Auftragsverarbeitungsvertrag: Wann Sie einen AVV brauchen und wo die Anbieter ihn bereitstellen

Einen Auftragsverarbeitungsvertrag brauchen Sie, sobald ein Dienstleister personenbezogene Daten weisungsgebunden für Ihre Zwecke verarbeitet — so verlangt es Artikel 28 der Datenschutz-Grundverordnung. In der Praxis liegt dieser Vertrag meist längst vor: Von acht geprüften Anbietern binden sieben ihn automatisch per Verweis ein. Nur bei Hetzner müssen Sie ihn selbst im Kundenkonto abschließen.

Rechtsstand am 5. September 2026 — eine verbreitete Falschmeldung vorweg: Der Digital Omnibus ändert Artikel 30 Absatz 5 der Datenschutz-Grundverordnung nicht. Die oft genannte Anhebung der Schwelle von 250 auf 750 Beschäftigte stammt aus einem anderen Paket, dem Omnibus IV. Beide sind nicht in Kraft; es gilt unverändert die Schwelle von 250 Beschäftigten. In Kraft ist seit Juli 2026 nur der Omnibus zur Künstlichen Intelligenz — der berührt die Datenschutz-Grundverordnung gar nicht. Dieser Beitrag ist allgemeine Information und ersetzt keine Rechtsberatung.

1. Wann Sie einen AVV brauchen — und wann nicht

Die verbreitete Faustregel lautet: Sobald ein Dienstleister personenbezogene Daten sieht, braucht es einen AVV. Diese Regel ist zu grob und führt regelmäßig in die Irre. Entscheidend ist nicht der Zugriff, sondern die Frage, wer über Zweck und Mittel der Verarbeitung entscheidet.

Artikel 28 Absatz 1 setzt das voraus: „Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt" (Quelle: konsolidierte Fassung der Verordnung auf EUR-Lex). Das Stichwort ist im Auftrag. Ein Dienstleister, der eigene berufliche Zwecke verfolgt, arbeitet nicht im Auftrag — auch wenn er dieselben Daten sieht.

Vier Rollen sind zu unterscheiden. Ordnen Sie jeden Dienstleister genau einer davon zu, dann beantwortet sich die AVV-Frage von selbst:

Ein Beispiel aus dem Alltag: Ihr Hoster speichert Ihre Kundendatenbank, entscheidet aber nicht, welche Kunden Sie erfassen und wofür. Er ist Auftragsverarbeiter. Ihr Steuerberater sieht dieselben Umsatzdaten, arbeitet dabei aber nach eigenen Berufspflichten und nicht nach Ihrer Weisung. Er ist eigenständig verantwortlich. Beide sehen personenbezogene Daten, nur einer bekommt einen AVV.

2. Was im AVV stehen muss: die Prüfliste aus Artikel 28

Zur Form zuerst, weil sich daran der hartnäckigste Irrtum festmacht. Artikel 28 Absatz 9 lautet: „Der Vertrag oder das andere Rechtsinstrument im Sinne der Absätze 3 und 4 ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann." Eine eigenhändige Unterschrift verlangt die Verordnung nicht. Ein per Verweis einbezogenes Dokument, eine Zustimmung im Kundenkonto oder ein elektronisch abgelegtes PDF genügen. Das ist keine Auslegung, das steht so im Normtext.

Inhaltlich verlangt Absatz 3 zuerst einen Rahmen und dann acht konkrete Zusagen. Die folgende Liste ist die Prüfliste, mit der Sie einen fremden Standardvertrag durchgehen können. Wir stellen bewusst kein Vertragsmuster zum Download bereit: Yagemi berät zur Technik und zum Betrieb, nicht zum Recht, und ein Muster ohne Kenntnis Ihres Falls wäre eine Scheinsicherheit. Was Sie hier bekommen, ist der Maßstab, an dem Sie das Dokument Ihres Anbieters messen.

Ein Detail zu Buchstabe g lohnt die Aufmerksamkeit, weil es in vielen Quellen fehlt: Die ursprüngliche deutsche Amtsblattfassung von 2016 enthielt an dieser Stelle einen Fehler. Erst die amtliche Berichtigung vom 23. Mai 2018 ergänzte die Worte „und die vorhandenen Kopien löscht". Wer die alte Fassung zitiert, unterschlägt damit die Pflicht, am Vertragsende auch die Sicherungskopien zu beseitigen. Zitieren Sie deshalb ausschließlich die konsolidierte Fassung.

3. Wo der AVV liegt: acht Anbieter im Vergleich

Hier liegt der praktische Kern dieses Beitrags. Wir haben am 5. September 2026 die Rechtstexte von acht Anbietern geprüft, die im Mittelstand besonders häufig im Einsatz sind. Nicht die Frage „gibt es einen AVV?" ist dabei interessant — den gibt es überall. Interessant ist: Müssen Sie etwas tun, damit er gilt?

Das Ergebnis ist eindeutig und für die Praxis wichtiger als jede Definition: Sieben der acht Anbieter binden ihren Vertrag automatisch per Verweis ein. Sie haben dort bereits einen AVV, ohne es zu wissen — und ohne dass irgendwo eine Unterschrift fehlt. Bei einem einzigen Anbieter ist das anders.

