Auftragsverarbeitungsvertrag prüfen: Was schaut sich ein Datenschutzbeauftragter zuerst an?

Das Wichtigste in Kürze

• Art. 28 Abs. 3 DSGVO verlangt fünf Rahmenangaben plus acht Pflichten des Auftragsverarbeiters in den Buchstaben a bis h. Wer einen Auftragsverarbeitungsvertrag prüfen will, beginnt mit dieser Liste, denn sie ist häufiger unvollständig, als man 2026 erwarten würde.
• Ein fehlender oder nicht kontrollierter Auftragsverarbeiter ist bußgeldbewehrt. Der BfDI verhängte 2025 gegen Vodafone insgesamt 45 Millionen Euro, davon 15 Millionen Euro allein wegen unzureichender Prüfung und Überwachung von Partneragenturen nach Art. 28 Abs. 1 S. 1 DSGVO.
• Subdienstleister sind der kritischste Teil. Nach Art. 28 Abs. 4 DSGVO müssen dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden, und der erste Auftragsverarbeiter haftet Ihnen gegenüber für dessen Versäumnisse.
• Eine vertragliche Haftungsbeschränkung wirkt nur zwischen den Vertragsparteien. Nach Art. 82 Abs. 4 DSGVO haftet gegenüber der betroffenen Person jeder Beteiligte für den gesamten Schaden.
• Ob ein nicht ideal verhandelter Auftragsverarbeitungsvertrag akzeptabel ist, entscheidet die Geschäftsführung, nicht der Datenschutzbeauftragte. Der DSB berät und bewertet nach Art. 39 Abs. 1 lit. a DSGVO; die Risikoentscheidung trägt die Leitung.

Was prüfen Sie an einem Auftragsverarbeitungsvertrag zuerst?

Die Vollständigkeit der Mindestinhalte nach Art. 28 Abs. 3 DSGVO. Das klingt banal, ist aber der Punkt, an dem in der Praxis die meisten Verträge durchfallen.

Die erste Frage in jeder Prüfung ist deshalb immer dieselbe: Sind überhaupt alle Mindestinhalte enthalten, die die DSGVO vorgibt? Man könnte annehmen, dass sich diese Frage 2026 erledigt hat, weil sich ein sauberer Vertragsentwurf inzwischen in Minuten erzeugen lässt. In der Prüfpraxis ist das weiterhin nicht der Fall.

Art. 28 Abs. 3 Satz 1 verlangt zunächst fünf Rahmenangaben: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Satz 2 listet dann acht konkrete Pflichten des Auftragsverarbeiters. Die folgende Tabelle zeigt, worauf Sie bei jeder einzelnen achten sollten.

Ein verbreiteter Irrtum: Weil der Anbieter den Vertrag stellt, sei er geprüft. Das Gegenteil ist der Fall. Art. 24 Abs. 1 DSGVO legt die Nachweispflicht beim Verantwortlichen ab, also bei Ihnen. Und Art. 28 Abs. 1 DSGVO verlangt von Ihnen aktiv, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien bieten.

Wie teuer das Ignorieren dieser Pflicht werden kann, zeigt der bislang höchste deutsche Bußgeldfall. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit verhängte 2025 gegen die Vodafone GmbH Geldbußen von insgesamt 45 Millionen Euro. 15 Millionen Euro davon entfielen ausschließlich darauf, dass für Vodafone tätige Partneragenturen datenschutzrechtlich nicht ausreichend überprüft und überwacht worden waren, ein Verstoß gegen Art. 28 Abs. 1 S. 1 DSGVO. Die Bußgelder wurden akzeptiert und vollständig gezahlt, wie sich <a href="https://www.bfdi.bund.de/SharedDocs/Pressemitteilungen/DE/2025/06_Geldbu%C3%9Fe-Vodafone.html" target="_blank" rel="noopener noreferrer">der Pressemitteilung der Behörde</a> entnehmen lässt.

Der Fall ist deshalb lehrreich, weil er nicht an einem fehlenden Vertrag hing, sondern an fehlender Kontrolle. Wo Art. 28 im Gesamtgefüge der Verordnung steht und welche Pflichten daneben gelten, ordnet unser kompletter DSGVO-Leitfaden für Unternehmen ein.

Warum sind die Subdienstleister der kritischste Teil eines AVV?

Weil dort die Daten tatsächlich landen und weil die Kette selten dort endet, wo der Vertrag aufhört.

