Auftragsverarbeitungsvertrag (AVV)
Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag, kurz AVV, regelt die Verarbeitung personenbezogener Daten durch einen externen Dienstleister nach dokumentierten Weisungen des verantwortlichen Unternehmens. Artikel 28 DSGVO verlangt diesen Vertrag, wenn ein Auftragsverarbeiter Daten im Auftrag verarbeitet. Der AVV definiert Aufgaben, Schutzmaßnahmen, Kontrollrechte, Unterauftragnehmer und den Umgang mit Daten nach Vertragsende.
Ein Auftragsverarbeitungsvertrag konkretisiert, wie ein Dienstleister personenbezogene Daten für ein anderes Unternehmen verarbeiten darf. Die englische Bezeichnung lautet Data Processing Agreement. Maßgeblich ist nicht die Bezeichnung des Hauptvertrags, sondern die tatsächliche Rollenverteilung: Entscheidet dein Unternehmen über Zweck und wesentliche Mittel der Verarbeitung, bleibt es Verantwortlicher. Der weisungsgebundene Dienstleister ist Auftragsverarbeiter.
Wann ist ein Auftragsverarbeitungsvertrag nötig?
Ein Auftragsverarbeitungsvertrag ist nach Artikel 28 DSGVO erforderlich, sobald ein externer Anbieter personenbezogene Daten im Auftrag verarbeitet. Typische Anwendungsfälle sind Hosting, Cloud-Speicher, Newsletter-Versand, Support-Systeme, Lohnabrechnung und bestimmte Analytics-Dienste. Auch ein zeitlich begrenzter Zugriff kann ausreichen, etwa wenn eine Agentur Nutzerkonten, Serverprotokolle oder Kundendaten analysiert.
Für die Einordnung sind drei Fragen ausschlaggebend:
Ein häufiger Denkfehler besteht darin, jeden externen Datenempfänger automatisch als Auftragsverarbeiter einzustufen. Verarbeitet ein Empfänger Daten für eigene Zwecke und in eigener Verantwortung, liegt regelmäßig keine Auftragsverarbeitung vor. Bestimmen zwei Parteien Zweck und Mittel gemeinsam, kann stattdessen eine Vereinbarung über gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO erforderlich sein.
Pflichtinhalte eines AVV
Artikel 28 Absatz 3 DSGVO gibt den Mindestinhalt eines Auftragsverarbeitungsvertrags vor. Eine allgemeine Verschwiegenheitsklausel reicht dafür nicht aus. Der Vertrag muss die konkrete Verarbeitung so beschreiben, dass Verantwortlichkeiten, Weisungswege und Kontrollmöglichkeiten nachvollziehbar sind.
| Vertragsbestandteil | Was geregelt werden muss |
|---|---|
| Gegenstand und Dauer | Leistung, Beginn, Laufzeit und Ende der Verarbeitung |
| Art und Zweck | Verarbeitungsschritte und geschäftlicher Zweck des Auftrags |
| Daten und Personen | Arten personenbezogener Daten und Kategorien betroffener Personen |
| Weisungen | Form, Dokumentation und Zuständigkeit für Anweisungen |
| Vertraulichkeit | Verpflichtung der zugriffsberechtigten Personen auf Vertraulichkeit |
| Sicherheitsmaßnahmen | Technische und organisatorische Maßnahmen nach Artikel 32 DSGVO |
| Unterauftragnehmer | Genehmigung, Information und mögliche Einwände bei weiteren Dienstleistern |
| Unterstützung | Hilfe bei Betroffenenrechten, Datenschutzverletzungen und Prüfpflichten |
| Vertragsende | Rückgabe oder Löschung der Daten und vorhandener Kopien |
| Kontrollen | Nachweise, Informationsrechte und Audits des Verantwortlichen |
Ein Auftragsverarbeitungsvertrag darf elektronisch geschlossen werden. Eine handschriftliche Unterschrift auf Papier ist nicht zwingend. Entscheidend ist, dass die Vereinbarung nachweisbar abgeschlossen wurde und ihr Inhalt dauerhaft dokumentiert bleibt.