Hetzner ist der Ausreißer — und genau deshalb der Prüfungsfall

Hetzner formuliert es in der eigenen Dokumentation unmissverständlich: „Wir erstellen oder unterzeichnen keine individuellen AV-Verträge." Stattdessen gilt: „Den AV-Vertrag kannst du direkt in deinem Kundenaccount abschließen." Und zur Form: „Muss ich den AV-Vertrag unterschreiben? Nein. Eine handschriftliche Unterschrift ist nicht erforderlich. Dein Einverständnis erfolgt durch das Anklicken der Checkbox Ich stimme der Vereinbarung zu im Kundenaccount" (Quelle: Hetzner, Datenschutz).

Der Vertrag existiert also, er ist als Muster öffentlich abrufbar — aber ohne diesen Klick besteht er zwischen Ihnen und Hetzner nicht. Das ist kein theoretisches Risiko: Wer seit Jahren dort hostet und nie im Kundenkonto war, hat mit hoher Wahrscheinlichkeit keinen AV-Vertrag. Vor dem Abschluss legen Sie außerdem die Datenarten und Betroffenenkreise fest; mehrere Verträge nebeneinander sind möglich, etwa für getrennte Projekte. Welche Kriterien bei der Wahl des Hosters sonst noch zählen, haben wir im Webhosting-Vergleich für Unternehmen ausgeführt.

Google: „Für Google Ads brauchen Sie einen AVV" ist falsch

Diese Aussage steht in vielen Ratgebern und sogar in der KI-Antwort, die Google selbst über die Suchergebnisse legt. Sie trifft nicht zu. Google unterscheidet seine Werbeprodukte ausdrücklich in zwei Gruppen. Unter den Datenverarbeitungsbedingungen zwischen Verantwortlichen laufen „alle Google Ads-Programme und -Dienste, auf die Kunden über ihre Google Ads-Konten zugreifen können" — mit Ausnahme derjenigen, die gesondert gelistet sind. Für Google Ads als Werbeprodukt sind Sie und Google also getrennt Verantwortliche, nicht Auftraggeber und Auftragnehmer.

Ein AVV greift nur für die Dienste, die Google als Auftragsverarbeiterdienste führt. Dazu zählen unter anderem Google Analytics und Analytics 360, Google Tag Manager, Looker Studio, Campaign Manager 360, Display & Video 360, Search Ads 360, Ads Data Hub sowie die Ads-Teilfunktionen Kundenabgleich, Erweiterte Conversions und Ladenverkäufe über direkte Uploads (Quelle: Google, Dienste-Zuordnung der Datenverarbeitungsbedingungen).

Für diese Dienste gilt der Vertrag bei einem Unternehmenssitz im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz automatisch. Googles Hilfeseite sagt dazu, für diese Kunden sei eine gesonderte Annahme „nicht erforderlich, weil die Datenverarbeitungsbedingungen für Google Ads bereits Teil ihrer Vereinbarungen sind". Kunden außerhalb dieser Region „müssen die Datenverarbeitungsbedingungen für Google Ads in ihren Kontoeinstellungen akzeptieren". Zwei Nebenpunkte lohnen den Blick ins Konto: Die Kontaktdaten für den Datenschutz sind im Verwaltungsbereich zu hinterlegen. Und wenn ein Vertriebspartner Ihr Konto betreut, ist eine Zustimmung über die Analytics-Oberfläche nach Googles eigener Aussage „ungültig" — dann muss der Vertrag über den Partner laufen.

Zwei Details, die beim Ablegen zählen

Sprachfassungen laufen auseinander. Shopify liefert deutschen Besuchern eine Fassung mit dem Stand 25. Juli 2025, während die englische im selben Dokumentindex den 7. Juli 2026 trägt. Wenn Sie ein Stand-Datum in Ihrer Akte notieren, halten Sie fest, auf welche Sprachfassung es sich bezieht. Bei Brevo ist die Sache eindeutig geregelt: „Only the English language version of these Terms is binding."

Nicht jedes Dokument hat ein Datum. Das AWS-Datenschutzdokument trägt keine eigene Versionsangabe. Stellen Sie in diesem Fall auf das Datum der übergeordneten Service Terms ab — das sind der 1. September 2026 —, statt ein Datum zu erfinden, das im Dokument nicht steht.

4. Die Auftragsverarbeiter eines Mittelständlers

Wer die Frage abstrakt angeht, kommt nicht weit. Deshalb hier die Liste, die in unseren Projekten tatsächlich entsteht — neun Kategorien, in denen bei praktisch jedem mittelständischen Unternehmen Auftragsverarbeiter sitzen. Je Kategorie steht, wo der Vertrag üblicherweise liegt und welche Punkte darüber hinaus zu klären sind.

