Compliance-Glossar/
AVV (Auftragsverarbeitungsvertrag)
Datenschutz
datenschutz

AVV (Auftragsverarbeitungsvertrag)

englisch: DPA, Data Processing Agreement

Vertrag nach Art. 28 Abs. 3 DSGVO zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten weisungsgebunden für ihn verarbeitet. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest und verpflichtet den Auftragsverarbeiter unter anderem zu Vertraulichkeit und zu technischen und organisatorischen Maßnahmen.

Zuletzt geprüft
September 10, 2026
Lesedauer
Kurzdefinition
Vertrag nach Art. 28 Abs. 3 DSGVO zwischen einem Verantwortlichen und einem Dienstleister, der personenbezogene Daten weisungsgebunden für ihn verarbeitet. Er legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest und verpflichtet den Auftragsverarbeiter unter anderem zu Vertraulichkeit und zu technischen und organisatorischen Maßnahmen.

Wann ein AVV erforderlich ist

Sobald ein Dienstleister personenbezogene Daten weisungsgebunden für einen fremden Zweck verarbeitet. Legen beide Seiten Zwecke oder Mittel gemeinsam fest, greift stattdessen Art. 26 DSGVO. Verfolgt der Dienstleister eigene Zwecke, ist er eigener Verantwortlicher. Anwaltskanzleien, Steuerberater und Banken fallen deshalb nicht unter Art. 28, Cloud- und SaaS-Anbieter in der Regel schon.

Pflichtinhalte nach Art. 28 Abs. 3

Der Vertrag nennt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen. Dazu kommen acht Pflichten des Auftragsverarbeiters:

  • Verarbeitung nur auf dokumentierte Weisung (lit. a)
  • Vertraulichkeit der eingesetzten Personen (lit. b)
  • Maßnahmen nach Art. 32 DSGVO (lit. c)
  • Unterauftragsverarbeiter nur mit Genehmigung (lit. d)
  • Unterstützung bei Betroffenenrechten (lit. e)
  • Unterstützung bei Art. 32 bis 36 DSGVO (lit. f)
  • Löschung oder Rückgabe nach Vertragsende (lit. g)
  • Nachweis und Prüfrechte (lit. h)

Abgrenzung

Ein AVV ersetzt keine Transfergrundlage: bei Auftragsverarbeitern im Drittland ist zusätzlich Art. 44 bis 49 DSGVO erforderlich. Der Standard-AVV der Kommission (Durchführungsbeschluss 2021/915) ist nicht identisch mit den Standardvertragsklauseln (2021/914). Verarbeitet der Dienstleister Daten für eigene Zwecke, wird er nach Art. 28 Abs. 10 DSGVO selbst Verantwortlicher.

Häufige Fragen

Brauchen Steuerberater oder Anwaltskanzleien einen AVV?

Nein. Sie sind eigene Verantwortliche, weil sie an eigene Berufs- und Rechtspflichten gebunden sind.

Reicht eine elektronische Unterschrift?

Ja. Art. 28 Abs. 9 DSGVO verlangt Schriftform ausdrücklich einschließlich der elektronischen Form.

Ersetzt der AVV die Standardvertragsklauseln?

Nein. Bei Drittlandbezug ist zusätzlich eine Transfergrundlage nach Art. 44 bis 49 DSGVO nötig.

SECJUR-Bezug
Im Digital Compliance Office werden Auftragsverarbeiter im Verzeichnis von Verarbeitungstätigkeiten geführt, sodass Vertrag und zugehörige Verarbeitung an derselben Stelle nachweisbar sind.
Verwandte Begriffe