AVV-Vorlage 2026: Rechtssicheres Muster für KMU (mit Download)

Inhalt in Kürze

• Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht nach Art. 28 DSGVO, sobald ein externer Dienstleister personenbezogene Daten für Sie verarbeitet — Cloud, Lohnbüro, Newsletter-Tool.
• Kostenlose Behördenvorlagen (BfDI, LDA Bayern) decken die Pflichtbausteine ab, müssen aber immer an Ihre Situation angepasst werden.
• Die häufigsten Fehler: veraltete Klauseln, fehlende EU-Standardvertragsklauseln bei US-Diensten und pauschale Subunternehmer-Freigaben.
• Unsere AVV-Vorlage 2026 können Sie kostenlos herunterladen — fertig strukturiert für KMU, inklusive TOM-Verweis und Subunternehmer-Anhang.

Viele Geschäftsführer schließen einen AVV ab, weil irgendwer im Haus gesagt hat, das sei jetzt nötig. Dann landet ein mehrseitiges PDF im Ordner — und niemand prüft, ob die entscheidenden Klauseln überhaupt drin sind. Das ist kein Datenschutz, das ist Aktenbürokratie.

Dieser Artikel zeigt Ihnen, was eine AVV-Vorlage 2026 zwingend enthalten muss, wo die meisten Muster aus dem Internet versagen — und wie Sie eine fremde Vorlage in zwölf Schritten prüfen.

Wann brauche ich einen AVV?

Immer dann, wenn ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Die Abgrenzung ist entscheidend:

• Auftragsverarbeitung (Art. 28 DSGVO): Der Dienstleister handelt nur nach Ihren Weisungen, hat keine eigene Entscheidungsbefugnis über Zweck oder Mittel — z. B. Cloud-Speicher, IT-Dienstleister, Lohnbuchhaltungs-Software, E-Mail-Newsletter-Anbieter.
• Eigenverantwortliche Datenübermittlung: Der Empfänger verarbeitet die Daten für eigene Zwecke — z. B. eine Bank für eine Kreditprüfung oder ein Steuerberater. Kein AVV, aber ggf. Informationspflichten.
• Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Beide Parteien legen gemeinsam Zweck und Mittel fest — z. B. bei gemeinsamen Marketingkampagnen mit einem Partner. Hier brauchen Sie eine Vereinbarung nach Art. 26, keinen AVV.

Typische AVV-Fälle im KMU: Microsoft 365, Google Workspace, Steuerberater-Portale, Personalmanagement-Software, externe IT-Dienstleister, Marketingagenturen. Wenn Sie unsicher sind, ob ein AVV erforderlich ist, lohnt sich der Blick in unseren Artikel zur Auftragsverarbeitungsvertrag-Prüfung.

Pflichtinhalte nach Art. 28 DSGVO

Art. 28 Abs. 3 DSGVO listet acht Mindestinhalte, die jeder Auftragsverarbeitungsvertrag enthalten muss. Fehlt auch nur einer, gilt der Vertrag als unvollständig — mit Bußgeldrisiko.

Einen vollständigen Überblick über die Pflichtinhalte finden Sie auch in unserem Artikel AVV Auftragsverarbeitung: Muster, Inhalt und typische Fehler.

Standard-AVV oder eigener Entwurf?

In der Praxis stellt meist der Auftragsverarbeiter (Ihr Dienstleister) einen Mustervertrag bereit. Das ist rechtlich zulässig — aber kein Freifahrtschein, um den Text ungeprüft zu unterzeichnen.

Als Verantwortlicher (Ihr Unternehmen) tragen Sie die Pflicht, sicherzustellen, dass der Auftragsverarbeiter hinreichende Garantien bietet. Ein AVV, den Sie blind unterschrieben haben, schützt Sie nicht vor Bußgeldern, wenn die Klauseln unvollständig sind.

Wenn Ihr Dienstleister keine Vorlage stellt oder diese offensichtliche Lücken hat, können Sie selbst eine Vorlage einbringen. Die Mustervereinbarung des BfDI (Bundesbeauftragter für den Datenschutz, Version 2.1) und der GDD-Mustervertrag sind kostenfrei und behördlich abgesichert.

Was eine AVV-Vorlage 2026 zwingend abdecken muss

Eine Vorlage, die noch aus 2018 stammt und nie aktualisiert wurde, ist nicht rechtssicher. Folgendes muss eine aktuelle AVV-Vorlage 2026 berücksichtigen:

TOM-Verweis: Nicht ausreichend ist ein pauschaler Satz à la „angemessene technische Maßnahmen”. Die Vorlage muss einen Anhang oder eine gesonderte TOM-Dokumentation des Auftragsverarbeiters einbeziehen — und diese muss aktuell gehalten werden. Mehr dazu in unserem Artikel zu TOMs mit Praxisbeispielen für KMU.

Subunternehmer-Liste: Genehmigte Unterauftragnehmer müssen namentlich oder als aktualisierbare Liste im AVV verankert sein. Die Klausel muss regeln, dass neue Subunternehmer vorab anzukündigen und zu genehmigen sind.

EU-Standardvertragsklauseln (SCC) bei Drittlandbezug: Wenn Ihr Dienstleister oder dessen Unterauftragnehmer Daten in ein Land außerhalb der EU/EWR überträgt (z. B. USA, Indien), müssen die neuen EU-Standardvertragsklauseln der EU-Kommission von 2021 in den AVV einbezogen werden — entweder durch direkten Verweis oder als Anlage.

Verarbeitungsverzeichnis: Der AVV liefert wichtige Daten für Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO. Eine gute Vorlage enthält daher strukturierte Felder, die Sie direkt als VV-Eintrag nutzen können.