Vier dieser Kategorien sind durch eine Behördenaussage abgedeckt und damit unstrittig. Die Datenschutzkonferenz — das Gremium der deutschen Aufsichtsbehörden — zählt in ihrem Kurzpapier Nummer 13 ausdrücklich das „Outsourcing personenbezogener Datenverarbeitung im Rahmen von Cloud-Computing, ohne dass ein inhaltlicher Datenzugriff des Cloud-Betreibers erforderlich ist", die „Auslagerung der E-Mail-Verwaltung oder von sonstigen Datendiensten zu Webseiten", die „Auslagerung der Backup-Sicherheitsspeicherung und anderer Archivierungen" sowie die „Prüfung oder Wartung (z. B. Fernwartung, externer Support) automatisierter Verfahren" zur Auftragsverarbeitung.

Zwei Kategorien verdienen einen genaueren Blick. Bei Microsoft 365 ist der Vertrag zwar automatisch da, die eigentliche Arbeit liegt aber in den Anlagen: Speicherort der Daten, Umgang mit Telemetrie, Zugriffswege des Supports. Wie eine Einführung sauber aufgesetzt wird, beschreiben wir im Leitfaden zu Microsoft 365 im Unternehmen; die Migration selbst begleiten wir über unsere Beratung zu Microsoft-365-Migration und Lizenzen. Bei Newsletter-Werkzeugen ist die Vertragslage einfach, die Datenlage nicht: Öffnungs- und Klickdaten sind Verhaltensdaten, und inaktive Kontakte sammeln sich über Jahre an. Welche Werkzeuge sich wofür eignen, haben wir im Vergleich der Newsletter-Werkzeuge gegenübergestellt.

Ein Fall, der bei der AVV-Inventur leicht untergeht, ist die Kameraanlage. Die Datenschutzkonferenz stuft das Unternehmen, das eine Videoüberwachung wartet, in der Regel als Auftragsverarbeiter ein, soweit es dabei Aufnahmen verarbeitet — etwa beim Fernzugriff auf den Rekorder. Welche Unterlagen außerdem vor dem Einschalten fertig sein müssen, zeigt unser Beitrag zur Videoüberwachung am Arbeitsplatz nach DSGVO.

Eine Kategorie fehlt in dieser Tabelle bewusst: Werkzeuge mit Künstlicher Intelligenz. Die Rollenfrage stellt sich dort genauso, die Antworten hängen aber stark vom Kontotyp ab. Was bei Sprachmodellen zu beachten ist, haben wir im Beitrag zu ChatGPT und Datenschutz im Unternehmen gesondert behandelt.

5. Wer kein Auftragsverarbeiter ist — und was das bedeutet

Genauso wichtig wie die Liste der AVV-Fälle ist die Gegenliste. Wer einen Vertrag dort verlangt, wo keiner hingehört, verwirrt seinen Dienstleister und dokumentiert am Ende eine Rolle, die rechtlich nicht besteht.

Der Steuerberater: hier steht es im Gesetz

Dieser Fall ist der am härtesten belegte, weil er nicht auf einer Behördenmeinung beruht, sondern auf einem Paragrafen. § 11 Absatz 2 des Steuerberatungsgesetzes lautet seit Dezember 2019: Die Verarbeitung erfolgt „unter Beachtung der für sie geltenden Berufspflichten weisungsfrei"; die Berufsträger sind „bei Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche gemäß Artikel 4 Nummer 7" der Datenschutz-Grundverordnung (Quelle: § 11 StBerG).

Das Wort sämtlicher erledigt den früheren Streit um die Lohn- und Gehaltsbuchhaltung: Auch dafür ist der Steuerberater Verantwortlicher und nicht Auftragsverarbeiter. Achten Sie auf die Abgrenzung zur Lohnsoftware: Der Berater ist eigenständig verantwortlich, der Softwareanbieter, bei dem die Daten liegen, ist es nicht.

Rechtsanwälte, Banken und Postdienste

Für diese drei Fälle gibt es keine gesetzliche Regelung, aber eine ausdrückliche Aussage der Aufsichtsbehörden. Die Datenschutzkonferenz nennt in Anhang B ihres Kurzpapiers Nummer 13 als Beispiele für die „Inanspruchnahme fremder Fachleistungen bei einem eigenständig Verantwortlichen" unter anderem den „Berufsgeheimnisträger (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer)", das „Bankinstitut für den Geldtransfer" und den „Postdienst für den Brieftransport". Für Anwaltskanzleien kommt der Europäische Datenschutzausschuss in seinen Leitlinien 07/2020 zum selben Ergebnis.

Was wir hier bewusst nicht schreiben

Sie finden in vielen Ratgebern den Satz, Zahlungsdienstleister seien generell keine Auftragsverarbeiter. Diesen Satz übernehmen wir nicht. Die Datenschutzkonferenz nennt ausschließlich das Bankinstitut für den Geldtransfer — nicht Zahlungsdienstleister allgemein. Der Europäische Datenschutzausschuss hält in seinen Leitlinien 06/2020 zur Zahlungsdiensterichtlinie beide Rollen für denkbar. Eine belastbare Faustregel gibt es hier also nicht; maßgeblich ist, was der jeweilige Anbietervertrag zur Rolle sagt. Ebenso wenig behaupten wir, Paketdienste seien keine Auftragsverarbeiter: Ein wörtlicher Behördensatz dazu war nicht auffindbar.

