Die 5 AVV-Verträge für typische KMU-Konstellationen — und ihre Bezugs-Quellen

Stand: 2026-05-17 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Art. 28 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ausschließlich solche Auftragsverarbeiter einzusetzen, die hinreichende Garantien für die rechtskonforme Verarbeitung bieten. Art. 28 Abs. 3 DSGVO listet zehn Pflicht-Inhalte einer wirksamen AVV-Vereinbarung:

Detail

1. Gegenstand und Dauer der Verarbeitung
2. Art und Zweck der Verarbeitung
3. Art der personenbezogenen Daten
4. Kategorien betroffener Personen
5. Weisungs-Bindung des Auftragsverarbeiters
6. Vertraulichkeits-Verpflichtung der zugriffsberechtigten Personen
7. Verpflichtung zu technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO
8. Regelung zur Einbindung weiterer Auftragsverarbeiter (Sub-Prozessoren)
9. Unterstützungs-Pflicht bei Betroffenenrechten und Aufsichts-Anfragen
10. Lösch- oder Rückgabe-Pflicht nach Vertragsende sowie Nachweis-Pflicht

Sofern einer dieser Pflicht-Inhalte fehlt, kann die Vereinbarung in der Aufsichts-Praxis als unwirksam eingeordnet werden. Das DSK-Kurzpapier Nr. 13 konkretisiert die Verwaltungs-Praxis der deutschen Aufsichtsbehörden. Die EU-Kommission hat 2021 Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO als optionale Mustervorlage veröffentlicht.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Die Abgrenzung zwischen Auftragsverarbeitung (Art. 28 DSGVO), gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) und reiner Übermittlung an einen eigenständigen Verantwortlichen folgt aus den Begriffs-Bestimmungen in Art. 4 Nr. 7 und Nr. 8 DSGVO. Maßgeblich ist die tatsächliche Entscheidungs-Hoheit über Zwecke und Mittel der Verarbeitung.

Detail

Sofern ein Dienstleister Daten zu eigenen Zwecken nutzt (etwa zu Marktforschung oder Aggregation für eigene Produkte), trägt eine AVV-Vereinbarung die Konstellation regelmäßig nicht — hier ist eine andere Rechtsgrundlage erforderlich. Sofern zwei Stellen gemeinsam über Zwecke und Mittel entscheiden, ist statt eines AVV eine Joint-Controllership-Vereinbarung nach Art. 26 Abs. 1 DSGVO mit ihren spezifischen Inhalten zu schließen.

In typischen KMU-Konstellationen treten regelmäßig fünf Dienstleister-Kategorien mit AVV-Bedarf auf:

1. Cloud-Infrastruktur (Microsoft 365, Google Workspace, AWS, Azure, Hetzner). Hier werden E-Mails, Dokumente und gegebenenfalls Datenbanken verarbeitet. AVVs sind bei den großen Anbietern regelmäßig im Admin-Portal abrufbar: Microsoft als „Products and Services DPA", Google als „Cloud Data Processing Addendum", AWS als „GDPR Data Processing Addendum", Hetzner als AVV im Robot-Portal. Bei US-Anbietern sind auch in Konstellationen mit EU-Region die Standardvertragsklauseln nach Art. 46 DSGVO und ein Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 typischerweise ergänzend einzuziehen.

2. Newsletter- und Marketing-Tools (Brevo, CleverReach, Mailchimp, ActiveCampaign, HubSpot). AVVs sind bei den gängigen Anbietern regelmäßig im Kunden-Portal als vor-signierte PDF oder als Klick-Through-Vereinbarung verfügbar. EU-gehostete Anbieter erfordern keine zusätzlichen Drittlands-Garantien; US-gehostete Lösungen verlangen ergänzend Standardvertragsklauseln und TIA.

3. Externe Lohnbuchhaltung ohne berufsrechtliche Bindung. Diese Konstellation ist regelmäßig Auftragsverarbeitung und erfordert eine AVV-Vereinbarung. Steuerberater im klassischen Mandat sind nach DSK-Beschluss aus dem Jahr 2018 dagegen eigenständige Verantwortliche; DATEV liefert in Mandats-Konstellationen Hinweise zur Verschwiegenheits-Vereinbarung statt eines AVV.

4. CRM-Systeme (HubSpot, Salesforce, Pipedrive, Zoho). AVVs sind regelmäßig als Klick-Through-Vereinbarung im Onboarding oder als Download im Account-Bereich verfügbar. Eine EU-Region-Wahl ist bei den meisten Anbietern technisch möglich und reduziert die Drittlands-Komplexität.