Der Schwerpunkt jeder ernsthaften Prüfung liegt deshalb bei den Subdienstleistern. Kaum ein Anbieter erbringt sein Produkt heute noch allein; in der Verarbeitungskette hängen weitere Dienstleister, die dieselben Daten verarbeiten. Zwei Fragen entscheiden dabei alles: Welche Daten gehen an diese Dienstleister und wo liegen diese Daten?

Rechtlich hängen daran zwei Absätze. Art. 28 Abs. 2 DSGVO verlangt eine vorherige gesonderte oder allgemeine schriftliche Genehmigung. Wer mit einer allgemeinen Genehmigung arbeitet, was in der Praxis der Regelfall ist, muss über jede beabsichtigte Änderung informiert werden und ein Einspruchsrecht behalten. Genau dieses Informations- und Einspruchsrecht wird in Anbieterverträgen gern wegdefiniert. Art. 28 Abs. 4 DSGVO verlangt dann, dass dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auferlegt werden; kommt er ihnen nicht nach, haftet der erste Auftragsverarbeiter Ihnen gegenüber.

Prüfen Sie deshalb drei Dinge: die aktuelle Subdienstleisterliste, den Verarbeitungsort je Subdienstleister und den Mechanismus, mit dem Sie über Änderungen erfahren. Ein Newsletter, den niemand abonniert hat, ist kein Mechanismus. Die Kette selbst gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten, sonst können Sie bei einer Betroffenenanfrage nicht sagen, wo die Daten liegen.

Der zweite verbreitete Irrtum betrifft das EU-Hosting. Viele Teams sehen einen Vertrag mit der irischen Tochtergesellschaft eines US-Anbieters, lesen „Daten werden in der EU gehostet“ und beenden die Prüfung an dieser Stelle. Auf diesem Umstand sollten Sie sich nicht ausruhen. Hinter der Tochtergesellschaft steht die US-Muttergesellschaft, und US-Recht kann den Zugriff auf Daten ermöglichen, die diese Tochter in der EU verarbeitet.

Diese Einschätzung ist nicht neu und nicht exotisch. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte haben bereits in ihrer gemeinsamen Antwort an den LIBE-Ausschuss vom 10. Juli 2019 festgehalten, dass US-Herausgabeanordnungen nach dem CLOUD Act für sich genommen keine zulässige Rechtsgrundlage für eine Übermittlung darstellen. Der Vertrag mit der EU-Tochter ist also ein Vorteil, aber kein Abschluss der Prüfung. Wann daraus eine eigene Transferfolgenabschätzung wird, ist ein Thema für sich und nicht Gegenstand dieses Beitrags.

Welche Klauseln sind zugunsten des Anbieters formuliert?

Am häufigsten Vertragsstrafen für Verstöße gegen den AVV und Haftungsbeschränkungen. Beide sind nicht per se unzulässig, aber beide gehören in eine zweistufige Prüfung.

In Anbieterverträgen sind die Mindestinhalte oft zwar vorhanden, aber zugunsten des jeweiligen Dienstleisters ausgestaltet. Vertragsstrafen für den Fall, dass der Kunde selbst gegen den AVV verstößt, gehören dazu, ebenso Haftungsbeschränkungen.

Die erste Stufe ist die Frage, ob die Klausel überhaupt zulässig ist. Eine Regelung, die eine Mindestpflicht aus Art. 28 Abs. 3 DSGVO faktisch aushöhlt, etwa ein Prüfrecht, das nur auf dem Papier existiert, ist es nicht. Die zweite Stufe ist die kaufmännische Frage, ob Sie die Klausel akzeptieren wollen.

Bei Haftungsbeschränkungen lohnt sich ein Blick darauf, was sie tatsächlich begrenzen. Nach Art. 82 Abs. 4 DSGVO haftet gegenüber der betroffenen Person jeder beteiligte Verantwortliche und jeder beteiligte Auftragsverarbeiter für den gesamten Schaden. Eine Obergrenze im AVV ändert daran nichts. Sie wirkt erst auf der nächsten Ebene, nämlich beim internen Ausgleich nach Art. 82 Abs. 5 DSGVO. Wer einen Haftungsdeckel von einer Jahresgebühr akzeptiert, akzeptiert also nicht, dass sein eigenes Risiko gedeckelt ist, sondern dass er im Ernstfall den Großteil davon selbst trägt.