Und drei Vorbehalte gehören zum Kurzpapier selbst dazu. Es stammt vom 17. Dezember 2018 und ist auf der Seite der Datenschutzkonferenz als „in Überarbeitung" gekennzeichnet. Es steht ausdrücklich unter dem Vorbehalt einer abweichenden Auslegung durch den Europäischen Datenschutzausschuss. Und Anhang B formuliert „in der Regel" — es sind Regelbeispiele, keine abschließende Liste. Das Bayerische Landesamt für Datenschutzaufsicht hat seinen eigenen Tätigkeitskatalog inzwischen zurückgezogen und stellt stattdessen auf die gesetzlichen Kriterien ab. Behandeln Sie die Berufsträger-Liste deshalb als Orientierung, nicht als Automatismus.

Kein AVV heißt nicht kein Datenschutz

Der wichtigste Satz dieses Abschnitts: Wenn kein AVV nötig ist, verschwindet die Prüfung nicht, sie wechselt nur die Norm. Die Datenschutzkonferenz stellt klar, dass für die Übermittlung an einen eigenständig Verantwortlichen eine Rechtsgrundlage nach Artikel 6 vorliegen muss. Aus „kein Vertrag nötig" wird also „andere Frage zu beantworten" — und die gehört genauso dokumentiert.

6. Sub-Auftragsverarbeiter und Drittlandtransfer

Mit dem Vertrag ist es nicht getan. Zwei Punkte hängen daran, die in der Prüfung regelmäßig als Erstes abgefragt werden.

Weitere Auftragsverarbeiter. Artikel 28 Absatz 2 ist eindeutig: Der Auftragsverarbeiter „nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch". In der Praxis arbeiten alle großen Anbieter mit einer allgemeinen Genehmigung. Dann greift die zweite Hälfte des Absatzes: Der Anbieter muss Sie „immer über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter" informieren, damit Sie Einspruch erheben können.

Daraus folgt eine konkrete Aufgabe, die fast immer liegen bleibt: Abonnieren Sie die Benachrichtigung über Änderungen der Unterauftragnehmer-Liste. Die meisten Anbieter bieten dafür eine eigene Seite oder einen Verteiler an. Ohne dieses Abonnement bekommen Sie die Änderung nicht mit und können auch nicht widersprechen — die Genehmigung, die Sie erteilt haben, läuft dann ins Leere. Nach Absatz 4 haftet der erste Auftragsverarbeiter Ihnen gegenüber für die Pflichten des hinzugezogenen; das ersetzt Ihre eigene Kontrolle aber nicht.

Drittlandtransfer. Fünf der acht geprüften Anbieter sind US-Unternehmen. Für Übermittlungen in die Vereinigten Staaten ist der Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 maßgeblich, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Stand 5. September 2026 gilt dieser Beschluss: Die Übersichtsseite der Europäischen Kommission führt die Vereinigten Staaten weiterhin unter den Ländern mit Angemessenheitsbeschluss, beschränkt auf Organisationen, die am Data Privacy Framework teilnehmen. Eine geänderte Fassung des Beschlusses existiert nicht; die erste periodische Überprüfung wurde am 9. Oktober 2024 veröffentlicht.

Für Sie heißt das zweierlei. Erstens: Prüfen Sie, ob Ihr konkreter Anbieter zertifiziert ist — der Beschluss gilt nicht pauschal für alle US-Firmen, sondern nur für die Teilnehmer. Zweitens: Notieren Sie sich, dass diese Grundlage politisch beweglich ist. Anbieter wie Klaviyo halten deshalb zusätzlich Standardvertragsklauseln bereit, die im Vertrag als unterzeichnet gelten. Diese doppelte Absicherung ist kein Misstrauen, sondern Vorsorge für den Fall, dass der Beschluss einmal wegfällt.

Ein Anbieter, der in dieser Prüfung besonders häufig auftaucht, ist Cloudflare: Sobald der Dienst als Schutzschicht vor einem Onlineshop liegt, verarbeitet er jede Besucher-Anfrage samt IP-Adresse — der Vertrag kommt dort mit der Registrierung zustande, die Zertifizierung ist zu prüfen, und die Datenschutzerklärung braucht einen eigenen Abschnitt. Wie diese Prüfung Schritt für Schritt aussieht, zeigt unser Beitrag Cloudflare und DSGVO.

7. Wie AVV und Verarbeitungsverzeichnis zusammenhängen

Beide Dokumente entstehen aus derselben Bestandsaufnahme, und genau deshalb sollten Sie sie zusammen anlegen. Ihre AVV-Liste sagt, mit wem Sie arbeiten. Das Verarbeitungsverzeichnis nach Artikel 30 sagt, was Sie verarbeiten und wozu. Wer beides getrennt pflegt, pflegt am Ende keines von beidem — das ist die häufigste Beobachtung aus unseren Projekten.

Zur oft gestellten Frage, ob kleine Unternehmen das Verzeichnis überhaupt brauchen. Artikel 30 Absatz 5 in der berichtigten Fassung lautet: Die Pflichten „gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1" beziehungsweise von Daten über strafrechtliche Verurteilungen.