5. Hosting- und IT-Dienstleister (IONOS, Mittwald, DomainFactory, lokale Systemhäuser). Da Hosting-Anbieter typischerweise Vollzugriff auf Server-seitig gespeicherte Daten haben, ist eine AVV-Vereinbarung regelmäßig erforderlich. Bei großen Anbietern aus dem Control-Panel abrufbar; bei lokalen IT-Dienstleistern ohne Standard-AVV ist eine eigene Vorlage einzuziehen oder zu generieren.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis hat sich folgender Ablauf für die strukturierte AVV-Sammlung etabliert:

1. Inventur aller externen Dienstleister mit potenziellem Zugriff auf personenbezogene Daten — identische Grundliste wie für das Verfahrensverzeichnis nach Art. 30 DSGVO.
2. Einordnung pro Dienstleister als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher. Dokumentation der Einordnung in einem internen Vermerk.
3. AVV-Beschaffung bei den als Auftragsverarbeiter eingeordneten Stellen — typischerweise über Customer-Portal, Vertriebs-Kontakt oder eigene Vorlage.
4. Prüfung der Pflicht-Inhalte nach Art. 28 Abs. 3 DSGVO sowie Ergänzung von Anlagen (TOMs, Sub-Prozessor-Liste, Standardvertragsklauseln bei Drittlands-Bezug).
5. Ablage und Versionierung in einem strukturierten DSGVO-Ordner mit Datums-Vermerk.
6. Review-Zyklus — eine jährliche Sichtung mit Prüfung auf neu hinzugekommene Sub-Prozessoren ist in der Praxis verbreitet.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen verschieben den vertraglichen Rahmen über die fünf Standard-Kategorien hinaus:

• Branchen-spezifische Sektor-Auftragsverarbeitungen — etwa Cloud-Anbieter im Gesundheits-Sektor (zusätzliche Anforderungen aus § 22 BDSG, § 203 StGB) oder im Finanzsektor (BAIT/VAIT, MaRisk).
• Konzern-interne Datenflüsse — hier kann statt einzelner AVVs eine Konzern-Rahmenvereinbarung in Betracht kommen; Voraussetzungen sind klare Zweck-, Daten- und Verantwortlichkeits-Beschreibungen sowie die Einhaltung der Konzern-Privileg-Grenzen.

Detail

• Sub-Prozessor-Ketten mit häufigem Wechsel — hier ist die Zustimmungs-Mechanik nach Art. 28 Abs. 2 DSGVO sorgfältig vertraglich zu strukturieren, insbesondere die Frist für Widerspruchs-Möglichkeiten.
• Joint-Controllership-Konstellationen nach Art. 26 DSGVO — hier ersetzt eine Joint-Controllership-Vereinbarung den AVV.
• Behördliche Datenflüsse (Finanzamt, Sozialversicherungs-Träger, Statistik-Behörden) — gesetzlich angeordnete Übermittlungen nach Art. 6 Abs. 1 lit. c DSGVO sind regelmäßig keine Auftragsverarbeitung und erfordern keinen AVV.
• Anonyme oder vollständig anonymisierte Daten im Sinne von Erwägungsgrund 26 DSGVO — fehlt der Personenbezug, greift das Datenschutzrecht nicht; eine AVV-Vereinbarung ist in dieser Konstellation gegenstandslos. Die Anonymisierung ist allerdings sorgfältig nachzuweisen.

In allen genannten Konstellationen ist eine vertragliche Einzelfall-Bewertung empfehlenswert. Die hier dargestellten Standard-Strukturen erfassen diese Komplexitäten nicht abschließend.

Nächster Schritt

Für Dienstleister-Konstellationen ohne Standard-AVV des Anbieters oder für die Aufsetzung von Konzern-Rahmenverträgen erzeugt unser AVV-Generator eine Vereinbarung mit allen nach Art. 28 Abs. 3 DSGVO geforderten Pflicht-Inhalten — einschließlich Anlagen für TOMs, Sub-Prozessor-Listen und Standardvertragsklauseln bei Drittlands-Transfers.

Für die vertiefte Auseinandersetzung mit Haftungs-Verteilung, Audit-Rechten und der Mechanik des Sub-Unterauftragsverhältnisses erläutert DSGVO-Auftragsverarbeitung Art. 28 in der Praxis die zentralen Regelungs-Tatbestände Schritt für Schritt.