Die 5 AVV-Verträge für typische KMU-Konstellationen: und ihre Bezugs-Quellen

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Art. 28 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ausschließlich solche Auftragsverarbeiter einzusetzen, die hinreichende Garantien für die rechtskonforme Verarbeitung bieten. Nach Art. 28 Abs. 3 DSGVO muss der Vertrag zunächst Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Zusätzlich muss er nach Art. 28 Abs. 3 Satz 2 lit. a–h DSGVO vorsehen, dass der Auftragsverarbeiter:

1. Daten nur auf dokumentierte Weisung verarbeitet, auch in Bezug auf Übermittlungen in Drittländer (lit. a)
2. die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet (lit. b)
3. alle nach Art. 32 DSGVO erforderlichen Maßnahmen ergreift (lit. c)
4. die Bedingungen nach Art. 28 Abs. 2 und 4 DSGVO für weitere Auftragsverarbeiter einhält (lit. d)
5. den Verantwortlichen bei Anträgen auf Wahrnehmung der Betroffenenrechte unterstützt (lit. e)
6. den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO unterstützt, also Sicherheit, Meldung von Datenschutzverletzungen und Datenschutz-Folgenabschätzung (lit. f)
7. nach Abschluss der Leistungen die Daten löscht oder zurückgibt (lit. g)
8. alle Informationen zum Nachweis der Pflichten bereitstellt und Überprüfungen einschließlich Inspektionen ermöglicht (lit. h)

Fehlt einer dieser Pflicht-Inhalte, genügt die Vereinbarung Art. 28 Abs. 3 DSGVO nicht. Das DSK-Kurzpapier Nr. 13 konkretisiert die Verwaltungs-Praxis der deutschen Aufsichtsbehörden. Die EU-Kommission hat 2021 Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern nach Art. 28 Abs. 7 DSGVO als optionale Mustervorlage veröffentlicht.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Die Abgrenzung zwischen Auftragsverarbeitung (Art. 28 DSGVO), gemeinsamer Verantwortlichkeit (Art. 26 DSGVO) und reiner Übermittlung an einen eigenständigen Verantwortlichen folgt aus den Begriffs-Bestimmungen in Art. 4 Nr. 7 und Nr. 8 DSGVO. Maßgeblich ist die tatsächliche Entscheidungs-Hoheit über Zwecke und Mittel der Verarbeitung.

Sofern ein Dienstleister Daten zu eigenen Zwecken nutzt (etwa zu Marktforschung oder Aggregation für eigene Produkte), trägt eine AVV-Vereinbarung die Konstellation regelmäßig nicht, hier ist eine andere Rechtsgrundlage erforderlich. Sofern zwei Stellen gemeinsam über Zwecke und Mittel entscheiden, ist statt eines AVV eine Joint-Controllership-Vereinbarung nach Art. 26 Abs. 1 DSGVO mit ihren spezifischen Inhalten zu schließen.

In typischen KMU-Konstellationen treten regelmäßig fünf Dienstleister-Kategorien mit AVV-Bedarf auf:

1. Cloud-Infrastruktur (Microsoft 365, Google Workspace, AWS, Azure, Hetzner). Hier werden E-Mails, Dokumente und gegebenenfalls Datenbanken verarbeitet. AVVs sind bei den großen Anbietern regelmäßig im Admin-Portal abrufbar: Microsoft als „Products and Services DPA", Google als „Cloud Data Processing Addendum", AWS als „GDPR Data Processing Addendum", Hetzner als AV-Vertrag, der im Kundenkonto per Zustimmung abgeschlossen wird. Bei US-Anbietern ist zu prüfen, ob der Anbieter in der Liste des EU-US Data Privacy Framework aktiv zertifiziert ist. Ist er das, trägt der Angemessenheitsbeschluss (EU) 2023/1795 die Übermittlung nach Art. 45 DSGVO; Standardvertragsklauseln und ein Transfer Impact Assessment sind dann nicht erforderlich. Nur für nicht zertifizierte US-Empfänger sind Standardvertragsklauseln nach Art. 46 DSGVO samt Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 nötig.

2. Newsletter- und Marketing-Tools (Brevo, CleverReach, Mailchimp, ActiveCampaign, HubSpot). AVVs sind bei den gängigen Anbietern regelmäßig im Kunden-Portal als vor-signierte PDF oder als Klick-Through-Vereinbarung verfügbar. Findet die Verarbeitung einschließlich aller Unterauftragsverarbeiter ausschließlich in der EU bzw. im EWR statt, sind keine Garantien nach Kapitel V DSGVO nötig; bei US-gehosteten Lösungen oder US-Unterauftragsverarbeitern gilt dieselbe Prüfung wie bei Cloud-Anbietern: DPF-Zertifizierung vorhanden, dann keine Standardvertragsklauseln und kein TIA, sonst beides.

3. Externe Lohnbuchhaltung ohne berufsrechtliche Bindung. Diese Konstellation ist regelmäßig Auftragsverarbeitung und erfordert eine AVV-Vereinbarung. Übernimmt dagegen ein Steuerberater die Lohnbuchhaltung, ist er nach § 11 Abs. 2 StBerG Verantwortlicher; ein AVV mit dem Mandanten ist dann nicht erforderlich.

