Auftragsverarbeitung AVV nach Art. 28 DSGVO
Kurz gesagt
Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Unternehmens verarbeitet, etwa ein Hoster, ein Newsletter-Dienst, ein Cloud-Speicher oder ein IT-Dienstleister mit Zugriff auf Systeme. Die DSGVO verlangt dafür einen Vertrag, den Auftragsverarbeitungsvertrag (AVV), der Gegenstand, Dauer, Art der Daten, Pflichten und technische Schutzmaßnahmen festlegt. Verantwortlich bleibt das beauftragende Unternehmen.
Fachlich geprüft von Marcel, IT-Admin & Webentwickler · Stand September 2026
Warum das für dich wichtig ist
Fast jedes Unternehmen hat Auftragsverarbeiter, oft ohne es zu wissen: das Webhosting, das Ticketsystem, die Webanalyse, der Fernwartungszugang des IT-Dienstleisters. Fehlt der Vertrag, fehlt der Verarbeitung die Grundlage, und das fällt nicht erst bei einer Prüfung auf, sondern spätestens, wenn ein Kunde nach dem Verzeichnis der Verarbeitungstätigkeiten fragt.
Der AVV ist außerdem der Ort, an dem der Datenstandort festgelegt wird. Ob Daten die EU verlassen dürfen und welche Subunternehmer beteiligt sind, steht dort, nicht in der Werbung des Anbieters.
Worauf es ankommt
- Ein AVV ist Pflicht, keine Formalität. Er muss vor Beginn der Verarbeitung vorliegen und die Mindestinhalte des Art. 28 DSGVO enthalten.
- Die technischen und organisatorischen Maßnahmen (TOM) müssen zum Dienst passen. Eine Standardliste, die niemand gelesen hat, hilft im Ernstfall nicht.
- Subunternehmer des Dienstleisters müssen genannt sein, beim Hosting etwa das Rechenzentrum.
- Berufsgeheimnisträger wie Kanzleien und Praxen brauchen zusätzlich eine Verpflichtung nach § 203 StGB; der AVV allein reicht dort nicht.
- Das ist eine allgemeine Einordnung, keine Rechtsberatung, die verbindliche Prüfung gehört zum Datenschutzbeauftragten oder zur Kanzlei.
Wie wir damit arbeiten
Für Hosting, Nextcloud, Webanalyse und IT-Betreuung stellen wir einen Auftragsverarbeitungsvertrag mit passenden technischen Maßnahmen und Nennung der Subunternehmer bereit, auf Wunsch mit Verschwiegenheitsverpflichtung für Kanzleien und Praxen. Weil unsere Server in Deutschland stehen, ist die Frage nach dem Datenstandort schnell beantwortet.
Verwandte Begriffe: Managed Hosting, Matomo, Nextcloud
FAQHäufige Fragen zu Auftragsverarbeitung
Brauche ich einen AVV mit meinem Webhoster?
In der Regel ja, weil der Hoster personenbezogene Daten deiner Besucher verarbeitet, mindestens IP-Adressen in Server-Logs, oft auch Formulardaten. Die meisten Hoster stellen einen Standardvertrag bereit, den du im Kundenkonto abschließen kannst. Prüf dabei, ob Serverstandort und Subunternehmer genannt sind.
Was ist der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit?
Bei der Auftragsverarbeitung handelt der Dienstleister nur nach deiner Weisung und verfolgt keine eigenen Zwecke. Bei gemeinsamer Verantwortlichkeit entscheiden beide Seiten zusammen über Zweck und Mittel der Verarbeitung und brauchen eine eigene Vereinbarung nach Art. 26 DSGVO. Welche Konstellation vorliegt, klärst du im Zweifel mit dem Datenschutzbeauftragten.
Ist ein IT-Dienstleister mit Fernwartung ein Auftragsverarbeiter?
Meist ja, wenn er bei der Wartung auf Systeme mit personenbezogenen Daten zugreifen kann, und bei Servern, E-Mail oder Fachanwendungen ist das fast immer so. Deshalb gehört zur IT-Betreuung ein AVV mit den technischen und organisatorischen Maßnahmen des Dienstleisters. Bei Kanzleien und Praxen kommt die Verpflichtung zur Verschwiegenheit dazu.