Ein dritter Punkt, der selten in der Klauselprüfung auftaucht, aber dorthin gehört: Art. 28 Abs. 10 DSGVO. Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung die Zwecke und Mittel der Verarbeitung, gilt er insoweit als Verantwortlicher. Klauseln, die dem Anbieter eine eigene Nutzung Ihrer Daten einräumen, etwa zur Produktverbesserung, verschieben genau diese Rolle. Für Sie heißt das: die Verarbeitung, die Sie als Auftragsverarbeitung dokumentiert haben, ist zumindest teilweise keine mehr.

Die vollständige Norm lässt sich im amtlichen Text der Verordnung nachlesen.

Was tun Sie, wenn der Anbieter den AVV nicht anpassen will?

Sie dokumentieren die Abweichung, bewerten das Risiko und legen die Entscheidung dorthin, wo sie hingehört: in die Geschäftsführung.

Nehmen wir ein 30-Personen-SaaS-Unternehmen aus München, das ein Marketing-Tool eines sehr großen US-Anbieters einsetzt. Der Datenschutzbeauftragte findet drei Abweichungen im AVV: ein auf Zertifikatsvorlage reduziertes Prüfrecht, eine Subdienstleister-Generalgenehmigung ohne wirksames Einspruchsrecht und eine Haftungsobergrenze in Höhe der Jahresgebühr. Er schreibt an die Privacy-Adresse des Anbieters. Er bekommt eine Standardantwort.

Das ist der Regelfall und nicht die Ausnahme. Ein Unternehmen mit 30 Mitarbeitern, das einem sehr großen US-Anbieter konkrete Anpassungswünsche an dessen Privacy-Adresse schickt, erreicht damit praktisch nie das Ergebnis, das es sich wünscht. Die Verhandlungsmacht ist schlicht nicht vorhanden, und kein zusätzlicher Prüfaufwand ändert daran etwas.

An dieser Stelle machen viele Teams denselben Fehler. Sie behandeln das Ergebnis als reine Compliance-Frage und erwarten vom Datenschutzbeauftragten ein Ja oder Nein zum Tool. Das ist nicht seine Rolle.

Sie werden nicht in jedem Fall einen hundertprozentig DSGVO-konformen Auftragsverarbeitungsvertrag schließen können. Die Frage lautet dann, ob das Ergebnis für Ihr Unternehmen akzeptabel ist, und diese Entscheidung gehört der Geschäftsführung. Der Datenschutzbeauftragte berät und unterstützt bei der Bewertung; getragen werden muss die Entscheidung von der Leitung.

Diese Rollenverteilung steht so im Gesetz. Nach Art. 39 Abs. 1 lit. a DSGVO unterrichtet und berät der Datenschutzbeauftragte; nach Art. 24 Abs. 1 DSGVO trägt der Verantwortliche die Verantwortung und muss sie nachweisen können. Praktisch heißt das: Der DSB liefert eine schriftliche Bewertung mit den konkreten Abweichungen, dem Risiko je Abweichung und, wo möglich, kompensierenden Maßnahmen wie Datenminimierung, Pseudonymisierung oder Verzicht auf bestimmte Datenkategorien. Die Geschäftsführung zeichnet ab. Diese Freigabe ist selbst ein Nachweis nach Art. 5 Abs. 2 DSGVO und gehört zur Akte, nicht in einen Slack-Thread.

Wenn Sie diese Rolle intern nicht besetzen können oder wollen, übernimmt sie ein externer Datenschutzbeauftragter. Rechtlich ist die externe Benennung der internen gleichgestellt.

Was ändert sich, wenn KI-Komponenten Teil des AVV sind?

Die Prüfsystematik bleibt gleich, aber eine Frage kommt hinzu, die klassische Verträge nicht kannten.

Zunehmend sind KI-Komponenten Teil von Auftragsverarbeitungsverträgen, konkret Dienstleister, die KI-Modelle bereitstellen. Die Detailfrage lautet dann: Was passiert mit Ihren Daten, wenn sie in die KI-Modelle einfließen?

Zwei Zusagen entscheiden hier praktisch alles. Erstens: Werden Ihre Eingaben zum Training des Modells verwendet? In Enterprise- und Business-Verträgen ist der Ausschluss meist Standard, in Self-Service-Tarifen häufig nicht, und die Zusage gehört in den Vertrag und nicht in eine FAQ-Seite. Zweitens: Gibt es Zero Data Retention, also eine Verarbeitung ausschließlich zur Erzeugung der Ausgabe mit anschließender Löschung beim Anbieter? Das reduziert die Verarbeitungsdauer und damit einen guten Teil des Risikos.

