Auftragsverarbeitung: wann du einen AVV mit Dienstleistern brauchst

Sobald ein externer Dienstleister Zugriff auf Kundendaten hat – etwa der Hosting-Anbieter, das Newsletter-Tool oder eine Agentur mit Login zum Kundensystem –, verarbeitet dieser Dienstleister personenbezogene Daten im Auftrag des Unternehmens. Genau dafür ist ein Auftragsverarbeitungsvertrag gedacht.

Viele kleine Unternehmen wissen zwar, dass es diesen Begriff gibt, aber nicht genau, wann er wirklich greift und wann nicht. Dieser Artikel ordnet ein, welche Dienstleister typischerweise betroffen sind, was ein solcher Vertrag regeln sollte und worauf du bei der Auswahl eines neuen Dienstleisters achten kannst.

Was Auftragsverarbeitung eigentlich bedeutet

Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister personenbezogene Daten ausschließlich nach Weisung des Unternehmens verarbeitet, ohne eigene Entscheidungsgewalt über Zweck und Mittel der Verarbeitung zu haben. Der Hosting-Anbieter, der die Website-Datenbank speichert, ist ein klassisches Beispiel: Er verarbeitet die Daten technisch, entscheidet aber nicht selbst, wofür sie genutzt werden.

Davon zu unterscheiden ist ein Dienstleister, der Daten für eigene Zwecke nutzt und damit selbst als eigenständig Verantwortlicher gilt – etwa ein Zahlungsanbieter, der Transaktionsdaten auch für eigene Betrugsprävention auswertet. Diese Abgrenzung ist nicht immer trennscharf und im Zweifel einen genaueren Blick oder eine rechtliche Einschätzung wert.

Für die eigene Praxis hilft eine einfache Denkhilfe: Wer weisungsgebunden im engen Rahmen einer definierten Aufgabe arbeitet, ist typischerweise Auftragsverarbeiter. Wer eigene Zwecke verfolgt, eigene Entscheidungen über die Datennutzung trifft oder Daten mit eigenen Beständen verknüpft, bewegt sich eher außerhalb der klassischen Auftragsverarbeitung. Die vertragliche Ausgestaltung sollte diese Rolle klar benennen, statt sie offenzulassen.

Typische Dienstleister, bei denen ein AVV relevant wird

In der Praxis kommen Auftragsverarbeitungsverträge besonders häufig bei folgenden Konstellationen vor: Hosting- und Serverbetreiber, E-Mail-Marketing- und Newsletter-Tools, Analyse- und Tracking-Dienste, externe Buchhaltungs- oder CRM-Software sowie Agenturen und Freelancer, die direkten Zugriff auf Kundendaten haben – etwa bei der Betreuung eines Shops oder einer Datenbank.

Wie du eine geeignete Webagentur überhaupt erkennst, beschreibt der Artikel „Woran erkennst du eine gute Webagentur?“ – die Bereitschaft, einen AVV anzubieten und die eigenen Prozesse transparent zu erklären, ist dabei ein brauchbares Auswahlkriterium.

Wann kein AVV nötig ist

Nicht jede Zusammenarbeit mit einem externen Anbieter erfordert automatisch einen eigenen Vertrag. Wird kein Zugriff auf personenbezogene Daten gewährt – etwa bei einer reinen Beratungsleistung ohne Datenzugriff, oder bei einem Tool, das ausschließlich anonyme, nicht personenbeziehbare Informationen verarbeitet –, entfällt die Grundlage für einen Auftragsverarbeitungsvertrag.

Auch wenn ein Dienstleister als eigenständig Verantwortlicher auftritt, etwa weil er Daten für eigene, unabhängige Zwecke nutzt, greift ein anderes rechtliches Konstrukt als die klassische Auftragsverarbeitung. In der Praxis lohnt sich bei jedem neuen Dienstleister eine kurze Einordnung: Wer entscheidet über Zweck und Mittel der Verarbeitung – das Unternehmen selbst oder der Dienstleister?

