Auftragsverarbeitungsvertrag
Der Auftragsverarbeitungsvertrag regelt nach Art. 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Er ist Pflicht, nicht Kür.
Was ist ein Auftragsverarbeitungsvertrag?
Der Auftragsverarbeitungsvertrag, kurz AVV, regelt das Verhältnis zwischen einem Unternehmen und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet.
Grundlage ist Artikel 28 der Datenschutz-Grundverordnung. Der Abschluss ist verpflichtend, nicht optional — und das Fehlen ist ein eigenständiger Verstoß, unabhängig davon, ob mit den Daten etwas passiert ist.
Wann er gebraucht wird
Immer, wenn ein Dienstleister personenbezogene Daten nach Weisung verarbeitet und nicht selbst über Zweck und Mittel entscheidet. Typische Fälle:
- CRM, E-Mail-Versand, Ticketsysteme
- Cloud-Speicher und Server
- Lohnabrechnung, soweit als Auftragsverarbeitung ausgestaltet
- Webanalyse und Marketingwerkzeuge
- Externe IT-Betreuung mit Zugriff auf Systeme
Kein AVV ist nötig, wenn der Dienstleister eigenverantwortlich entscheidet — etwa Steuerberatung und Rechtsberatung im Rahmen ihrer Berufspflichten. Diese Abgrenzung ist im Einzelfall zu prüfen und wird oft pauschal falsch gemacht.
Was drinstehen muss
Artikel 28 Absatz 3 nennt den Pflichtinhalt:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Art der Daten und Kategorien betroffener Personen
- Weisungsbindung des Auftragsverarbeiters
- Vertraulichkeitsverpflichtung der eingesetzten Personen
- Technische und organisatorische Maßnahmen
- Regelung zu weiteren Auftragsverarbeitern
- Unterstützung bei Betroffenenrechten
- Unterstützung bei Meldepflichten und Folgenabschätzung
- Löschung oder Rückgabe nach Ende der Leistung
- Nachweis- und Prüfrechte
Die Punkte, die tatsächlich verhandelt werden
Die meisten Anbieter stellen einen Standardvertrag bereit, der die Pflichtpunkte abdeckt. Drei Stellen lohnen trotzdem einen Blick:
- Weitere Auftragsverarbeiter: Wer wird eingesetzt, wird über Wechsel informiert, besteht ein Widerspruchsrecht?
- Ort der Verarbeitung: Bei Verarbeitung außerhalb der EU braucht es eine zusätzliche Grundlage, etwa Standardvertragsklauseln.
- Löschung nach Vertragsende: Innerhalb welcher Frist, und wie wird sie bestätigt?
Warum es in einer Finanzierung auftaucht
In der rechtlichen Prüfung gehört Datenschutz zum Standardumfang. Gefragt wird nach dem Verzeichnis der Verarbeitungstätigkeiten, den AVV mit allen Dienstleistern und der Regelung für Datenübermittlungen in Drittländer.
Fehlende AVV sind ein häufiger Befund. Sie sind nachholbar, aber sie erzeugen genau den Eindruck, den man in dieser Phase vermeiden will: dass Pflichten erst beachtet werden, wenn jemand fragt.
Typische Fehler
- Kein Verzeichnis der Dienstleister. Wer nicht weiß, wer Daten verarbeitet, kann keine Verträge führen.
- AVV nicht abschließen, weil der Anbieter klein ist. Die Pflicht hängt nicht an der Größe.
- Drittlandsfrage übersehen. Ein AVV allein reicht bei Verarbeitung außerhalb der EU nicht.
- Werkzeuge ohne Prüfung einführen. Jedes neue System bringt die Frage erneut mit.
- Nach Vertragsende nichts tun. Die Löschung gehört angefordert und dokumentiert.
Häufige Fragen
Brauche ich einen mit meiner Steuerkanzlei?
In der Regel nicht, weil sie als eigenverantwortliche Stelle tätig wird. Bei reinen Buchhaltungsdienstleistungen kann es anders liegen — das gehört geprüft, nicht angenommen.
Reicht der Standardvertrag des Anbieters?
Meist ja. Er gehört trotzdem gelesen, vor allem bei weiteren Auftragsverarbeitern und dem Ort der Verarbeitung.
Was passiert ohne AVV?
Es liegt ein Verstoß vor, der als solcher mit einem Bußgeld belegt werden kann — auch ohne Datenpanne.
Roemer Capital Perspektive
Wir nehmen die Datenschutzunterlagen in die Vorbereitungsliste für den Datenraum auf: Verzeichnis der Verarbeitungstätigkeiten, Liste der Dienstleister, AVV je Dienstleister. Das ist an einem halben Tag erledigt, wenn es früh geschieht. Mitten in der Prüfung ist es ein Befund, der nicht wichtig aussieht und trotzdem Zeit und Vertrauen kostet.
Egal, ob du deinen Pitch verfeinerst, deine Fundraising-Strategie planst oder dein Unternehmen skalierst: Wir helfen dir gerne weiter.
Artikel recherchiert und geschrieben von:
Dienstleistungen, die wir anbieten
Als Gründer oder Geschäftsführer stehst du vor der Herausforderung, Investoren von deiner Vision zu überzeugen. Genau hier kommen wir ins Spiel. Roemer Capital macht dein Unternehmen fit für das Fundraising: mit einer klaren Strategie, aussagekräftigen Finanzmodellen und einer professionellen Investorenstory sowie dem Zugang zu den richtigen Investoren.
Professionellen Businessplan erstellen
Wir erstellen umfassende Geschäftspläne für Investoren, die Vision, Strategie und finanzielle Zukunft klar zum Ausdruck bringen.
Fractional CFO für dein Wachstumsunternehmen
Wir machen dein Startup investierbar und steuerbar durch Growth Consulting das strategische Weitsicht mit technischer CFO Exzellenz vereint
Fundraising Support bei Finanzierungsrunden
Vom Geschäftsplan über das Pitchdeck bis hin zur Kontaktaufnahme mit Investoren helfen wir, die Finanzierung in jeder Phase deiner Geschäftsreise zu sichern.
M&A-Beratung bei Verkauf und Nachfolge
Roemer Capital begleitet dich dabei, dein Startup oder dein etabliertes Unternehmen strukturell und finanziell auf den optimalen Verkaufszeitpunkt vorzubereiten.