Der AVV liegt auf dem Tisch, bevor der Projektvertrag es tut
Zwei Wochen vor Kickoff schickt die Datenschutzbeauftragte des Kunden eine PDF. Vierzehn Seiten Auftragsverarbeitungsvertrag, ein unbeschränktes Vor-Ort-Auditrecht, eine Meldefrist von 24 Stunden und eine leere Anlage mit der Überschrift “Technische und organisatorische Maßnahmen”.
Was in den nächsten Tagen passiert, sagt über einen Softwarepartner mehr aus als jede Architekturdiskussion.
Wer den AVV sauber zurückschickt, inklusive Unterauftragsverarbeiterliste und ausgefüllter TOM-Anlage, hat gerade bewiesen, dass er schon einmal ein System in Produktion betrieben hat. Wer vier Wochen braucht und dann nach einer Vorlage fragt, hat das ebenfalls bewiesen. Nur andersherum.
Wir sitzen auf der Auftragsverarbeiter-Seite dieses Tisches. Dieser Beitrag beschreibt ihn von dort aus.
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag, ist der in Artikel 28 DSGVO vorgeschriebene Vertrag zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten in dessen Auftrag verarbeitet. Er legt fest, was der Dienstleister mit den Daten tun darf. Vor allem legt er fest, was er nicht darf.
Schriftform ist Pflicht, das elektronische Format reicht ausdrücklich aus. Und der Vertrag muss stehen, bevor die erste Verarbeitung läuft, nicht danach.
Der Bußgeldrahmen für eine fehlende oder unzureichende Vereinbarung liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Dieselbe Stufe deckt auch Verstöße gegen die Verzeichnispflicht und die Sicherheitspflichten ab.
Nicht jeder Entwicklungspartner ist Auftragsverarbeiter
Hier wird es für Softwareteams interessant. Ein Team, das ausschließlich auf synthetischen Testdaten arbeitet und nie Produktionszugriff bekommt, verarbeitet keine personenbezogenen Daten im Auftrag. Kein AVV nötig.
Sobald jemand eine Produktionsdatenbank öffnet, ein Log mit E-Mail-Adressen liest oder einen Support-Fall am Livesystem debuggt, kippt das. Ab diesem Zugriff ist die Auftragsverarbeitung Realität, und zwar unabhängig davon, ob jemand daran gedacht hat.
Die Einordnung folgt den Tatsachen, nicht dem Vertragstext. Der Europäische Datenschutzausschuss hat das in seinen Leitlinien 07/2020 unmissverständlich formuliert: Wer im Vertrag als Auftragsverarbeiter geführt wird, faktisch aber über Zwecke und wesentliche Mittel entscheidet, ist Verantwortlicher.
Artikel 28 Absatz 10 zieht die Konsequenz daraus. Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung Zwecke und Mittel der Verarbeitung, gilt er für diese Verarbeitung als Verantwortlicher, mit allen Pflichten und aller Haftung.
Das passiert schneller, als man denkt. Ein Analytics-Snippet “zur Produktverbesserung”, das niemand beauftragt hat, reicht völlig.
Der Pflichtinhalt: ein Rahmen und acht Zusagen
Artikel 28 Absatz 3 ist ungewöhnlich konkret für einen Verordnungstext. Er beschreibt zuerst den Rahmen und listet dann acht Einzelpflichten des Auftragsverarbeiters auf:
- Der Rahmen. Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen.
- Weisungsbindung (lit. a). Verarbeitung nur auf dokumentierte Weisung, Drittlandübermittlungen eingeschlossen.
- Vertraulichkeit (lit. b). Jede zur Verarbeitung befugte Person ist zur Vertraulichkeit verpflichtet.
- Sicherheit (lit. c). Die technischen und organisatorischen Maßnahmen nach Artikel 32.
- Unterauftragsverarbeiter (lit. d). Die Bedingungen aus Absatz 2 und 4 werden eingehalten.
- Betroffenenrechte (lit. e). Unterstützung des Verantwortlichen bei Auskunft, Berichtigung, Löschung, Widerspruch.
- Unterstützungspflichten (lit. f). Beistand bei Sicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzung.
