Ein neuer Cloud-Dienst ist schnell eingerichtet, die Zusammenarbeit mit dem IT-Dienstleister längst etabliert. Doch wer braucht einen Auftragsverarbeitungsvertrag? Entscheidend ist nicht, ob Daten das eigene Haus verlassen, sondern wer über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet. Genau an dieser Stelle entstehen in vielen Unternehmen vermeidbare Datenschutzrisiken.
Ein Auftragsverarbeitungsvertrag, meist AV-Vertrag oder AVV genannt, regelt die Verarbeitung personenbezogener Daten durch einen Dienstleister im Auftrag eines Unternehmens. Die Grundlage ist Art. 28 DSGVO. Für kleine und mittlere Unternehmen ist er kein Formalismus für die Ablage, sondern ein Nachweis dafür, dass externe IT- und Prozessleistungen datenschutzgerecht organisiert sind.
Wer braucht einen Auftragsverarbeitungsvertrag nach DSGVO?
Einen AV-Vertrag braucht ein Unternehmen, wenn es als Verantwortlicher einen externen Dienstleister einsetzt, der personenbezogene Daten ausschließlich nach seinen Weisungen verarbeitet. Verantwortlicher ist in der Regel das Unternehmen, die Kanzlei oder die Praxis, die entscheidet, warum Daten verarbeitet werden und was mit ihnen geschieht. Der Dienstleister ist Auftragsverarbeiter, wenn er diese Daten nicht für eigene Zwecke nutzt, sondern die beauftragte Leistung erbringt.
Typische Fälle finden sich gerade im Mittelstand häufig: Ein Managed-Service-Partner administriert Systeme und kann dabei auf Benutzer-, Kunden- oder Mitarbeiterdaten zugreifen. Ein Cloud-Anbieter hostet E-Mails, Dateien oder Fachanwendungen. Ein Dienstleister betreibt eine digitale Zeiterfassung, übernimmt die Lohnabrechnung oder archiviert Belege in einem Dokumentenmanagementsystem. Auch externe Support- und Wartungsleistungen können eine Auftragsverarbeitung darstellen, wenn ein Zugriff auf personenbezogene Daten möglich ist.
Wichtig: Es kommt nicht darauf an, ob ein Dienstleister täglich mit Daten arbeitet. Bereits die vertraglich oder technisch mögliche Einsichtnahme kann relevant sein. Wer etwa Fernwartung für Server, Microsoft-365-Umgebungen oder Praxissoftware leistet, sollte die Rollen und Zugriffsrechte sauber bewerten.
Der entscheidende Unterschied: Auftragsverarbeiter oder eigener Verantwortlicher?
Nicht jede Zusammenarbeit mit einem externen Unternehmen erfordert einen AV-Vertrag. Der häufigste Fehler besteht darin, jeden Empfänger personenbezogener Daten pauschal zum Auftragsverarbeiter zu erklären. Maßgeblich ist die tatsächliche Rolle.
Ein Auftragsverarbeiter handelt weisungsgebunden. Er verarbeitet Daten, weil der Auftraggeber ihm eine klar umrissene Aufgabe überträgt. Der Auftraggeber legt die Zwecke fest, etwa die Bereitstellung einer E-Mail-Umgebung, das Hosting eines DMS oder die technische Administration eines Servers.
Ein eigenständiger Verantwortlicher entscheidet hingegen selbst über wesentliche Zwecke und Mittel der Verarbeitung. Das kann beispielsweise bei Banken, Versicherungen, Steuerberatern, Rechtsanwälten oder Telekommunikationsunternehmen der Fall sein. Diese Stellen sind an eigene gesetzliche und berufliche Pflichten gebunden. Sie verarbeiten die erhaltenen Daten nicht bloß nach Weisung ihres Kunden.
Beispiele aus der betrieblichen Praxis
Ein IT-Systemhaus übernimmt die laufende Betreuung der Server, sichert Daten, verwaltet Benutzerkonten und leistet Support per Fernzugriff. Es verarbeitet Daten im Auftrag – ein AV-Vertrag ist regelmäßig erforderlich.