4. CRM-Systeme (HubSpot, Salesforce, Pipedrive, Zoho). AVVs sind regelmäßig als Klick-Through-Vereinbarung im Onboarding oder als Download im Account-Bereich verfügbar. Eine EU-Region-Wahl ist bei den meisten Anbietern technisch möglich und reduziert die Drittlands-Komplexität.

5. Hosting- und IT-Dienstleister (IONOS, Mittwald, DomainFactory, lokale Systemhäuser). Da Hosting-Anbieter typischerweise Vollzugriff auf Server-seitig gespeicherte Daten haben, ist eine AVV-Vereinbarung regelmäßig erforderlich. Bei großen Anbietern aus dem Control-Panel abrufbar; bei lokalen IT-Dienstleistern ohne Standard-AVV ist eine eigene Vorlage einzuziehen oder zu generieren.

Welcher Aufbau-Rahmen ist verbreitet?

Für die strukturierte AVV-Sammlung ist folgender Ablauf verbreitet:

1. Inventur aller externen Dienstleister mit potenziellem Zugriff auf personenbezogene Daten, identische Grundliste wie für das Verfahrensverzeichnis nach Art. 30 DSGVO.
2. Einordnung pro Dienstleister als Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher. Dokumentation der Einordnung in einem internen Vermerk.
3. AVV-Beschaffung bei den als Auftragsverarbeiter eingeordneten Stellen, typischerweise über Customer-Portal, Vertriebs-Kontakt oder eigene Vorlage.
4. Prüfung der Pflicht-Inhalte nach Art. 28 Abs. 3 DSGVO sowie Ergänzung von Anlagen (TOMs, Sub-Prozessor-Liste, Standardvertragsklauseln bei Drittlands-Bezug).
5. Ablage und Versionierung in einem strukturierten DSGVO-Ordner mit Datums-Vermerk.
6. Review-Zyklus, eine jährliche Sichtung mit Prüfung auf neu hinzugekommene Sub-Prozessoren ist in der Praxis verbreitet.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen verschieben den vertraglichen Rahmen über die fünf Standard-Kategorien hinaus:

• Branchen-spezifische Sektor-Auftragsverarbeitungen, etwa Cloud-Anbieter im Gesundheits-Sektor (zusätzliche Anforderungen aus § 22 BDSG, § 203 StGB) oder im Finanzsektor (DORA mit den Vorgaben zu IKT-Drittdienstleistern; VAIT, KAIT und ZAIT sind seit 17.01.2025 aufgehoben, die BAIT gelten für DORA-Institute nicht mehr und entfallen vollständig mit Ablauf des 31.12.2026).
• Konzern-interne Datenflüsse, die DSGVO kennt kein Konzernprivileg: Jede Konzerngesellschaft ist eigenständig zu betrachten, verarbeitet eine Gesellschaft im Auftrag einer anderen, gilt Art. 28 DSGVO. Eine Konzern-Rahmenvereinbarung kann die einzelnen Verträge bündeln, muss aber für jede Beziehung die Inhalte nach Art. 28 Abs. 3 DSGVO abdecken. Erwägungsgrund 48 DSGVO erkennt lediglich ein mögliches berechtigtes Interesse an konzerninternen Übermittlungen für Verwaltungszwecke an.

• Sub-Prozessor-Ketten mit häufigem Wechsel, hier ist die Zustimmungs-Mechanik nach Art. 28 Abs. 2 DSGVO sorgfältig vertraglich zu strukturieren, insbesondere die Frist für Widerspruchs-Möglichkeiten.
• Joint-Controllership-Konstellationen nach Art. 26 DSGVO, hier ersetzt eine Joint-Controllership-Vereinbarung den AVV.
• Behördliche Datenflüsse (Finanzamt, Sozialversicherungs-Träger, Statistik-Behörden), gesetzlich angeordnete Übermittlungen nach Art. 6 Abs. 1 lit. c DSGVO sind regelmäßig keine Auftragsverarbeitung und erfordern keinen AVV.
• Anonyme oder vollständig anonymisierte Daten im Sinne von Erwägungsgrund 26 DSGVO, fehlt der Personenbezug, greift das Datenschutzrecht nicht; eine AVV-Vereinbarung ist in dieser Konstellation gegenstandslos. Die Anonymisierung ist allerdings sorgfältig nachzuweisen.

In allen genannten Konstellationen ist eine vertragliche Einzelfall-Bewertung empfehlenswert. Die hier dargestellten Standard-Strukturen erfassen diese Komplexitäten nicht abschließend.

Nächster Schritt

Für Dienstleister ohne Standard-AVV erzeugt der AVV-Generator ein generisches AVV-Formular nach Art. 28 Abs. 3 DSGVO mit Liste der Unterauftragnehmer, Angaben zu technischen und organisatorischen Maßnahmen und einem Abschnitt zu Drittlandübermittlungen. Standardvertragsklauseln als Anlage und anbieterspezifische Vorlagen enthält er nicht.

Für die vertiefte Auseinandersetzung mit Haftungs-Verteilung, Audit-Rechten und der Mechanik des Sub-Unterauftragsverhältnisses erläutert DSGVO-Auftragsverarbeitung Art. 28 in der Praxis die zentralen Regelungs-Tatbestände Schritt für Schritt.