- Rückgabe oder Löschung (lit. g). Nach Ende der Leistungserbringung, nach Wahl des Verantwortlichen.
- Nachweis (lit. h). Alle erforderlichen Informationen bereitstellen, Überprüfungen ermöglichen und dazu beitragen.
Seit Juni 2021 gibt es dafür sogar ein amtliches Muster. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 erstmals Standardvertragsklauseln für die Auftragsverarbeitung veröffentlicht. Verpflichtend sind sie nicht, und in der Praxis begegnen sie uns selten, weil größere Kunden auf ihrem Hausmuster bestehen.
Was ein Auftragsverarbeiter tatsächlich liefern muss
Der Vertragstext ist der einfache Teil. Anspruchsvoll wird, was Sie beilegen müssen, damit der Text nicht lügt.
Die TOM-Anlage ist der häufigste Streitpunkt. Ein Kunde hat unsere erste Fassung zurückgewiesen, weil dort “Verschlüsselung nach dem Stand der Technik” stand. Zu Recht: Das ist eine Behauptung, keine Maßnahme.
Die zweite Fassung nannte TLS 1.3 für Transportwege, AES-256 für Daten im Ruhezustand, den Hosting-Standort, das Schlüsselmanagement und die Rollen, die überhaupt Produktionszugriff haben. Freigabe in zwei Tagen.
Dazu kommt eine Unterauftragsverarbeiterliste mit Name, Zweck, Verarbeitungsregion und Rechtsgrundlage für jeden Drittlandtransfer. Versioniert, nicht als Fließtext auf einer Unterseite, die niemand pflegt.
Die Meldekette wird oft missverstanden. Die berühmten 72 Stunden sind die Frist des Verantwortlichen gegenüber der Aufsichtsbehörde. Der Auftragsverarbeiter schuldet die Meldung “unverzüglich” an den Verantwortlichen, und genau deshalb stehen in Kundenmustern 24 Stunden. Wer diese Frist zusagt, braucht eine Rufbereitschaft, die sie hält.
Das Löschkonzept ist der Punkt, an dem Architektur und Vertrag aufeinandertreffen. “Rückgabe oder Löschung nach Vertragsende” klingt harmlos, bis jemand fragt, was mit den Backups passiert, mit den Read-Replicas, mit dem Suchindex und mit den Logs.
Wer Löschbarkeit nicht von Anfang an einplant, kann diese Zusage nicht halten. Wie das im Entwurf aussieht, haben wir in DSGVO-konforme Softwarearchitektur von Anfang an beschrieben.
Und schließlich die Unterstützung bei der Datenschutz-Folgenabschätzung. Der Verantwortliche führt sie durch, aber die Angaben zu Datenflüssen, Speicherorten und Sicherheitsmaßnahmen kommen von Ihnen. Unser Leitfaden zur DSFA zeigt, welche Zuarbeit dabei erwartet wird.
Die Unterauftragsverarbeiter-Kette ist Ihr Problem
Kaum ein Softwareteam arbeitet allein. Hosting, Objektspeicher, Error-Tracking, Transaktionsmails, Monitoring. Jeder dieser Dienste ist ein Unterauftragsverarbeiter, sobald personenbezogene Daten durchlaufen.
Der Klassiker: ein Error-Tracking-Dienst, der Stacktraces samt Request-Payload speichert. In diesem Payload stehen E-Mail-Adressen. Auf der Unterauftragsverarbeiterliste stand der Dienst trotzdem nie, weil ihn niemand als datenverarbeitend wahrgenommen hat.
Artikel 28 Absatz 4 ist an dieser Stelle unbequem: Sie müssen Ihrem Unterauftragsverarbeiter dieselben Pflichten auferlegen, und Sie haften gegenüber dem Verantwortlichen weiterhin voll, wenn er sie nicht erfüllt.
Dazu kommt die Landkarte. Sitzt ein Unterauftragsverarbeiter außerhalb der EU, brauchen Sie eine Grundlage für den Transfer: entweder einen Angemessenheitsbeschluss für das Zielland oder Standardvertragsklauseln samt einer dokumentierten Prüfung der Rechtslage dort.