Auf die Verknüpfung kommt es an: Die drei Bedingungen nach „es sei denn" sind Ausschlussgründe, und sie sind mit „oder" verbunden. Trifft schon einer zu, entfällt die Befreiung. Wer laufend Kunden- und Bestelldaten verarbeitet, verarbeitet nicht nur gelegentlich. In der Praxis bedeutet das: Für Handel, Handwerk und Dienstleistung greift die 250er-Ausnahme faktisch fast nie. Das folgt direkt aus dem Wortlaut und ist keine strenge Auslegung.

Ein Hinweis zur Zitierfalle: Die ursprüngliche deutsche Amtsblattfassung enthielt hier eine sinnentstellende Doppelverneinung („sofern … nicht"), die 2016 amtlich berichtigt wurde. Wer die alte Fassung zitiert, dreht die Regel um. Nutzen Sie ausschließlich die konsolidierte Fassung.

8. Was der Digital Omnibus daran ändert: nichts

Seit Ende 2025 kursiert die Erwartung, die Schwelle des Artikels 30 werde bald von 250 auf 750 Beschäftigte angehoben, und der Digital Omnibus bringe das mit sich. Beides zusammen ergibt eine Aussage, die in zwei Punkten nicht stimmt.

Erstens: Der Digital Omnibus fasst Artikel 30 gar nicht an. Der Vorschlag der Kommission vom 19. November 2025 ändert an der Datenschutz-Grundverordnung die Artikel 4, 5, 9, 12, 13, 22, 33, 35, 57, 64 und 70 sowie einen neuen Artikel 41a. Artikel 30 kommt im Änderungsartikel nicht vor.

Zweitens: Die 750er-Schwelle steht in einem anderen Paket. Sie stammt aus dem Omnibus-IV-Vorschlag vom 21. Mai 2025. Und beide Vorhaben stecken am 5. September 2026 im Gesetzgebungsverfahren: Der Digital Omnibus steht in der Verfahrensakte des Europäischen Parlaments auf „Awaiting committee decision", Omnibus IV auf „Awaiting Parliament's position in 1st reading". Keines von beiden ist geltendes Recht.

Die Verwirrung hat eine nachvollziehbare Ursache: Im Juli 2026 ist tatsächlich ein Omnibus in Kraft getreten, die Verordnung (EU) 2026/1744. Sie betrifft aber ausschließlich die Verordnung über Künstliche Intelligenz und lässt die Datenschutz-Grundverordnung unberührt. Wenn Sie also lesen, „seit dem Omnibus gilt …", prüfen Sie, welcher gemeint ist.

Was das für Ihre Planung bedeutet, ist angenehm einfach: Rechnen Sie mit der geltenden Rechtslage. Und selbst wenn die Anhebung käme, änderte sie an Ihrer AVV-Pflicht nichts — Artikel 28 ist von keinem der beiden Vorhaben betroffen. Die Schwelle betrifft allein das Verzeichnis.

Eine ähnliche Verwechslung gibt es beim Datenschutzbeauftragten. Bund und Länder haben angekündigt, die Benennungspflicht ab 20 Personen aus § 38 BDSG zu streichen; einen Gesetzentwurf gab es am 25. September 2026 noch nicht. Selbst wenn die Pflicht fällt, bleiben AVV und Verarbeitungsverzeichnis unverändert Ihre Aufgabe. Was genau angekündigt ist und welche Projekte die Pflicht schon heute unabhängig von der Größe auslösen, zeigt der Beitrag Datenschutzbeauftragter: Pflicht heute, Reform angekündigt.

9. Was fehlt, wenn der AVV fehlt

Zur Einordnung des Bußgeldrahmens, weil er häufig falsch zitiert wird. Verstöße gegen Artikel 28 fallen unter Artikel 83 Absatz 4 Buchstabe a. Dort heißt es, es würden „Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist". Der Buchstabe a erfasst „die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39" — Artikel 28 und Artikel 30 liegen beide in dieser Spanne.

Der oft genannte höhere Rahmen von 20 Millionen Euro oder vier Prozent steht in Absatz 5 und gilt für andere Verstöße, etwa gegen die Grundsätze der Artikel 5 bis 7 oder gegen die Betroffenenrechte. Wer die beiden Rahmen vermischt, übertreibt — was der Sache nicht hilft.

Wichtiger als die Zahl ist ohnehin die Prüfungspraxis. Der fehlende AVV ist einer der wenigen Punkte, die eine Aufsichtsbehörde ohne jede Ermittlungsarbeit feststellen kann: Sie fragt nach dem Dokument, und es ist da oder nicht. Kommt es zu einer Datenpanne beim Dienstleister, steht zusätzlich die Frage im Raum, ob Sie ihn nach Artikel 28 Absatz 1 sorgfältig ausgewählt haben — und die beantwortet sich nur mit einer Dokumentation, die vor dem Vorfall entstanden ist.

