geschlossen werden. Art. 28 Abs. 3 DSGVO schreibt zehn Mindestinhalte vor – vom Gegenstand und der Dauer der Verarbeitung über die Rechte und Pflichten des Verantwortlichen bis hin zu technischen und organisatorischen Maßnahmen (TOM). Ein Standard-Muster deckt oft die Formalien ab, reicht für branchenspezifische Risiken aber selten aus. Prüfen Sie daher jede Klausel darauf, ob sie Ihre tatsächlichen Weisungsbefugnisse und Kontrollrechte abbildet.

Welche 10 Mindestinhalte schreibt Art. 28 Abs. 3 DSGVO zwingend vor?

Art. 28 Abs. 3 DSGVO benennt exakt zehn Punkte, die jeder Auftragsverarbeitungsvertrag enthalten muss. Fehlt auch nur einer, ist der AVV formell mangelhaft – unabhängig davon, wie sorgfältig der Dienstleister tatsächlich arbeitet. Die Liste deckt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Kategorien personenbezogener Daten sowie die Betroffenenkreise ab. Hinzu kommen die Pflichten und Rechte des Verantwortlichen, die Weisungsbindung des Auftragsverarbeiters, Vertraulichkeitsverpflichtungen für dessen Personal, technische und organisatorische Maßnahmen (TOM), die Regelung zu Sub-Auftragsverarbeitern sowie Lösch- und Rückgabepflichten nach Vertragsende. Schließlich sichert das Audit-Recht dem Verantwortlichen die Kontrolle zu. Ein systematischer Abgleich vor der Unterschrift ist daher Pflicht. Die Checkliste des Datenschutz-Guru fasst alle Punkte praxisnah zusammen und eignet sich als Arbeitsgrundlage. Ergänzend liefert der Beitrag von ING-ISM eine detaillierte Einordnung der rechtlichen Anforderungen. Wer die zehn Punkte nicht einzeln prüft, riskiert Bußgelder und Haftungslücken, die sich nachträglich kaum schließen lassen.

Wie prüfe ich das Weisungsrecht und vermeide eine verdeckte Verantwortlichkeit?

Das Weisungsrecht bildet den Angelpunkt jeder Auftragsverarbeitung. Erlaubt der Vertrag dem Dienstleister eine eigenmächtige Datennutzung – etwa für Produktverbesserung, Werbezwecke oder das Training von KI-Modellen – wechselt die Rolle: Der Verarbeiter wird zum Mitverantwortlichen im Sinne von Art. 26 DSGVO. Ein AVV ist dann der falsche Vertragstyp.

Prüfen Sie exakt, ob der Auftragsverarbeiter ausschließlich auf dokumentierte Weisung handelt. Formulierungen wie „Weiterentwicklung der Dienste“ oder „Optimierung der Plattform“ sind kritisch zu hinterfragen. Sie öffnen häufig Hintertüren für eine Zweckentfremdung der Daten. Der Verantwortliche muss jederzeit nachweisen können, dass Weisungen erteilt, protokolliert und befolgt wurden.

Eine Orientierung bietet der Leitfaden des externen Datenschutzbeauftragten Hamburg zur Vertragsprüfung. Ergänzend zeigt der Beitrag von Casus zum KI-Einsatz im AVV, wie Klauseln zu maschinellem Lernen rechtssicher zu fassen sind. Fehlt die klare Weisungsbindung, drohen Bußgelder und Schadensersatzansprüche – der Vertrag schützt dann nicht mehr, sondern belastet.

Ein konkretes Beispiel: Ein Marketing-Tool nutzt Kundendaten zur Verbesserung eigener Algorithmen. Damit handelt der Anbieter eigenverantwortlich. Ein klassischer AVV passt dann nicht mehr; die Parteien benötigen eine Vereinbarung über gemeinsame Verantwortlichkeit nach Art. 26 DSGVO.

Legen Sie schriftliche Weisungen für jede Verarbeitungstätigkeit an. Protokollieren Sie Änderungen. So erfüllen Sie die Nachweispflicht und verhindern, dass der Dienstleister Daten für eigene Zwecke einsetzt.

Wie konkret muss die TOM-Anlage (Technisch-organisatorische Maßnahmen) sein?