Was ein Auftragsverarbeitungsvertrag inhaltlich abdecken sollte

Ein AVV regelt in Grundzügen, wofür der Dienstleister Daten verarbeiten darf, welche technischen und organisatorischen Maßnahmen zum Schutz der Daten getroffen werden, wie mit Unterauftragnehmern umgegangen wird und was im Fall einer Beendigung der Zusammenarbeit mit den Daten passiert – also ob sie gelöscht oder zurückgegeben werden.

Seriöse Anbieter, insbesondere große Hosting- und Software-Anbieter, stellen einen standardisierten AVV meist direkt zum Download oder zur elektronischen Bestätigung bereit. Kleinere Dienstleister oder Einzelpersonen haben oft keinen fertigen Vertrag – hier lohnt es sich, aktiv nachzufragen, statt anzunehmen, dass das Thema schon irgendwie geregelt ist.

Wichtig ist auch die Frage der Kontrolle: Ein AVV sollte dem Unternehmen als Verantwortlichem grundsätzlich die Möglichkeit einräumen, die Einhaltung der vereinbarten Maßnahmen zu überprüfen, etwa durch Nachweise oder Auskünfte des Dienstleisters. In der Praxis reicht bei kleineren Unternehmen meist ein schriftlicher Nachweis oder ein Zertifikat des Anbieters aus, statt eine eigene, aufwendige Vor-Ort-Prüfung durchzuführen.

Drittstaaten und Unterauftragnehmer im Blick behalten

Ein Auftragsverarbeitungsvertrag klärt auch, ob und wie der Dienstleister weitere Unterauftragnehmer einsetzen darf. Nutzt beispielsweise ein Newsletter-Tool im Hintergrund einen weiteren Anbieter für den E-Mail-Versand, sollte das transparent gemacht werden. Besonders relevant wird das, wenn Daten dabei außerhalb der EU verarbeitet werden – dann greifen zusätzliche Anforderungen an die Übermittlung.

Für die Auswahl eines Hosting-Anbieters ist das ein Kriterium, das über reine Leistungsmerkmale hinausgeht: Wo stehen die Server tatsächlich, und welche Unterauftragnehmer sind eingebunden? Der Artikel zum Hosting für kleine Unternehmen geht auf weitere Auswahlkriterien jenseits des reinen Preises ein.

Eine einfache Checkliste bei der Dienstleister-Auswahl

Bevor ein neuer Dienstleister eingebunden wird, hilft eine kurze Prüfung: Werden personenbezogene Daten verarbeitet? Falls ja: Bietet der Anbieter einen AVV an oder ist er bereit, einen abzuschließen? Wo werden die Daten verarbeitet, und werden Unterauftragnehmer eingesetzt? Welche technischen Schutzmaßnahmen beschreibt der Anbieter?

Diese vier Fragen lassen sich in wenigen Minuten klären und sollten fester Bestandteil jeder Entscheidung für neue Software oder externe Unterstützung sein – unabhängig davon, ob es sich um eine große Softwarelösung oder eine einzelne Freelancerin handelt.

Wenn der Dienstleister keinen AVV anbietet

Nicht jeder Anbieter reagiert sofort positiv auf die Anfrage nach einem Auftragsverarbeitungsvertrag. Kleinere oder weniger erfahrene Dienstleister kennen den Begriff mitunter gar nicht oder reagieren zögerlich. Das ist ein Warnsignal, sollte aber nicht automatisch zum Abbruch der Zusammenarbeit führen – oft reicht ein klärendes Gespräch, in dem erklärt wird, worum es geht und dass ein einfacher Standardvertrag ausreicht.

Bleibt ein Anbieter dauerhaft unwillig oder unfähig, grundlegende Fragen zum Umgang mit Daten zu beantworten, ist das ein deutliches Argument, sich nach einer Alternative umzusehen – unabhängig vom Preis oder Funktionsumfang des Angebots.

Hilfreich ist es, das Thema bereits vor Vertragsschluss anzusprechen, statt es erst nachträglich zu klären, wenn die Zusammenarbeit schon läuft und Daten bereits übertragen wurden. Ein kurzer Hinweis in der ersten Anfrage – etwa die Bitte um den Standard-AVV des Anbieters – zeigt meist schnell, wie professionell ein Dienstleister mit diesem Thema umgeht.

Hinweis: Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.

Häufige Fragen