Ein Unternehmen beauftragt eine Steuerkanzlei mit der Erstellung des Jahresabschlusses. Die Kanzlei erfüllt eigene gesetzliche Aufgaben und entscheidet innerhalb ihres Berufsrechts eigenständig über die Verarbeitung. Hier liegt in der Regel keine Auftragsverarbeitung vor.
Eine Arztpraxis nutzt einen Anbieter für digitale Terminbuchungen. Verarbeitet der Anbieter Patientendaten ausschließlich für den Betrieb des Buchungssystems nach Weisung der Praxis, spricht das für eine Auftragsverarbeitung. Nutzt der Anbieter Daten hingegen für eigene Analysen oder eigene Kommunikationszwecke, muss die Einordnung genauer geprüft werden.
Die Bezeichnung eines Vertrags entscheidet nicht allein. Auch ein Dokument mit der Überschrift „AV-Vertrag“ hilft nicht weiter, wenn der Dienstleister in Wahrheit eigenständig verantwortlich handelt. Umgekehrt bleibt ein Dienstleister Auftragsverarbeiter, selbst wenn der Hauptvertrag ihn anders bezeichnet.
Diese Leistungen lösen häufig eine AV-Vertragspflicht aus
Besonders prüfungsrelevant sind ausgelagerte IT- und Digitalprozesse. Dazu gehören Hosting und Cloud-Speicher, E-Mail-Betrieb, Managed IT Services, Datensicherung, Fernwartung, Ticketsysteme sowie die technische Betreuung von Fachanwendungen. Gleiches gilt häufig für digitale Personalprozesse wie Zeiterfassung, Lohnabrechnung oder Bewerbermanagement.
Auch Dokumentenmanagement verdient besondere Aufmerksamkeit. In digitalen Archiven liegen oft Rechnungen, Personalunterlagen, Verträge, E-Mails oder Mandantenakten. Werden Systeme wie ELO oder DATEV-nahe Lösungen durch einen externen Partner betrieben, administriert oder technisch unterstützt, sollten Unternehmen klären, welche Datenzugriffe möglich sind und welche Partei welche Rolle übernimmt.
Bei Social-Media-Betreuung und Website-Dienstleistungen hängt die Antwort vom konkreten Auftrag ab. Erstellt eine Agentur nur Inhalte, ohne Zugriff auf personenbezogene Daten, ist ein AV-Vertrag nicht automatisch nötig. Verwaltet sie jedoch Kontaktformulare, Tracking-Daten, Newsletter-Verteiler oder Werbekonten mit Zielgruppeninformationen, liegt eine Auftragsverarbeitung oft nahe.
Was ein wirksamer AV-Vertrag regeln muss
Ein AV-Vertrag ist keine frei formulierte Absichtserklärung. Art. 28 DSGVO verlangt konkrete Mindestinhalte. Dazu zählen Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten sowie die Rechte und Pflichten des Verantwortlichen.
Praktisch besonders relevant sind die Weisungsrechte des Auftraggebers, die Vertraulichkeit der beim Dienstleister eingesetzten Personen und die technischen und organisatorischen Maßnahmen. Diese Maßnahmen sollten nicht nur allgemein mit „angemessenem Datenschutz“ beschrieben werden. Sie müssen nachvollziehbar machen, wie Zugriffe geschützt, Daten gesichert, Berechtigungen verwaltet und Sicherheitsvorfälle behandelt werden.
Der Vertrag muss außerdem festlegen, ob und unter welchen Voraussetzungen Subunternehmer eingesetzt werden dürfen. Das ist bei Cloud-Leistungen besonders wichtig, weil Anbieter häufig Rechenzentren, Supportgesellschaften oder weitere spezialisierte Dienstleister einbinden. Der Auftraggeber braucht Transparenz und ein geregeltes Widerspruchsrecht beziehungsweise eine Genehmigung für Unterauftragsverarbeiter.