Generische Verweise auf „angemessene Maßnahmen“ genügen Art. 32 DSGVO nicht. Die Anlage muss konkrete Kontrollen benennen: Verschlüsselung im Transport und im Ruhezustand, Backup-Konzepte mit definierten RPO/RTO, rollenbasierte Zugriffskontrolle, logische Trennungskontrolle zwischen Mandanten, automatisierten Viren-Scan sowie getestete Notfallwiederherstellung. Fehlt diese Granularität, lässt sich die Angemessenheit im Prüfungsfall nicht nachweisen.

Ein praxisnahes Beispiel liefert der AVV von SmartRecruiters, der Maßnahmen pro Verarbeitungskategorie tabellarisch auflöst. Prüfen Sie, ob die gelisteten Controls zum Risiko Ihrer Daten passen – ein reines Sicherheitskonzept ersetzt die konkrete Beschreibung nicht. Ergänzen Sie fehlende Punkte per Nachtrag, bevor Sie den Vertrag unterzeichnen.

Welche Meldepflichten bei Datenschutzverletzungen gehören in den AVV?

Art. 33 und 34 DSGVO verpflichten den Auftragsverarbeiter, den Verantwortlichen unverzüglich über jede Verletzung des Schutzes personenbezogener Daten zu informieren. Der AVV muss diese Pflicht konkretisieren: Fristen (praxisüblich 24 bis 72 Stunden nach Bekanntwerden), Meldeweg (z. B. E-Mail an definierte Ansprechpartner), Mindestinhalt der Meldung (Art, Umfang, betroffene Kategorien, voraussichtliche Folgen) sowie die Unterstützung bei der behördlichen Meldung und der Benachrichtigung Betroffener. Fehlt diese vertragliche Verankerung, entsteht eine Haftungslücke, die im Schadensfall teuer wird.

Das RWTH-Muster formuliert eine 72-Stunden-Frist und listet die erforderlichen Meldedaten auf. Die Propstack-Klausel ergänzt eine Eskalationsstufe für schwere Vorfälle und regelt die Kostenübernahme für Benachrichtigungsmaßnahmen. Beide Beispiele zeigen: Je präziser der Vertrag Meldeweg, Frist und Mitwirkungspflichten beschreibt, desto geringer das Risiko, dass Fristen versäumt oder Bußgelder ausgelöst werden.

Wie regle ich Löschung und Rückgabe der Daten nach Vertragsende rechtssicher?

Art. 28 Abs. 3 lit. g DSGVO verpflichtet den Auftragsverarbeiter, alle personenbezogenen Daten nach Weisung des Verantwortlichen zu löschen oder zurückzugeben – das gilt ausdrücklich auch für Backups und Protokolldateien. Die Rückgabe muss in einem strukturierten, gängigen und maschinenlesbaren Format erfolgen, damit der Verantwortliche die Daten weiterverwenden kann. Das RWTH-Muster und der AVV von Propstack nennen konkrete Fristen, häufig 30 Tage nach Vertragsende, und fordern einen schriftlichen Nachweis der Löschung oder Rückgabe. Ohne diese Dokumentation bleibt die Einhaltung im Streitfall unbeweisbar. Prüfen Sie daher, ob der Vertrag eine klare Wahlmöglichkeit für den Verantwortlichen vorsieht, Backups explizit einbezieht und einen Nachweismechanismus – etwa Löschprotokoll oder Übergabeprotokoll – verbindlich regelt. Fehlen diese Details, droht ein formeller Mangel, den Aufsichtsbehörden bei Prüfungen beanstanden.

Welche Haftungs- und Schadensersatzklauseln sind für KMU kritisch?

Standard-AVVs großer Anbieter begrenzen die Haftung häufig einseitig: Deckelungen auf den Auftragswert oder der Ausschluss von Folgeschäden verschieben das Risiko auf den Verantwortlichen. KMU müssen darauf achten, dass der Verarbeiter für eigenes Verschulden und für Fehler nachgeordneter Sub-Auftragsverarbeiter gerade steht. Eine klare Haftungsverteilung mit freistellender Wirkung für den Verantwortlichen schafft Rechtssicherheit.

