AVV (Auftragsverarbeitungsvertrag)

Ein Auftragsverarbeitungsvertrag, kurz AVV, ist der Vertrag, den Sie mit einem Dienstleister schließen, wenn dieser in Ihrem Auftrag personenbezogene Daten verarbeitet. Artikel 28 DSGVO verlangt dafür einen Vertrag oder ein anderes Rechtsinstrument. Darin steht unter anderem, dass der Dienstleister die Daten nur nach Ihrer dokumentierten Weisung verarbeitet.

Stand: 13.10.2026. Dieser Eintrag erklärt Begriffe und Pflichten und ersetzt keine Rechtsberatung.

Was steht in einem AVV?

Artikel 28 Absatz 3 DSGVO nennt die Mindestinhalte. Der Vertrag muss unter anderem Folgendes regeln:

Der Verantwortliche darf außerdem nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete Maßnahmen bieten (Artikel 28 Absatz 1).

Wer braucht einen AVV?

Einen AVV brauchen Sie, wenn Sie als Unternehmen Daten verantworten und ein Dienstleister sie in Ihrem Auftrag verarbeitet. Ob ein Dienstleister im Einzelfall tatsächlich Auftragsverarbeiter ist, hängt von seiner Rolle ab und lässt sich nicht pauschal beantworten. Klären Sie das mit Ihrer Datenschutz- oder Rechtsberatung.

Beispiel aus dem Betriebsalltag

Dieses Beispiel ist ein gedachter Ablauf, kein Kundenfall. Ein Betrieb lässt ein Kundenportal von einem Dienstleister betreiben. Im Portal liegen Namen, Adressen und Aufträge der Kunden, die der Dienstleister auf seinen Servern speichert und einsehen kann. In einem solchen Fall liegt Auftragsverarbeitung nahe. Der Betrieb schließt einen AVV, der festhält, welche Daten betroffen sind, wie sie geschützt werden und was am Ende mit ihnen geschieht.

Welche Folgen hat ein fehlender AVV?

Die DSGVO sieht für Verstöße gegen Pflichten von Verantwortlichen und Auftragsverarbeitern Geldbußen bis 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Artikel 83 Absatz 4). Ob und in welcher Höhe eine Behörde im Einzelfall eine Geldbuße verhängt, lässt sich daraus nicht ableiten.

Wann ist der AVV für Ihren Betrieb wichtig?

Wichtig ist der AVV immer dann, wenn Sie Software, Portale, KI-Dienste oder Telefonassistenten einsetzen, bei denen Dritte mit Ihren Kundendaten arbeiten. Für Übermittlungen in Drittländer gelten zusätzliche Regeln (Artikel 44 ff. DSGVO), die Sie je Dienst prüfen.

So hält es Konfektor: Für jedes Projekt wird ein AVV geschlossen. Soll ein Dienst außerhalb der EU eingesetzt werden, stimmt Konfektor das vorher mit Ihnen ab. Zum Zusammenspiel mit KI beachten Sie die Beiträge KI und Datenschutz, KI-Telefonassistent, RAG System erklärt und Arztpraxis digitalisieren. Den Rahmen erklärt der Eintrag DSGVO.