Ebenso gehören Unterstützung bei Betroffenenanfragen, Meldungen von Datenschutzverletzungen, Regelungen zur Löschung oder Rückgabe der Daten nach Vertragsende sowie Kontrollrechte in den Vertrag. Eine Kontrolle bedeutet nicht zwingend, dass jedes Unternehmen ein Rechenzentrum besichtigen muss. Je nach Risiko können aktuelle Zertifikate, Prüfberichte, Dokumentationen und strukturierte Datenschutzgespräche die angemessene Form der Kontrolle sein.
Warum Standardvorlagen allein nicht genügen
Viele Softwareanbieter stellen vorformulierte AV-Verträge bereit. Das ist sinnvoll, ersetzt aber keine Prüfung. Unternehmen sollten kontrollieren, ob die konkrete Leistung, die eingesetzten Unterauftragnehmer und die technischen Maßnahmen zur eigenen Nutzung passen. Ein Vertrag für ein reines Hosting-Angebot kann unzureichend sein, wenn zusätzlich Administrationszugriffe, Support oder Datentransfers in Drittländer stattfinden.
Besondere Sorgfalt ist erforderlich, wenn Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden können. Dann reichen AV-Vertrag und Datenschutzinformation allein nicht aus. Es müssen zusätzlich die Vorgaben für internationale Datenübermittlungen bewertet werden. Gerade bei globalen Cloud-Plattformen sollte diese Prüfung dokumentiert erfolgen.
Auch die Praxis muss zum Vertrag passen. Wenn im AV-Vertrag ein eingeschränkter Zugriff beschrieben wird, aber Dienstleister dauerhaft mit gemeinsamen Administratorkonten arbeiten, entsteht ein Widerspruch. Datenschutz ist dann nicht durch die Unterschrift erledigt, sondern eine Frage von Rollen, Berechtigungen, Protokollierung und geregelten Supportwegen.
So gehen Unternehmen strukturiert vor
Der beste Ausgangspunkt ist ein Überblick über alle externen Dienstleister, die personenbezogene Daten verarbeiten oder darauf zugreifen könnten. Dazu zählen nicht nur große Cloud-Anbieter, sondern auch lokale IT-Betreuer, Wartungsfirmen, Lohnbüros und spezialisierte Softwarepartner.
Anschließend sollte für jede Beziehung geklärt werden: Welche Daten sind betroffen? Zu welchem Zweck verarbeitet der Dienstleister sie? Handelt er nur auf Weisung oder erfüllt er eigene Aufgaben? Gibt es Unterauftragnehmer oder Übermittlungen ins Ausland? Aus diesen Antworten ergibt sich, ob ein AV-Vertrag notwendig ist und welche Regelungen besonders wichtig sind.
Für Steuerkanzleien, Rechtsanwälte und Arztpraxen ist diese Bestandsaufnahme oft besonders wertvoll. Sie verarbeiten Daten mit hohem Schutzbedarf und nutzen zugleich zahlreiche Fachanwendungen. Hier sollten Datenschutz, IT-Sicherheit und Prozessorganisation zusammen betrachtet werden. Ein Vertrag ist nur ein Baustein – sichere Zugänge, klare Verantwortlichkeiten und verlässliche Betreuung sind ebenso entscheidend.
EDV.de unterstützt Unternehmen dabei, technische Prozesse und Datenschutzanforderungen zusammenzuführen. Bei Managed Services, Cloud-Betrieb oder Dokumentenmanagement geht es nicht nur um die Frage, ob ein Vertrag vorhanden ist, sondern ob Zugriffe, Berechtigungen und Betriebsabläufe nachvollziehbar geregelt sind.
Ein sauber geprüfter AV-Vertrag schafft keine zusätzliche Bürokratie um ihrer selbst willen. Er sorgt dafür, dass Unternehmen bei der Zusammenarbeit mit Dienstleistern wissen, wer Verantwortung trägt, wer worauf zugreifen darf und was im Ernstfall zu tun ist.