Auftragsverarbeitungsvertrag (AVV)

Ein AVV ist ein rechtlich vorgeschriebener Vertrag nach Art. 28 DSGVO zwischen einem Unternehmen (Verantwortlicher) und seinem Dienstleister (Auftragsverarbeiter), der regelt, wie personenbezogene Daten verarbeitet werden dürfen. Ohne AVV drohen Bußgelder bis zu €20 Millionen.

Was ist ein Auftragsverarbeitungsvertrag?

Der Auftragsverarbeitungsvertrag (AVV, auch Auftragsverarbeitungsvereinbarung oder englisch Data Processing Agreement/DPA genannt) ist ein zentrales Instrument der DSGVO. Er regelt die Rechte und Pflichten zwischen dem Verantwortlichen (im Sinne der DSGVO-konformen Messaging-Anforderungen) (Ihr Unternehmen, das die Datenverarbeitung bestimmt) und dem Auftragsverarbeiter (der Dienstleister, der Daten in Ihrem Auftrag verarbeitet – z. B. SendSeven).

Art. 28 Abs. 3 DSGVO schreibt vor, dass die Auftragsverarbeitung durch einen Vertrag oder ein anderes Rechtsinstrument geregelt sein muss, der/das schriftlich (auch elektronisch) festlegt, was der Dienstleister tun darf und welche Sicherheitsmaßnahmen gelten. Der AVV ist also keine freiwillige Vereinbarung, sondern gesetzliche Pflicht. Fehlt er, verstoßen beide Parteien gegen die DSGVO – der Auftragsverarbeiter, weil er ohne Rechtsgrundlage Daten verarbeitet, und Sie als Verantwortlicher, weil Sie Ihre Kontrollpflichten verletzen.

Was muss ein AVV enthalten?

Art. 28 Abs. 3 DSGVO listet acht Mindestinhalte auf, die jeder AVV abdecken muss:

  1. Gegenstand und Dauer: Was wird verarbeitet (z. B. "Versand von WhatsApp-Nachrichten") und wie lange (z. B. "Laufzeit des Hauptvertrags").
  2. Art und Zweck: Welche Verarbeitungstätigkeiten finden statt (Speicherung, Übermittlung, Löschung) und warum (z. B. "Kundenkommunikation").
  3. Kategorien personenbezogener Daten: Welche Datenarten betroffen sind (Kontaktdaten, Chatverläufe, Metadaten).
  4. Kategorien betroffener Personen: Wessen Daten verarbeitet werden (Kunden, Interessenten, Mitarbeiter).
  5. Pflichten und Rechte des Verantwortlichen: Weisungsrecht, Kontrollrecht, Audit-Möglichkeiten.
  6. Weisungsgebundenheit: Der Auftragsverarbeiter darf Daten nur nach dokumentierten Weisungen verarbeiten (nicht eigenständig zu anderen Zwecken nutzen).
  7. Vertraulichkeit: Alle Mitarbeiter des Auftragsverarbeiters sind zur Vertraulichkeit verpflichtet.
  8. Technische und organisatorische Maßnahmen (TOMs): Welche Sicherheitsmaßnahmen gelten (Verschlüsselung, Zugriffskontrolle, Backups).

Zusätzlich regelt der AVV oft: Unterauftragsverarbeitung (darf der Dienstleister Sub-Dienstleister einsetzen?), Unterstützungspflichten (bei Betroffenenanfragen, Datenschutzverletzungen), Löschpflichten (nach Vertragsende), Audit-Rechte (dürfen Sie Kontrollen durchführen oder Zertifikate anfordern?).

Häufige Fehler und Risiken

Kein AVV abgeschlossen: Der klassische Fehler. Viele Unternehmen nutzen Cloud-Services, Newsletter-Tools oder CRM-Systeme, ohne je einen AVV unterschrieben zu haben. Das ist ein schwerer DSGVO-Verstoß – Aufsichtsbehörden können Bußgelder verhängen (bis €20 Mio. oder 4% des weltweiten Jahresumsatzes, je nachdem, was höher ist).

Unvollständige AVVs: Standardverträge, die die acht Pflichtinhalte nicht abdecken, sind unwirksam. Prüfen Sie, ob Ihr AVV konkret auf Ihren Use Case eingeht (nicht nur generische Floskeln).

Fehlende Unterauftragsverarbeiter-Liste: Wenn Ihr Dienstleister Sub-Dienstleister einsetzt (z. B. Cloud-Hosting), müssen diese im AVV genannt sein – oder Sie müssen generell zustimmen (mit Widerspruchsrecht bei Änderungen).

Keine Dokumentation: Der AVV muss schriftlich (auch elektronisch) vorliegen. Mündliche Absprachen oder "ist doch klar" gelten nicht.

Veraltete AVVs: Ändern sich Verarbeitungstätigkeiten (z. B. neuer Kanal wie Instagram), muss der AVV angepasst werden. Regelmäßige Reviews sind Pflicht.

AVV mit SendSeven

SendSeven bietet allen Kunden einen DSGVO-konformen Auftragsverarbeitungsvertrag, der alle Anforderungen von Art. 28 erfüllt. Sie erhalten den AVV direkt nach Registrierung im Dashboard zum Download – elektronische Signatur ist rechtlich wirksam.

Der SendSeven-AVV enthält:

  • Detaillierte Beschreibung der Verarbeitungstätigkeiten (Nachrichtenversand, Kontaktverwaltung, Analytics)
  • Liste aller Unterauftragsverarbeiter (z. B. Cloud-Provider in EU)
  • Technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO
  • Regelungen zu Datenlöschung, Audit-Rechten und Datenschutzverletzungen
  • Garantie: Alle Daten werden ausschließlich in EU-Rechenzentren verarbeitet (Frankfurt, Dublin)

Sie können den AVV jederzeit einsehen, ausdrucken oder Ihrer Rechtsabteilung zur Prüfung vorlegen. Bei Fragen oder Anpassungswünschen (z. B. zusätzliche Sicherheitsanforderungen) kontaktieren Sie unseren Datenschutzbeauftragten unter [email protected]. Mehr Informationen finden Sie unter /de/datenschutz.