Diese Prüfung ist Ihre Aufgabe, nicht die des Kunden. Er wird aber danach fragen, und zwar spätestens dann, wenn seine eigene Aufsichtsbehörde bei ihm nachfragt.
Der Europäische Datenschutzausschuss hat im Oktober 2024 mit der Stellungnahme 22/2024 nachgelegt. Verantwortliche müssen die Identität sämtlicher Auftrags- und Unterauftragsverarbeiter in der Kette jederzeit verfügbar haben, unabhängig vom Risiko der Verarbeitung. Auf Deutsch: Ihre Liste muss stimmen, und zwar durchgehend.
Was passiert, wenn sie das nicht tut, hat die polnische Aufsichtsbehörde im Juli 2025 vorgeführt. Sie verhängte gegen McDonald’s Polska als Verantwortlichen rund 16,93 Millionen Zloty, etwa 4 Millionen Euro, und zusätzlich 183.858 Zloty gegen den eingesetzten Auftragsverarbeiter, rund 44.000 Euro, unter anderem weil dieser einen weiteren Dienstleister einsetzte, ohne mit ihm einen Vertrag über die Unterauftragsverarbeitung geschlossen zu haben.
Merken Sie sich die zweite Zahl. Der Auftragsverarbeiter wurde eigenständig belangt, nicht nur der Kunde. Wie Sie Ihre eigenen Lieferanten systematisch prüfen, steht in Drittanbieter-Risiko: Software-Lieferanten auf EU-Compliance prüfen.
Das Verfahrensverzeichnis nach Art. 30 DSGVO: Aufbau und Pflege
Das Verzeichnis von Verarbeitungstätigkeiten, oft Verfahrensverzeichnis genannt, ist der stille Zwilling des AVV. Der AVV regelt eine Kundenbeziehung. Das Verzeichnis ist Ihre Gesamtsicht über alle Kunden hinweg.
Als Auftragsverarbeiter führen Sie ein eigenes, und es ist kürzer als das des Verantwortlichen:
| Verantwortlicher (Absatz 1) | Auftragsverarbeiter (Absatz 2) | |
|---|---|---|
| Kontaktdaten | Eigene, ggf. Vertreter und Datenschutzbeauftragter | Eigene plus jeder Verantwortliche, für den Sie tätig sind |
| Kern des Eintrags | Zwecke der Verarbeitung | Kategorien der im Auftrag durchgeführten Verarbeitungen |
| Betroffene und Datenarten | Pflicht | Nicht gefordert |
| Empfängerkategorien | Pflicht | Nicht gefordert |
| Drittlandübermittlungen | Pflicht, samt Garantien | Pflicht, samt Garantien |
| Löschfristen | Wenn möglich | Nicht gefordert |
| Beschreibung der TOMs | Wenn möglich | Wenn möglich |
Die Ausnahme in Absatz 5 für Organisationen unter 250 Beschäftigten hilft praktisch niemandem. Sie entfällt, sobald die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Ein Dienstleister, der laufend Kundensysteme betreut, erfüllt das zweite Kriterium an jedem Werktag.
Und die Erleichterung, auf die viele warten? Die EU-Kommission hat im Mai 2025 vorgeschlagen, die Schwelle auf 750 Beschäftigte anzuheben und die Verzeichnispflicht darunter nur noch dann greifen zu lassen, wenn die Verarbeitung ein hohes Risiko birgt. Parlament und Rat haben sich im Juni 2026 vorläufig auf eine höhere Schwelle geeinigt; berichtet wird von unter 1.000 Beschäftigten. Der verhandelte Wortlaut zu Artikel 30 liegt öffentlich noch nicht vor.
Beschlossen ist im September 2026 nichts davon. Bis zur Verabschiedung gilt der alte Text.
Wie Verzeichnis und AVV zusammenhängen
Beide Dokumente beschreiben dieselben Fakten. Welche Datenarten, welche Kategorien betroffener Personen, welche Unterauftragsverarbeiter, welche Regionen, welche Sicherheitsmaßnahmen.
Wenn Sie beide getrennt pflegen, driften sie. Garantiert. Der AVV mit Kunde A nennt einen Unterauftragsverarbeiter, den Sie vor sechs Monaten ersetzt haben, und das Verzeichnis kennt den neuen.