Analytics im Auftragsverarbeitungsvertrag
Bei Analytics muss zuerst geprüft werden, ob personenbezogene Daten anfallen und welche Rolle der Anbieter übernimmt. IP-Adressen, Cookie-Kennungen, Geräteinformationen, Nutzer-IDs oder mit Konten verknüpfte Ereignisdaten können einen Personenbezug herstellen. Vollständig anonymisierte und nicht rückführbare Statistikdaten fallen dagegen nicht unter die Vorgaben für personenbezogene Daten.
Ein Analytics-Anbieter kann Auftragsverarbeiter sein, wenn er Messdaten nach den Vorgaben des Website-Betreibers erhebt und ausschließlich für dessen Analysezwecke verarbeitet. Nutzt der Anbieter die Daten zusätzlich für eigene Zwecke, muss die Rollenverteilung gesondert geprüft werden. Die bloße Überschrift eines Vertrags entscheidet diese Frage nicht.
Für Marketing-Verantwortliche bedeutet das: Der AVV gehört in dieselbe Bestandsaufnahme wie eingesetzte Tags, Cookies, Datenziele und Einwilligungsmechanismen. Ein SEO-Reporting kann beispielsweise auf aggregierten Kennzahlen beruhen, während die zugrunde liegende Analytics-Plattform personenbezogene Kennungen verarbeitet. Maßgeblich ist daher der Datenfluss vor der Aggregation.
Relevanz für SEO, SEA und GEO
Im SEO entstehen mögliche Auftragsverarbeitungen unter anderem beim Zugriff auf Serverprotokolle, Content-Systeme, Nutzerkonten oder Formulardaten. Erhält eine Agentur ausschließlich fertige, anonymisierte Kennzahlen, kann die Einordnung anders ausfallen als bei direktem Zugriff auf Rohdaten. Jeder Verarbeitungsvorgang muss deshalb einzeln betrachtet werden.
Im SEA können Werbekonten, Conversion-Daten, Zielgruppenlisten und importierte Kundendaten betroffen sein. Bei der Zusammenarbeit mit einer Google-Ads-Agentur sollte der Leistungsumfang klar festhalten, welche Daten zugänglich sind, wer Weisungen erteilen darf und ob weitere technische Anbieter eingebunden werden.
Bei GEO, ausgeschrieben Generative Engine Optimization, entstehen zusätzliche Prüfbereiche, wenn Anfragen, Markenanalysen oder Kundendaten an KI-Dienste übermittelt werden. Ein Auftragsverarbeitungsvertrag beantwortet dabei nur die Frage der weisungsgebundenen Verarbeitung. Zulässigkeit, Datenminimierung, Speicherfristen und mögliche Übermittlungen in Drittländer müssen zusätzlich bewertet werden.
AVV und verwandte Vereinbarungen
Der Unterschied zwischen einem Auftragsverarbeitungsvertrag und einer Vertraulichkeitsvereinbarung liegt im Regelungsumfang. Eine Vertraulichkeitsvereinbarung verpflichtet Parteien zum Schutz vertraulicher Informationen. Ein AVV enthält zusätzlich die gesetzlichen Vorgaben für personenbezogene Daten, darunter Weisungsbindung, Sicherheitsmaßnahmen, Unterstützungspflichten und Kontrollrechte.
Der Unterschied zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit liegt in der Entscheidungsmacht. Ein Auftragsverarbeiter handelt im Rahmen fremder Zwecke und dokumentierter Weisungen. Gemeinsam Verantwortliche legen Zwecke und wesentliche Mittel zusammen fest und benötigen grundsätzlich eine Vereinbarung nach Artikel 26 DSGVO.