Der Kertos-Check empfiehlt, Klauseln auf gegenseitige Haftungsfreistellung zu prüfen – nicht nur auf Einweg-Straßen zugunsten des Dienstleisters. Das RWTH-Muster zeigt, wie eine ausgewogene Regelung formuliert sein kann: Der Verarbeiter haftet uneingeschränkt für Vorsatz und grobe Fahrlässigkeit, bei leichter Fahrlässigkeit für Kardinalpflichten. So bleibt der Verantwortliche nicht auf Bußgeldern oder Schadensersatzansprüchen Dritter sitzen, die der Prozessor verursacht hat.

Ein Beispiel aus der Praxis: Ein Cloud-Anbieter deckelt seine Haftung auf die Höhe der jährlichen Gebühren. Ein Datenleck verursacht jedoch weit höhere Folgekosten. Der Verantwortliche bleibt auf dem Rest sitzen.

Fordern Sie eine Klausel, die den Verarbeiter auch für Verstöße seiner Sub-Auftragsverarbeiter freistellt. Die Haftung sollte für Vorsatz, grobe Fahrlässigkeit und Kardinalpflichten unbeschränkt bleiben.

Was ändert sich beim AVV für KI-Dienste und Cloud-Anbieter?

KI-Dienste werfen neue Fragen auf. Der Vertrag muss die Nutzung von Trainingsdaten, die Weitergabe von Modellen und die Protokollierung von Prompts regeln. Nutzt der Anbieter Kundendaten selbst zur Verbesserung eigener Modelle, handelt er eigenverantwortlich. Ein klassischer AVV greift dann nicht mehr.

Große Cloud-Anbieter wie AWS, Azure und Google Cloud liefern meist einseitige Standardverträge. Audit-Rechte beschränken sich auf Zertifikate oder Selbstauskünfte. Technisch-organisatorische Maßnahmen bleiben generisch und austauschbar. KMU können diese Klauseln kaum verhandeln.

Spezialisierte Anbieter liefern brauchbare Muster. Plotdesk stellt ein Muster für KI-AVVs bereit, Maisch.law zeigt, wie man einen AV-Vertrag für KI erstellt.

Achten Sie auf Sub-Prozessoren in Drittstaaten. Sitzen Server oder Entwickler außerhalb der EU, müssen Standardvertragsklauseln greifen. Fehlt diese Absicherung, verletzt der Auftragsverarbeiter die DSGVO.

Auch das Weisungsrecht muss bei KI-Diensten strikt eingehalten werden. Der Anbieter darf Prompts oder Kundendaten nicht ohne Weisung zum Training eigener Modelle nutzen.

Ein Beispiel: Ein KI-Anbieter nutzt Support-Tickets zum Training seines Chatbots. Damit wird er zum Verantwortlichen. Ein klassischer AVV greift dann nicht mehr.

Was tun, wenn der Dienstleister keinen AVV anbietet oder Änderungen ablehnt?

Ohne geschlossenem Auftragsverarbeitungsvertrag darf keine personenbezogene Datenweitergabe stattfinden. Weigert sich der Anbieter, bleibt nur der Wechsel zu einem kooperationsbereiten Dienstleister oder der Umstieg auf ein alternatives Tool, das einen konformen AVV vorhält.

Verweigert der Partner einzelne zwingende Klauseln – etwa Audit-Rechte, Haftungsregelungen oder konkrete TOM-Vorgaben –, dokumentieren Sie den Verhandlungsverlauf lückenlos. Bewerten Sie das verbleibende Restrisiko sachlich: Welche Schutzziele fallen weg, wie hoch ist die Eintrittswahrscheinlichkeit eines Schadens, welche Kompensationsmaßnahmen lassen sich ergreifen?

Server.camp und eRecht24 raten einheitlich: Lieber auf einzelne Funktionen verzichten, als ein Bußgeldrisiko in Kauf zu nehmen. Die DSGVO kennt keine „wirtschaftliche Unzumutbarkeit“ als Ausnahmetatbestand für fehlende AVV.

Ein externer Datenschutzbeauftragter kann die Verhandlung professionell begleiten, Argumente rechtssicher formulieren und die Risikobewertung für die Geschäftsführung aufbereiten. Das stärkt die Verhandlungsposition und schafft Nachweispflichten für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.