Dafür braucht es eine Quelle: eine Tabelle pro Kunde mit Datenarten, Zwecken, Systemen, Unterauftragsverarbeitern und Regionen. Der Verzeichniseintrag und die AVV-Anlagen werden daraus erzeugt, nicht nebeneinander getippt.
Die Pflege hängt an Auslösern, nicht am Kalender. Neuer Kunde, neuer Unterauftragsverarbeiter, neue Datenart, neue Region, geänderte Löschfristen. Jedes dieser Ereignisse aktualisiert das Verzeichnis am selben Tag.
Einmal jährlich lohnt sich zusätzlich ein vollständiger Durchgang, weil sich Systeme lautlos ändern. Ein Eintrag besteht dabei aus wenigen Zeilen: Auftraggeber, Verarbeitungskategorie wie “Betrieb und Wartung der Bestellplattform”, Systeme, Unterauftragsverarbeiter mit Region, Verweis auf die geltende TOM-Fassung.
Wer im Audit eine Excel-Datei mit vierzig Spalten aufmacht, hat das Verzeichnis als Selbstzweck gebaut. Die Aufsichtsbehörde will nachvollziehen können, was Sie tun, nicht Ihre Formatierung bewundern.
Wo AVVs in der Praxis reißen
97 Prozent der deutschen Unternehmen berichten laut Bitkom von hohem Aufwand für den Datenschutz, 44 Prozent sogar von sehr hohem. Besonders hart trifft es die Kleinen: Bei Unternehmen mit 20 bis 99 Beschäftigten liegt der Anteil “sehr hoch” bei 45 Prozent, bei Unternehmen ab 500 Beschäftigten bei 38.
Der Aufwand entsteht selten beim Vertragstext. Er entsteht bei den Belegen dahinter.
Die Muster, die wir immer wieder sehen:
- Die TOM-Anlage ist Marketing. “Modernste Sicherheitsstandards” ist kein prüfbarer Satz. Nennen Sie Verfahren, Schlüssellängen, Standorte und Zugriffsrollen.
- Die Unterauftragsverarbeiterliste ist ein Screenshot von 2024. Ohne Versionierung und ohne Benachrichtigungsprozess verletzen Sie Absatz 2, sobald Sie einen Dienst tauschen.
- Weisungen laufen über Direktnachrichten. “Kannst du mir mal schnell den Datensatz von Kunde X ziehen?” ist keine dokumentierte Weisung. Definieren Sie einen Kanal und ein Protokoll.
- Das Auditrecht ist unbegrenzt zugesagt. Ein jederzeitiges Vor-Ort-Audit ohne Ankündigung ist für ein kleines Team nicht leistbar. Handeln Sie eine Ankündigungsfrist und die Anerkennung vorhandener Prüfberichte aus, statt zu unterschreiben und zu hoffen.
- Niemand hat die Löschung je getestet. Ein Löschkonzept, das nie gegen eine echte Datenbank gelaufen ist, ist eine Vermutung.
Nichts davon ist juristisch schwierig. Es ist Betriebsdisziplin, die als Jurathema getarnt daherkommt.
Der AVV ist kein Formular, sondern eine Referenz
Ein Kunde, der den AVV prüft, stellt im Grunde eine einzige Frage: Weiß dieser Dienstleister, wo unsere Daten liegen, wer sie anfasst und wie er sie wieder loswird?
Ein vollständiges Paket beantwortet das an einem Nachmittag. Ein unvollständiges verwandelt die Frage in ein sechswöchiges Ping-Pong zwischen zwei Rechtsabteilungen, und das noch bevor eine Zeile Code geschrieben ist.
Deshalb behandeln wir AVV, TOM-Anlage und Verzeichnis wie Infrastruktur. Sie werden gepflegt, versioniert und getestet, genau wie der Rest des Systems.
Sie brauchen einen Softwarepartner, der den AVV nicht erst beim Kickoff zum ersten Mal liest? Sprechen Sie mit uns. Wir bringen TOM-Anlage, Unterauftragsverarbeiterliste und Verzeichniseintrag mit.
