Wann brauche ich einen Vertrag zur Auftragsverarbeitung?

Hinweis: Das ist ein praktischer Überblick mit Stand Oktober 2026 und keine Rechtsberatung. Bei ungewöhnlichen Konstellationen oder eigenen Vertragsentwürfen frag eine Anwältin, einen Anwalt oder eine Datenschutzberatung.

Worum es geht

Fast kein Unternehmen verarbeitet Daten nur auf eigenen Rechnern. Die Website liegt beim Hoster, die E-Mails bei einem Mail-Anbieter, die Kontakte im CRM, die Termine in einem Buchungstool. All diese Dienstleister verarbeiten personenbezogene Daten deiner Kunden, aber in deinem Auftrag und für deine Zwecke. Die DSGVO nennt das Auftragsverarbeitung.

Art. 28 DSGVO verlangt dafür einen Vertrag, den Vertrag zur Auftragsverarbeitung, kurz AVV. Im Englischen heißt er meist Data Processing Agreement oder Data Processing Addendum, kurz DPA. Er regelt, dass der Dienstleister die Daten nur nach deinen Weisungen nutzt und angemessen schützt.

Wichtig: Du bleibst der Verantwortliche. Wenn beim Dienstleister etwas schiefgeht, musst du zeigen können, dass du ihn sorgfältig ausgewählt und vertraglich gebunden hast. Ein fehlender AVV ist selbst ein Verstoß, für den die DSGVO in Art. 83 Abs. 4 einen eigenen Bußgeldrahmen vorsieht. In der Praxis fällt das oft erst auf, wenn eine Beschwerde oder Datenpanne kommt.

1 Auftragsverarbeitung erkennen

Drei Fragen helfen dir bei der Einordnung:

1. Verarbeitet der Dienstleister personenbezogene Daten? Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Nachrichten. Ein Dienstleister, der nie Zugriff auf solche Daten hat, braucht keinen AVV.
2. Tut er das für deinen Zweck und nach deinen Vorgaben? Der Hoster speichert deine Website, weil du das willst. Er entscheidet nicht selbst, was mit den Daten passiert.
3. Arbeitet er eigenverantwortlich mit eigenem Zweck? Dann ist er in der Regel selbst Verantwortlicher, und ein AVV passt nicht. Das gilt etwa für Berufsgeheimnisträger wie Steuerberatung oder Anwälte.

Die Tabelle zeigt die üblichen Einordnungen für Selbstständige und kleine Unternehmen.

Dienstleister	AVV nötig?	Warum
Hoster, Webspace, Server	ja	speichert Website, Formulardaten und Logfiles
E-Mail-Anbieter, Office-Paket in der Cloud	ja	speichert deine gesamte Korrespondenz
Newsletter-Tool	ja	verwaltet Adressen und Öffnungsdaten
CRM	ja	speichert Kontakte, Anfragen, Notizen
Cloud-Speicher	ja, wenn dort Kundendaten liegen	speichert Dokumente
Online-Terminbuchung	ja	speichert Namen, Kontaktdaten und Termine
Analyse-Tools wie Google Analytics	ja	verarbeitet Nutzungsdaten für deine Auswertung
Automations-Tools und KI-Dienste in der Cloud	ja	bewegen und verarbeiten Daten in deinem Auftrag
Webdesigner oder IT-Dienstleister mit Zugriff auf Daten	in der Regel ja	sieht bei Wartung Formulardaten oder Kundenkonten
Steuerberatung, Anwaltskanzlei	in der Regel nein	arbeitet eigenverantwortlich
Bank, Zahlungsdienst	in der Regel nein	verarbeitet für eigene Zwecke und Pflichten
Post, Paketdienst	nein	transportiert nur

Ein Sonderfall sind Unternehmensseiten in sozialen Netzwerken. Dort sieht die Rechtsprechung oft eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO, für die eine andere Vereinbarung gilt. Die großen Plattformen stellen dafür eigene Zusätze bereit.

2 Was in einem AVV stehen muss

Art. 28 Abs. 3 DSGVO legt den Mindestinhalt fest. Du musst den Vertrag nicht selbst schreiben, solltest aber wissen, worauf du beim Lesen achtest:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck, die Art der Daten und die Gruppen von Betroffenen, etwa „Interessenten und Kunden“
• Weisungsbindung: Der Dienstleister verarbeitet nur auf deine dokumentierte Weisung.
• Vertraulichkeit der Mitarbeitenden, die Zugriff haben
• Technische und organisatorische Maßnahmen nach Art. 32, also wie die Daten geschützt werden, etwa Verschlüsselung, Zugriffskontrollen, Backups
• Unterauftragsverarbeiter: Weitere Dienstleister darf er nur mit deiner Genehmigung einsetzen. Meist bekommst du eine Liste und ein Widerspruchsrecht bei Änderungen.
• Unterstützung bei Anfragen von Betroffenen, bei Datenpannen und bei Datenschutz-Folgenabschätzungen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweise und Kontrollen: Der Dienstleister stellt Informationen bereit und ermöglicht Überprüfungen.