10. Die AVV-Inventur in fünf Schritten

Für ein mittelständisches Unternehmen mit den üblichen zwanzig bis vierzig Diensten ist das ein Vormittag Arbeit, wenn man in der richtigen Reihenfolge vorgeht. Der häufigste Fehler ist der Start bei der Vertragssuche statt bei der Bestandsaufnahme:

1. Alle Werkzeuge auflisten, die Daten sehen: Nehmen Sie die Liste nicht aus dem Kopf, sondern aus drei Quellen: den Rechnungen der letzten zwölf Monate, den Anmeldungen in Ihrem Passwortverwalter und den eingebundenen Diensten Ihrer Website. Fast jede Inventur bringt an dieser Stelle zwei bis drei Dienste zutage, an die niemand mehr gedacht hat.
2. Je Dienst die Rolle bestimmen: Fragen Sie für jeden Eintrag: Arbeitet dieser Dienstleister nach unserer Weisung oder nach eigenen Regeln? Weisungsgebunden bedeutet AVV. Eigenständig verantwortlich bedeutet: kein AVV, aber eine Rechtsgrundlage für die Übermittlung. Diese Trennung erspart Ihnen später die Suche nach Verträgen, die es gar nicht geben kann.
3. Den vorhandenen AVV holen, nicht suchen lassen: Bei sieben der acht geprüften Anbieter liegt der Vertrag längst vor. Laden Sie das Dokument als PDF herunter, statt nur die Adresse zu notieren. Anbieter aktualisieren ihre Fassungen, und im Streitfall zählt die Fassung, die zum Zeitpunkt der Verarbeitung galt.
4. Die aktiven Fälle abarbeiten: Bei jedem Dienst, der einen aktiven Abschluss verlangt, gehen Sie ins Kundenkonto und schließen ihn ab. Bei Hetzner sind vorher die Datenarten und Betroffenenkreise festzulegen. Bei Google hinterlegen Sie zusätzlich die Kontaktdaten für den Datenschutz im Verwaltungsbereich, auch wenn der Vertrag automatisch gilt.
5. Ablegen, wo eine Prüfung sie findet: Ein Ordner, ein Eintrag je Dienstleister, Dateiname mit Anbieter und Fassungsdatum, dazu eine Übersichtstabelle mit Rolle, Fundstelle, Abschlussdatum und Wiedervorlage. Dieselbe Tabelle speist Ihr Verarbeitungsverzeichnis. Wer beides getrennt pflegt, pflegt am Ende keines von beidem.

Zur Ablage noch ein Wort, weil sie in der Prüfung über den Eindruck entscheidet. Eine Aufsichtsbehörde fragt selten nach einem einzelnen Vertrag; sie fragt nach der Übersicht. Wer eine gepflegte Tabelle vorlegt, in der jeder Dienstleister mit Rolle, Fundstelle und Fassungsdatum steht, beantwortet die Frage in zwei Minuten. Wer stattdessen anfängt, in Postfächern zu suchen, hat die eigentliche Auskunft schon gegeben.

Setzen Sie sich außerdem eine jährliche Wiedervorlage. Anbieter aktualisieren ihre Fassungen: Von den acht geprüften Dokumenten stammen zwei aus 2026, vier aus 2025 und eines aus 2024. Ein einmal abgelegtes PDF veraltet also verlässlich.

Alle Normzitate stammen aus der konsolidierten, amtlich berichtigten Fassung der Datenschutz-Grundverordnung auf EUR-Lex (öffnet in neuem Tab). Die Anbieterangaben wurden am 5. September 2026 in den jeweiligen Originaldokumenten nachgelesen; Anbieter ändern ihre Fassungen, prüfen Sie das Stand-Datum vor der Ablage. Die vollständige Quellenliste finden Sie am Ende des Beitrags.

11. Fazit: prüfen statt unterschreiben

Der Auftragsverarbeitungsvertrag hat einen Ruf als bürokratische Hürde, den er in der Praxis nicht verdient. Bei sieben von acht geprüften Anbietern liegt er längst vor, ohne dass Sie etwas tun mussten. Die eigentliche Arbeit besteht deshalb nicht im Abschließen, sondern im Wissen, was man hat — und im Erkennen der wenigen Fälle, in denen tatsächlich eine Handlung nötig ist.

Drei Dinge nehmen Sie aus diesem Beitrag mit. Erstens: Prüfen Sie Ihr Hetzner-Kundenkonto, wenn Sie dort hosten. Das ist der eine belegte Fall, in dem ohne Ihren Klick kein Vertrag besteht. Zweitens: Trennen Sie sauber zwischen Auftragsverarbeitern und eigenständig Verantwortlichen — beim Steuerberater steht die Antwort im Gesetz. Drittens: Legen Sie die Dokumente so ab, dass eine Prüfung sie findet, und verknüpfen Sie die Liste mit Ihrem Verarbeitungsverzeichnis.

Was Sie nicht brauchen, ist ein weiteres Vertragsmuster. Die Verträge sind da; es fehlt fast immer nur die Übersicht. Wenn Sie diese Bestandsaufnahme nicht allein machen möchten: Wir gehen die eingesetzten Systeme mit Ihnen durch, ordnen jedes einer Rolle zu und halten fest, wo der jeweilige Vertrag liegt — technisch und betrieblich, für die rechtliche Bewertung im Einzelfall arbeiten wir mit Ihrer Kanzlei oder Ihrem Datenschutzbeauftragten zusammen. Für die Systeme selbst finden Sie den Einstieg bei unserer Beratung zu Webhosting und Serverbetrieb und bei der Klaviyo-Beratung für E-Mail-Marketing.

