Die 5 AVV-Verträge für typische KMU-Konstellationen: und ihre Bezugs-Quellen

Stand: 2026-05-17 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Art. 28 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ausschließlich solche Auftragsverarbeiter einzusetzen, die hinreichende Garantien für die rechtskonforme Verarbeitung bieten. Art. 28 Abs. 3 DSGVO listet zehn Pflicht-Inhalte einer wirksamen AVV-Vereinbarung:

Detail

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung
3. Art der personenbezogenen Daten
4. Kategorien betroffener Personen
5. Weisungs-Bindung des Auftragsverarbeiters
6. Vertraulichkeits-Verpflichtung der zugriffsberechtigten Personen
7. Verpflichtung zu technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO
8. Regelung zur Einbindung weiterer Auftragsverarbeiter (Sub-Prozessoren)
9. Unterstützungs-Pflicht bei Betroffenenrechten und Aufsichts-Anfragen
10. Lösch- oder Rückgabe-Pflicht nach Vertragsende sowie Nachweis-Pflicht

Sofern einer dieser Pflicht-Inhalte fehlt, kann die Vereinbarung in der Aufsichts-Praxis als unwirksam eingeordnet werden. Das DSK-Kurzpapier Nr. 13 konkretisiert die Verwaltungs-Praxis der deutschen Aufsichtsbehörden. Die EU-Kommission hat 2021 Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO als optionale Mustervorlage veröffentlicht.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Die Abgrenzung zwischen Auftragsverarbeitung (Art. 28 DSGVO), gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) und reiner Übermittlung an einen eigenständigen Verantwortlichen folgt aus den Begriffs-Bestimmungen in Art. 4 Nr. 7 und Nr. 8 DSGVO. Maßgeblich ist die tatsächliche Entscheidungs-Hoheit über Zwecke und Mittel der Verarbeitung.

Detail

Sofern ein Dienstleister Daten zu eigenen Zwecken nutzt (etwa zu Marktforschung oder Aggregation für eigene Produkte), trägt eine AVV-Vereinbarung die Konstellation regelmäßig nicht, hier ist eine andere Rechtsgrundlage erforderlich. Sofern zwei Stellen gemeinsam über Zwecke und Mittel entscheiden, ist statt eines AVV eine Joint-Controllership-Vereinbarung nach Art. 26 Abs. 1 DSGVO mit ihren spezifischen Inhalten zu schließen.

In typischen KMU-Konstellationen treten regelmäßig fünf Dienstleister-Kategorien mit AVV-Bedarf auf:

1. Cloud-Infrastruktur (Microsoft 365, Google Workspace, AWS, Azure, Hetzner). Hier werden E-Mails, Dokumente und gegebenenfalls Datenbanken verarbeitet. AVVs sind bei den großen Anbietern regelmäßig im Admin-Portal abrufbar: Microsoft als „Products and Services DPA", Google als „Cloud Data Processing Addendum", AWS als „GDPR Data Processing Addendum", Hetzner als AVV im Robot-Portal. Bei US-Anbietern sind auch in Konstellationen mit EU-Region die Standardvertragsklauseln nach Art. 46 DSGVO und ein Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 typischerweise ergänzend einzuziehen.

2. Newsletter- und Marketing-Tools (Brevo, CleverReach, Mailchimp, ActiveCampaign, HubSpot). AVVs sind bei den gängigen Anbietern regelmäßig im Kunden-Portal als vor-signierte PDF oder als Klick-Through-Vereinbarung verfügbar. EU-gehostete Anbieter erfordern keine zusätzlichen Drittlands-Garantien; US-gehostete Lösungen verlangen ergänzend Standardvertragsklauseln und TIA.

3. Externe Lohnbuchhaltung ohne berufsrechtliche Bindung. Diese Konstellation ist regelmäßig Auftragsverarbeitung und erfordert eine AVV-Vereinbarung. Steuerberater im klassischen Mandat sind nach DSK-Beschluss aus dem Jahr 2018 dagegen eigenständige Verantwortliche; DATEV liefert in Mandats-Konstellationen Hinweise zur Verschwiegenheits-Vereinbarung statt eines AVV.

4. CRM-Systeme (HubSpot, Salesforce, Pipedrive, Zoho). AVVs sind regelmäßig als Klick-Through-Vereinbarung im Onboarding oder als Download im Account-Bereich verfügbar. Eine EU-Region-Wahl ist bei den meisten Anbietern technisch möglich und reduziert die Drittlands-Komplexität.