Der AVV muss nach Art. 28 Abs. 9 schriftlich vorliegen, das elektronische Format reicht. Ein online akzeptierter Vertrag, den du als PDF ablegst, ist also üblich und in Ordnung.

Achte auf den Serverstandort

Sitzt der Dienstleister außerhalb der EU oder nutzt er Unterauftragnehmer dort, braucht die Übermittlung eine eigene Grundlage. Für zertifizierte US-Unternehmen ist das seit Juli 2023 das EU-US Data Privacy Framework, ein Angemessenheitsbeschluss der EU-Kommission. Ein Rechtsmittel dagegen ist Stand Oktober 2026 beim Europäischen Gerichtshof anhängig. Viele Anbieter vereinbaren zusätzlich Standardvertragsklauseln der EU. Wo es eine gute Wahl in der EU gibt, macht sie dir das Leben leichter. Worauf du beim Hoster achtest, steht unter Welches Hosting brauche ich für meine Website.

3 So schließt du deine AVVs ab

1. Liste aller Dienstleister erstellen: Nimm die Bestandsaufnahme aus deiner Datenschutzerklärung und ergänze interne Tools wie Buchhaltung, Cloud-Speicher und Chat.
2. Einordnen: Markiere mit der Tabelle oben, wo ein AVV nötig ist.
3. Beim Anbieter suchen: Such im Kundenkonto oder in der Hilfe nach „Auftragsverarbeitung“, „AVV“ oder „DPA“. Bei vielen deutschen Hostern schließt du den Vertrag im Kundenbereich online ab, oft unter einem Punkt wie Verträge oder Datenschutz.
4. Bei großen US-Anbietern: Der DPA ist dort oft Teil der Nutzungsbedingungen oder wird in der Verwaltungsoberfläche einmal bestätigt. Bei Google Workspace findest du ihn in der Admin-Konsole unter den Einstellungen zu Rechtlichem und Compliance, bei Google Analytics in den Kontoeinstellungen als Zusatz zur Datenverarbeitung.
5. Bei kleinen Dienstleistern: Freelancer oder kleine Agenturen haben oft keine Vorlage. Frag danach. Viele Kammern, Verbände und Aufsichtsbehörden stellen Muster bereit, die ihr gemeinsam ausfüllt.
6. Ablegen: Speichere jeden AVV als PDF mit Datum in einem Ordner, etwa „Datenschutz / AVV“. Notiere in einer Tabelle Anbieter, Datum, Serverstandort und Link zur Liste der Unterauftragnehmer.
7. Datenschutzerklärung abgleichen: Jeder Auftragsverarbeiter, der Daten von Website-Besuchern bekommt, gehört dort als Empfänger hinein.

Beispiel: Eine Coachin in Köln nutzt einen deutschen Hoster, E-Mail über ein Cloud-Office-Paket, ein Newsletter-Tool, eine Online-Terminbuchung und eine Steuerberaterin. Sie braucht vier AVVs: Hoster, E-Mail, Newsletter und Terminbuchung. Mit der Steuerberaterin braucht sie keinen, weil diese eigenverantwortlich arbeitet. Drei der vier Verträge schließt sie online im Kundenkonto ab, für den vierten schreibt sie dem Support.

Rechenbeispiel zum Zeitaufwand

Bei sechs Dienstleistern rechnest du pro Anbieter mit etwa zehn Minuten: Vertrag finden, lesen, bestätigen, ablegen. Das sind rund eine Stunde. Dazu kommen 30 Minuten für die Übersichtstabelle. Muss ein kleiner Dienstleister den Vertrag erst erstellen, verlängert sich das um die Wartezeit, nicht um deine Arbeitszeit.

4 Wenn du selbst Auftragsverarbeiter bist

Die Rolle kann sich auch umdrehen. Pflegst du als Agentur die Website eines Kunden mit Zugriff auf seine Formulardaten, betreust du als virtuelle Assistenz sein CRM oder verschickst du als Freelancer seinen Newsletter, verarbeitest du Daten in seinem Auftrag. Dann bist du der Auftragsverarbeiter, und dein Kunde braucht einen AVV mit dir.