Hinweis: Dieser Artikel ist allgemeine Information und ersetzt keine Rechtsberatung. Alle Normzitate stammen aus der konsolidierten, amtlich berichtigten Fassung der Datenschutz-Grundverordnung und geben den Stand vom 5. September 2026 wieder. Die Angaben zu den acht Anbietern beruhen auf deren eigenen Dokumenten, abgerufen am selben Tag; das jeweilige Stand-Datum steht in der Tabelle. Anbieter ändern ihre Bedingungen laufend. Die Einordnung einzelner Dienstleister als Auftragsverarbeiter oder eigenständig Verantwortliche ist eine Frage des Einzelfalls. Für Ihren konkreten Fall ziehen Sie bitte die verlinkten Originalquellen, Ihre zuständige Aufsichtsbehörde, Ihren Datenschutzbeauftragten oder eine rechtliche Beratung heran.

12. Häufige Fragen zum Auftragsverarbeitungsvertrag

Wann braucht man einen Auftragsverarbeitungsvertrag?

Sobald ein Dienstleister personenbezogene Daten weisungsgebunden für Ihre Zwecke verarbeitet. Artikel 28 Absatz 3 der Datenschutz-Grundverordnung verlangt dafür einen Vertrag oder ein anderes Rechtsinstrument. Typische Fälle sind Hosting, Cloud-Software, Newsletter-Werkzeuge, Backup-Dienste und Fernwartung. Entscheidend ist nicht der Zugriff allein, sondern wer über Zweck und Mittel der Verarbeitung entscheidet.

Wann ist kein AV-Vertrag notwendig?

Wenn der Dienstleister eigenständig verantwortlich ist, also nicht nach Ihrer Weisung, sondern nach eigenen beruflichen oder gesetzlichen Pflichten arbeitet. Für Steuerberater steht das seit 2019 im Gesetz. Auch bei gemeinsamer Verantwortlichkeit nach Artikel 26 liegt keine Auftragsverarbeitung vor. Statt eines AVV brauchen Sie dann eine Rechtsgrundlage für die Übermittlung.

Muss ein Auftragsverarbeitungsvertrag unterschrieben werden?

Nein. Artikel 28 Absatz 9 verlangt Schriftlichkeit, ausdrücklich auch in einem elektronischen Format. Eine eigenhändige Unterschrift ist nicht nötig. Das bestätigt die Praxis: Kein einziger der acht geprüften Anbieter verlangt eine Unterschrift. Hetzner schreibt es sogar ausdrücklich und lässt stattdessen eine Checkbox im Kundenkonto genügen.

Wer erstellt den Auftragsverarbeitungsvertrag?

In der Praxis fast immer der Dienstleister. Sieben der acht geprüften Anbieter stellen einen Standardvertrag bereit und binden ihn per Verweis in ihre Bedingungen ein. Ihre Aufgabe als Verantwortlicher ist daher selten das Schreiben, sondern das Prüfen: Deckt der Vertrag alle Punkte des Artikels 28 ab, und liegt er Ihnen vor?

Brauche ich für Microsoft 365 einen AVV?

Ja, und Sie haben ihn bereits. Das Microsoft Data Protection Addendum in der Fassung vom 22. Mai 2026 wird nach eigener Formulierung durch Bezugnahme in die Produktbestimmungen und andere Microsoft-Verträge aufgenommen. Sie müssen nichts abschließen, sollten das Dokument aber herunterladen und mit Stand-Datum in Ihrer Datenschutzakte ablegen.

Was sind typische Auftragsverarbeiter?

Die Datenschutzkonferenz nennt in ihrem Kurzpapier Nummer 13 unter anderem Cloud-Computing ohne inhaltlichen Datenzugriff des Anbieters, die Auslagerung von E-Mail- und Webseiten-Datendiensten, die Auslagerung der Backup-Speicherung sowie Fernwartung und externen Support, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann.

Ist der Steuerberater ein Auftragsverarbeiter?

Nein. Paragraf 11 Absatz 2 des Steuerberatungsgesetzes stellt das seit 2019 ausdrücklich klar: Steuerberater verarbeiten weisungsfrei und sind bei sämtlichen personenbezogenen Daten ihrer Mandanten selbst Verantwortliche. Das Wort sämtlicher schließt die Lohn- und Gehaltsbuchhaltung ein. Hier ist also kein AVV zu schließen, sondern eine Rechtsgrundlage für die Übermittlung zu prüfen.

Was passiert, wenn der AVV fehlt?

Ein Verstoß gegen Artikel 28 fällt nach Artikel 83 Absatz 4 Buchstabe a in den Rahmen bis zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Praktisch wichtiger: Ohne AVV fehlt der Verarbeitung die vertragliche Grundlage, und die Aufsichtsbehörde sieht das in jeder Prüfung sofort.

Ändert der Digital Omnibus etwas am AVV?

Nein. Der Digital Omnibus vom November 2025 berührt Artikel 28 und Artikel 30 der Datenschutz-Grundverordnung nicht und liegt am 5. September 2026 noch im Gesetzgebungsverfahren. Die viel zitierte Anhebung der Schwelle von 250 auf 750 Beschäftigte stammt aus dem Omnibus-IV-Paket und ist ebenfalls kein geltendes Recht.