5. Hosting- und IT-Dienstleister (IONOS, Mittwald, DomainFactory, lokale Systemhäuser). Da Hosting-Anbieter typischerweise Vollzugriff auf Server-seitig gespeicherte Daten haben, ist eine AVV-Vereinbarung regelmäßig erforderlich. Bei großen Anbietern aus dem Control-Panel abrufbar; bei lokalen IT-Dienstleistern ohne Standard-AVV ist eine eigene Vorlage einzuziehen oder zu generieren.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis hat sich folgender Ablauf für die strukturierte AVV-Sammlung etabliert:

1. Inventur aller externen Dienstleister mit potenziellem Zugriff auf personenbezogene Daten, identische Grundliste wie für das Verfahrensverzeichnis nach Art. 30 DSGVO.
2. Einordnung pro Dienstleister als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher. Dokumentation der Einordnung in einem internen Vermerk.
3. AVV-Beschaffung bei den als Auftragsverarbeiter eingeordneten Stellen, typischerweise über Customer-Portal, Vertriebs-Kontakt oder eigene Vorlage.
4. Prüfung der Pflicht-Inhalte nach Art. 28 Abs. 3 DSGVO sowie Ergänzung von Anlagen (TOMs, Sub-Prozessor-Liste, Standardvertragsklauseln bei Drittlands-Bezug).
5. Ablage und Versionierung in einem strukturierten DSGVO-Ordner mit Datums-Vermerk.
6. Review-Zyklus, eine jährliche Sichtung mit Prüfung auf neu hinzugekommene Sub-Prozessoren ist in der Praxis verbreitet.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen verschieben den vertraglichen Rahmen über die fünf Standard-Kategorien hinaus:

• Branchen-spezifische Sektor-Auftragsverarbeitungen, etwa Cloud-Anbieter im Gesundheits-Sektor (zusätzliche Anforderungen aus § 22 BDSG, § 203 StGB) oder im Finanzsektor (BAIT/VAIT, MaRisk).
• Konzern-interne Datenflüsse, hier kann statt einzelner AVVs eine Konzern-Rahmenvereinbarung in Betracht kommen; Voraussetzungen sind klare Zweck-, Daten- und Verantwortlichkeits-Beschreibungen sowie die Einhaltung der Konzern-Privileg-Grenzen.

Detail

• Sub-Prozessor-Ketten mit häufigem Wechsel, hier ist die Zustimmungs-Mechanik nach Art. 28 Abs. 2 DSGVO sorgfältig vertraglich zu strukturieren, insbesondere die Frist für Widerspruchs-Möglichkeiten.
• Joint-Controllership-Konstellationen nach Art. 26 DSGVO, hier ersetzt eine Joint-Controllership-Vereinbarung den AVV.
• Behördliche Datenflüsse (Finanzamt, Sozialversicherungs-Träger, Statistik-Behörden), gesetzlich angeordnete Übermittlungen nach Art. 6 Abs. 1 lit. c DSGVO sind regelmäßig keine Auftragsverarbeitung und erfordern keinen AVV.
• Anonyme oder vollständig anonymisierte Daten im Sinne von Erwägungsgrund 26 DSGVO, fehlt der Personenbezug, greift das Datenschutzrecht nicht; eine AVV-Vereinbarung ist in dieser Konstellation gegenstandslos. Die Anonymisierung ist allerdings sorgfältig nachzuweisen.

In allen genannten Konstellationen ist eine vertragliche Einzelfall-Bewertung empfehlenswert. Die hier dargestellten Standard-Strukturen erfassen diese Komplexitäten nicht abschließend.

Nächster Schritt

Für Dienstleister-Konstellationen ohne Standard-AVV des Anbieters oder für die Aufsetzung von Konzern-Rahmenverträgen erzeugt unser AVV-Generator eine Vereinbarung mit allen nach Art. 28 Abs. 3 DSGVO geforderten Pflicht-Inhalten, einschließlich Anlagen für TOMs, Sub-Prozessor-Listen und Standardvertragsklauseln bei Drittlands-Transfers.

Für die vertiefte Auseinandersetzung mit Haftungs-Verteilung, Audit-Rechten und der Mechanik des Sub-Unterauftragsverhältnisses erläutert DSGVO-Auftragsverarbeitung Art. 28 in der Praxis die zentralen Regelungs-Tatbestände Schritt für Schritt.