Beides ist keine reine Vertragsfrage. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 vom 17. Dezember 2024 klargestellt, dass ein KI-Modell nicht schon deshalb anonym ist, weil es keine Datenbank ist, und dass die Rechtmäßigkeit der Entwicklungsphase auf spätere Verarbeitungen durchschlagen kann. Für Ihre AVV-Prüfung heißt das vor allem eines: Die Zusagen, auf die Sie sich verlassen, müssen im Vertragswerk stehen und überprüfbar sein.

Solange sich der Zweck Ihrer Verarbeitung nicht ändert, brauchen Sie für den Einsatz eines KI-Dienstleisters keine eigene neue Rechtsgrundlage; der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist die Grundlage der Übermittlung. Ändert sich der Zweck, greifen die sechs Rechtsgrundlagen aus Art. 6 Abs. 1 DSGVO, die wir im DSGVO-Leitfaden einzeln durchgehen.

Wie unterstützt Kertos bei der Prüfung von Auftragsverarbeitungsverträgen?

Die Kertos-Plattform hält die Dienstleisterlandschaft an einer Stelle zusammen. Zu jedem Anbieter liegen der Auftragsverarbeitungsvertrag, die Subdienstleisterkette, der Verarbeitungsort und die Risikobewertung beim Datensatz, und die Verarbeitungstätigkeit ist mit dem Verzeichnis nach Art. 30 DSGVO verknüpft. Das Vendor Management ist der Teil, der in der Praxis am häufigsten fehlt: nicht der einzelne Vertrag, sondern der Überblick darüber, welche Verträge es gibt und wann sie zuletzt geprüft wurden.

Die eigentliche Prüfung bleibt Expertenarbeit. Kertos-Kunden arbeiten dafür mit einer festen Ansprechperson aus dem Team zertifizierter Experten, die den Vertrag bewertet, die Abweichungen benennt und die Vorlage für die Geschäftsführungsentscheidung erstellt. Auf Wunsch übernimmt Kertos das Mandat als externer Datenschutzbeauftragter vollständig.

Wie das für Ihre Dienstleisterlandschaft aussieht, zeigen wir Ihnen in einer unverbindlichen Demo.

Häufig gestellte Fragen

Was muss in einem Auftragsverarbeitungsvertrag stehen?

Art. 28 Abs. 3 DSGVO verlangt fünf Rahmenangaben: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Dazu kommen acht Pflichten des Auftragsverarbeiters in den Buchstaben a bis h, von der Weisungsbindung über die technischen und organisatorischen Maßnahmen bis zur Löschung oder Rückgabe der Daten nach Vertragsende.

Wer muss den AVV abschließen, Auftraggeber oder Auftragnehmer?

Beide schließen ihn, aber die Pflicht, dafür zu sorgen, dass er existiert und vollständig ist, liegt beim Verantwortlichen. Art. 24 Abs. 1 DSGVO verlangt von ihm den Nachweis, dass die Verarbeitung rechtmäßig erfolgt. In der Praxis stellt fast immer der Dienstleister den Entwurf, was nichts daran ändert, dass die Prüfpflicht beim Auftraggeber bleibt.

Ist ein AVV ohne Unterschrift gültig?

Ja. Art. 28 Abs. 9 DSGVO verlangt Schriftform, lässt dafür aber ausdrücklich ein elektronisches Format zu. Eine akzeptierte Online-Vereinbarung oder ein per E-Mail bestätigtes Vertragsdokument genügt; eine handschriftliche Unterschrift ist nicht erforderlich. Entscheidend ist, dass Sie die geltende Fassung jederzeit vorlegen können.

Was passiert, wenn kein Auftragsverarbeitungsvertrag vorliegt?

Der Verstoß fällt unter Art. 83 Abs. 4 DSGVO und ist mit Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes bedroht, je nachdem, welcher Betrag höher ist. Dass Aufsichtsbehörden diesen Rahmen nutzen, zeigt der Vodafone-Fall mit 15 Millionen Euro allein für unzureichende Kontrolle von Dienstleistern. Hinzu kommt die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO.

Müssen Subdienstleister im AVV genannt werden?

Der Verordnungstext verlangt keine namentliche Liste im Vertrag, sondern nach Art. 28 Abs. 2 DSGVO eine vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter Sie über jede beabsichtigte Änderung informieren und Ihnen die Möglichkeit zum Einspruch geben. Eine gepflegte, verlinkte Subdienstleisterliste mit Änderungsbenachrichtigung ist der übliche Weg, das umzusetzen.

Rechtsstand: 20. August 2026. Dieser Beitrag gibt die Prüfpraxis der Kertos-Datenschutzbeauftragten wieder und dient der fachlichen Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall.

‍