13. Quellen & offizielle Informationen

Die Angaben in diesem Beitrag stützen sich auf die folgenden Quellen. Alle wurden am 5. September 2026 abgerufen und im Volltext gegengelesen. Externe Quellen öffnen in einem neuen Tab.

• EUR-Lex — Datenschutz-Grundverordnung (EU) 2016/679, konsolidierte Fassung — Primärquelle für sämtliche Normzitate dieses Beitrags: Artikel 28 Absätze 1 bis 4 und Absatz 9, Artikel 30 Absatz 5 sowie Artikel 83 Absatz 4 Buchstabe a. Diese Fassung enthält die amtlichen Berichtigungen und ist für Zitate maßgeblich.
• EUR-Lex — Berichtigung der Verordnung (EU) 2016/679, Amtsblatt L 127/2 vom 23. Mai 2018 — Beleg dafür, dass der Zusatz „und die vorhandenen Kopien löscht" in Artikel 28 Absatz 3 Buchstabe g erst durch die Berichtigung eingefügt wurde.
• EUR-Lex — Berichtigung der Verordnung (EU) 2016/679, Amtsblatt L 314/72 vom 22. November 2016 — Beleg für die Korrektur der Doppelverneinung in Artikel 30 Absatz 5 in die heute geltende Fassung mit „es sei denn".
• § 11 Steuerberatungsgesetz — Verarbeitung personenbezogener Daten — Primärquelle (Gesetz) für die weisungsfreie Verarbeitung und die Einordnung von Steuerberatern als Verantwortliche bei sämtlichen Mandantendaten.
• Datenschutzkonferenz — Kurzpapier Nr. 13 „Auftragsverarbeitung, Art. 28 DS-GVO", Stand 17. Dezember 2018 (PDF) — Anhang A mit den Beispielen für Auftragsverarbeitung (Cloud-Computing, E-Mail- und Webseiten-Datendienste, Backup-Auslagerung, Fernwartung), Anhang B mit den Beispielen für eigenständig Verantwortliche und Anhang C zur gemeinsamen Verantwortlichkeit. Quellenvermerk gemäß Nutzungsbedingungen: Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder (Datenschutzkonferenz). Datenlizenz Deutschland – Namensnennung – Version 2.0 (www.govdata.de/dl-de/by-2-0).
• Europäischer Datenschutzausschuss — Leitlinien 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter", Version 2.0 (PDF) — Beleg für die Einordnung von Anwaltskanzleien als Verantwortliche.
• Durchführungsbeschluss (EU) 2023/1795 vom 10. Juli 2023 — Angemessenheit des Schutzniveaus nach dem Datenschutzrahmen EU-USA — Rechtsgrundlage für Übermittlungen an zertifizierte US-Organisationen, Amtsblatt L 231/118 vom 20. September 2023.
• Europäische Kommission — Übersicht der Angemessenheitsbeschlüsse — Beleg dafür, dass die Vereinigten Staaten am 5. September 2026 weiterhin gelistet sind, beschränkt auf Organisationen im EU-US Data Privacy Framework.
• Hetzner — Datenschutz und Auftragsverarbeitung — Beleg für den aktiven Abschluss im Kundenkonto per Checkbox und dafür, dass keine individuellen AV-Verträge geschlossen werden. Der Vertragstext selbst liegt als Muster im PDF-Format vor, Version 1.1 vom 10. Februar 2025.
• Microsoft — Datenschutznachtrag für Produkte und Services (DPA), Stand 22. Mai 2026 — Beleg für die automatische Einbeziehung durch Bezugnahme in die Produktbestimmungen.
• Google — Datenverarbeitungsbedingungen für Werbeprodukte: Zuordnung der Dienste — Primärquelle für die Trennung zwischen Verantwortlichendiensten (darunter Google Ads) und Auftragsverarbeiterdiensten (darunter Analytics, Tag Manager, Kundenabgleich, Erweiterte Conversions). Ergänzend die Google-Hilfe zur Annahme der Datenverarbeitungsbedingungen für die Sonderfälle EWR, Neukonten und Vertriebspartner sowie die Ads Data Processing Terms in Version 8.0.
• Amazon Web Services — Service Terms, Stand 1. September 2026 — Ziffer 1.14.1 bindet das Datenschutzdokument automatisch ein. Das Dokument selbst (PDF) trägt kein eigenes Versionsdatum.
• Klaviyo — Data Processing Agreement, Stand 17. Dezember 2025, Mailchimp — Data Processing Addendum, wirksam ab 26. September 2024 und Brevo — Terms of Service mit dem Datenschutzvertrag als Anhang 3, Fassung vom 1. Oktober 2025 — Belege für die automatische Einbeziehung bei den drei geprüften Newsletter-Anbietern.
• Shopify — Data Processing Addendum, deutsche Auslieferung mit Stand 25. Juli 2025 — Beleg für die Aufnahme durch Verweis in die Geschäftsbedingungen und für die abweichenden Stände der Sprachfassungen.