Ein Auftragsverarbeitungsvertrag ist außerdem kein ausreichender Nachweis für eine Datenübermittlung in ein Drittland. Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, braucht das Unternehmen zusätzlich einen zulässigen Übermittlungsmechanismus und gegebenenfalls eine Bewertung des Schutzniveaus.
Auftragsverarbeitungsvertrag richtig prüfen
Die Prüfung eines AVV beginnt vor dem ersten produktiven Datenaustausch. Verantwortliche sollten nicht nur kontrollieren, ob ein Vertragsdokument vorhanden ist. Entscheidend ist, ob Vertrag, technische Konfiguration und tatsächlicher Datenfluss übereinstimmen. Eine Klausel zur Löschung hilft beispielsweise wenig, wenn Backups unbegrenzt gespeichert werden oder Löschfristen technisch nicht umgesetzt sind.
Im Agenturalltag liegt der häufigste Abstimmungsbedarf an den Schnittstellen: Der Hauptvertrag beschreibt eine Analyseleistung, der AVV nennt jedoch andere Datenarten oder veraltete Unterauftragnehmer. Eine saubere Leistungsbeschreibung und eine dokumentierte Datenschutzprüfung sollten deshalb gemeinsam aktualisiert werden. Bei komplexen Prozessen kann ein strukturiertes Digital-Consulting die technische Bestandsaufnahme unterstützen. Die rechtliche Bewertung gehört in fachkundige juristische Hände.
Häufige Fragen zum AVV
Wer muss den Auftragsverarbeitungsvertrag erstellen?
Beide Vertragsparteien müssen sicherstellen, dass eine wirksame Vereinbarung besteht. In der Praxis stellt häufig der Auftragsverarbeiter ein Vertragsmuster bereit. Der Verantwortliche muss trotzdem prüfen, ob das Muster den konkreten Auftrag und die tatsächlichen Datenflüsse korrekt abbildet.
Wann muss ein AVV abgeschlossen werden?
Der AVV sollte vor Beginn der Verarbeitung personenbezogener Daten abgeschlossen sein. Ein nachträglicher Vertrag beseitigt nicht automatisch mögliche Versäumnisse aus dem vorherigen Zeitraum.
Braucht jede Agentur einen AVV?
Eine Agentur benötigt einen AVV, wenn sie personenbezogene Daten weisungsgebunden für den Kunden verarbeitet. Verarbeitet die Agentur keine personenbezogenen Daten oder handelt sie für einen bestimmten Vorgang eigenverantwortlich, kann eine andere Einordnung gelten.
Muss ein AVV unterschrieben werden?
Ein AVV kann schriftlich oder in einem elektronischen Format abgeschlossen werden. Eine Unterschrift auf Papier ist nicht zwingend, wenn der elektronische Abschluss und die vereinbarten Inhalte zuverlässig nachweisbar sind.
Was sind technische und organisatorische Maßnahmen?
Technische und organisatorische Maßnahmen beschreiben, wie personenbezogene Daten geschützt werden. Dazu können Zugriffskontrollen, Verschlüsselung, Datensicherungen, Berechtigungskonzepte, Wiederherstellungsverfahren und regelmäßige Wirksamkeitsprüfungen gehören.
Was passiert mit den Daten nach Vertragsende?
Nach Abschluss der Leistung muss der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen grundsätzlich löschen oder zurückgeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der AVV sollte auch Backups und vorhandene Kopien erfassen.
Reicht ein AVV für Analytics aus?
Nein. Ein AVV regelt die Datenverarbeitung zwischen Unternehmen und Analytics-Anbieter. Zusätzlich müssen eine geeignete Rechtsgrundlage, erforderliche Einwilligungen, transparente Nutzerinformationen und mögliche Drittlandübermittlungen geprüft werden.
Du möchtest Datenflüsse in SEO, SEA oder GEO technisch erfassen und Zuständigkeiten sauber abgrenzen? Ein unverbindliches Erstgespräch kann den konkreten Analysebedarf klären.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