Für Dienstleister ist ein eigener, sauberer AVV deshalb ein Qualitätsmerkmal. Kunden mit eigener Datenschutzorganisation fragen oft schon im Angebot danach. Halte dafür eine Vorlage bereit und eine Liste deiner eigenen Unterauftragnehmer, etwa deinen Hoster oder dein Projekttool. Wie du Zugänge dabei sicher teilst, steht unter Wie übergebe ich Zugänge sicher.

Häufige Fehler und wie du sie vermeidest

• AVV mit der Steuerberatung verlangen: Das passt in der Regel nicht, weil sie eigenverantwortlich arbeitet.
• Kleine Tools vergessen: Formular-Dienste, Chat-Widgets, Automations-Tools und KI-Dienste werden bei der Bestandsaufnahme gern übersehen.
• Akzeptiert, aber nicht abgelegt: Wenn du den Vertrag nicht findest, kannst du ihn im Ernstfall nicht nachweisen.
• Unterauftragnehmer nie angesehen: Ein EU-Anbieter kann für einzelne Funktionen Dienste aus den USA nutzen.
• AVV ersetzt keine Prüfung: Ein Vertrag mit einem unseriösen Anbieter macht den Anbieter nicht seriös. Achte auf Serverstandort, Sicherheit und Ruf.
• Altverträge mit Privacy Shield: Verweist ein älterer Vertrag noch auf das 2020 gekippte Abkommen, ist er veraltet. Frag nach der aktuellen Fassung.

Kosten und Zeitaufwand

Bei den meisten Anbietern ist der AVV kostenlos und Teil des Vertrags. Kosten entstehen nur, wenn du einen individuellen Vertrag von einer Kanzlei entwerfen oder prüfen lässt, etwa als Agentur mit vielen Kunden. Das liegt je nach Umfang meist im niedrigen bis mittleren dreistelligen Bereich.

Für die erste Bestandsaufnahme mit allen Verträgen planst du ein bis zwei Stunden ein. Danach reicht es, bei jedem neuen Tool zehn Minuten für den AVV einzurechnen und die Liste einmal im Jahr durchzusehen.

Woran du erkennst, dass du vollständig bist

• Du hast eine Liste aller Dienstleister, die personenbezogene Daten verarbeiten.
• Für jeden Auftragsverarbeiter liegt ein AVV als PDF mit Datum vor.
• Du kennst für jeden Anbieter den Serverstandort und die Übermittlungsgrundlage bei Drittländern.
• Die Liste der Unterauftragnehmer ist verlinkt oder abgelegt.
• Die Datenschutzerklärung nennt alle Auftragsverarbeiter, die Website-Daten bekommen.
• Neue Tools gehen erst mit AVV in Betrieb.
• Bist du selbst Auftragsverarbeiter, hast du eine eigene AVV-Vorlage für deine Kunden.

Häufige Folgefragen

Muss ein AVV unterschrieben sein?

Er muss schriftlich vorliegen, das elektronische Format reicht. Ein online akzeptierter Vertrag, den du als PDF ablegst, genügt in der Regel.

Brauche ich einen AVV mit meinem Webdesigner?

Wenn er bei Pflege oder Wartung Zugriff auf personenbezogene Daten hat, etwa auf Formulareingänge oder Kundenkonten, in der Regel ja. Baut er nur die Seite ohne Datenzugriff, eher nicht.

Was passiert, wenn ich keinen AVV habe?

Dann fehlt dir der Nachweis, dass du den Dienstleister rechtlich gebunden hast. Das ist ein eigener Verstoß gegen die DSGVO. Schließe fehlende Verträge nach, sobald du es bemerkst.

Gilt das auch für meine Automationen mit Make oder n8n?

Ja, wenn die Tools in der Cloud laufen und dabei personenbezogene Daten verarbeiten. Bei selbst betriebenem n8n auf eigenem Server ist der Hoster dieses Servers der Auftragsverarbeiter. Mehr dazu unter n8n oder Make.

Was ist der Unterschied zur gemeinsamen Verantwortlichkeit?

Bei der Auftragsverarbeitung entscheidest du allein über die Zwecke. Bei der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO entscheiden zwei Partner gemeinsam, etwa bei Unternehmensseiten in sozialen Netzwerken. Dafür gibt es eine eigene Vereinbarung.

Wie quik dabei hilft

Verarbeiten wir bei einem Projekt personenbezogene Daten in deinem Auftrag, schließen wir vor Beginn einen Vertrag nach Art. 28 DSGVO. Bei unseren Automationen prüfen wir für jedes Tool die Auftragsverarbeitung, setzen auf Hosting in der EU, wo es möglich ist, und Kundendaten werden nicht zum Training von KI-Modellen genutzt. Wie das in der Praxis aussieht, zeigen Was bringt ein CRM mit Automationen und unsere Leistung AI & CRM Automationen.