AVV — Auftragsverarbeitungsvertrag
Ein AVV (Auftragsverarbeitungsvertrag) ist der Vertrag, mit dem ein Verantwortlicher und ein Dienstleister die Verarbeitung personenbezogener Daten im Auftrag regeln. Er legt Gegenstand und Zweck fest, bindet den Dienstleister an Weisungen und verpflichtet ihn zu Vertraulichkeit, angemessenen Maßnahmen, geregeltem Einsatz von Unterauftragnehmern sowie zu Rückgabe oder Löschung am Ende.
Aktualisiert am: 19.08.2026
Wann ein AVV nötig ist
Immer dann, wenn ein Dienstleister personenbezogene Daten für Sie und nach Ihren Weisungen verarbeitet — Hosting, Rechenzentrum, Lohnabrechnungssoftware, Wartungszugriff auf Ihre Systeme. Kein AVV nötig ist bei Dienstleistern, die eigene Zwecke verfolgen, etwa Steuerberatung oder Rechtsberatung.
Was in der Praxis geprüft wird
Die Anlage mit den Maßnahmen und die Liste der Unterauftragnehmer. Beide veralten schnell. Wer beim Dienstleister keine aktuelle Fassung anfordert, hat einen Vertrag, der die tatsächliche Lage nicht abbildet — im Prüffall dasselbe Ergebnis wie kein Vertrag. Der Vorgang gehört in die Lieferantensteuerung.
Wo das im Mandat vorkommt
Bestandsaufnahme der Dienstleister und Prüfung der Verträge sind Teil des Datenschutz-Audits; laufend halte ich die Übersicht als externer Datenschutzbeauftragter nach.
Häufige Frage
Reicht der Standardvertrag des Anbieters?
Meist ja als Grundlage, aber er ist zu prüfen: Weisungsrechte, Unterauftragnehmer, Ort der Verarbeitung und Löschregelungen weichen zwischen Anbietern deutlich ab. Entscheidend ist, ob die beschriebenen Maßnahmen zu Ihrem Schutzbedarf passen.