Häufige Fehler in AVV-Mustern aus dem Internet

Viele kostenlose Vorlagen auf juristischen Blogs oder Anbieter-Websites haben denselben Ursprung: ein Muster aus 2018, leicht angepasst. Das ist oft unzureichend.

Die typischen Schwachstellen:

• Veraltete Klauseln: Verweise auf den Privacy Shield oder alte SCC von 2010 — beide sind nicht mehr gültig.
• Fehlende SCC: Kein Hinweis auf EU-Standardvertragsklauseln, obwohl der Dienstleister US-Server nutzt.
• Pauschalfreigabe für alle Subunternehmer: „Der Auftragsverarbeiter darf Subunternehmer einsetzen” ohne Einschränkung, Liste oder Genehmigungspflicht. Das ist eine Blankettfreigabe — und rechtlich problematisch.
• Leere TOM-Anlage: Der Platzhalter „Anlage 1: TOM” ist im Vertrag, aber nie ausgefüllt worden.
• Kein Löschkonzept: Was passiert mit den Daten, wenn Sie den Vertrag kündigen? Viele Muster schweigen dazu.

„Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt datenschutzkonform eine Umfrage an seine Kunden losschicken. Genau so soll Arbeit mit einem Datenschutzbeauftragten stattfinden."

Nils OehmichenDatenschutzberater bei frag.hugo

Unsere AVV-Vorlage 2026 — kostenlos als PDF

Wir haben eine strukturierte AVV-Vorlage für KMU erarbeitet, die alle Pflichtinhalte nach Art. 28 DSGVO abdeckt — inklusive Subunternehmer-Anhang, TOM-Verweis und optionalem SCC-Modul für Drittlandfälle.

Wie Sie eine fremde AVV-Vorlage prüfen — 12 Punkte

Ihr Dienstleister schickt Ihnen einen 15-seitigen AVV. Bevor Sie unterschreiben:

• Gegenstand und Dauer klar definiert? Art der Daten, Zweck der Verarbeitung, Vertragslaufzeit — kein Blankotext.
• Weisungsgebundenheit schriftlich geregelt? Muss ausdrücklich stehen, nicht nur in den AGB.
• TOM-Anlage vorhanden und ausgefüllt? Keine leere Vorlage, sondern konkrete Maßnahmen (Verschlüsselung, Zugriffskontrolle, Backup-Konzept).
• Vertraulichkeit der Mitarbeiter geregelt? Nicht nur als Verweis auf AGB des Dienstleisters.
• Subunternehmer-Liste namentlich? Oder zumindest Genehmigungspflicht mit Ankündigungsfrist (mind. 30 Tage).
• Drittland-Klausel geprüft? Werden Daten in Länder außerhalb der EU/EWR übertragen? Dann SCC 2021 eingebunden?
• SCC aktuell? Nicht die alten SCC von 2010 — die sind ungültig. Nur die EU-Kommissions-SCC von Juni 2021 gelten.
• Unterstützungspflichten bei Betroffenenanfragen? Wer hilft Ihnen, wenn ein Kunde Auskunft oder Löschung beantragt?
• Datenpannen-Meldepflicht geregelt? Dienstleister muss Sie unverzüglich (in der Praxis: innerhalb von 24 h) informieren.
• Löschung oder Rückgabe nach Vertragsende? Konkrete Frist, schriftliche Bestätigung.
• Kontrollrechte des Auftraggebers? Sie müssen das Recht haben, Audits oder Inspektionen durchzuführen — oder zertifizierte Drittprüfungen akzeptieren.
• Aktualisierungsklausel? Regelung, dass TOM und Subunternehmerliste regelmäßig aktualisiert und kommuniziert werden.

Häufige Fragen (FAQ)

Wer schickt den AVV — der Verantwortliche oder der Auftragsverarbeiter?

Die DSGVO legt die Pflicht beim Verantwortlichen, also Ihrem Unternehmen. In der Praxis stellen viele Dienstleister ihre eigene Vorlage bereit — Sie müssen diese aber immer inhaltlich prüfen, bevor Sie unterschreiben.

Was ist der Unterschied zwischen AVV (Art. 28) und gemeinsamer Verantwortlichkeit (Art. 26 DSGVO)?

Beim AVV handelt der Dienstleister ausschließlich nach Ihren Weisungen. Bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO entscheiden beide Parteien gemeinsam über Zweck und Mittel der Verarbeitung — etwa bei gemeinsamen Marketingaktionen. Der falsche Vertragstyp führt zu einer nicht erfüllten Pflicht.

Welche AVV-Vorlage ist rechtssicher?

Die Mustervereinbarungen von BfDI (Version 2.1) und GDD decken alle Pflichtinhalte aus Art. 28 DSGVO ab. Wichtig: Jede Vorlage muss an Ihre konkrete Dienstleisterkonstellation angepasst werden — Pauschaltexte ohne TOM-Anlage und Subunternehmer-Liste sind nicht ausreichend.

Brauchen wir EU-Standardvertragsklauseln (SCC) im AVV?

Nur wenn Ihr Dienstleister personenbezogene Daten in ein Drittland außerhalb der EU/des EWR überträgt (z. B. USA). In diesem Fall müssen die neuen SCC der EU-Kommission von 2021 in den AVV einbezogen werden — ohne SCC ist die Übermittlung rechtswidrig.

Was kostet eine professionelle AVV-Prüfung?

Als externer Datenschutzbeauftragter prüfen wir einen AVV typischerweise im Rahmen des laufenden Mandats. Eine Einzel-Prüfung ohne DSB-Mandat liegt je nach Umfang zwischen 150 und 400 Euro — deutlich günstiger als ein Bußgeld für einen fehlerhaften Vertrag. Mehr zum Thema externer Datenschutzbeauftragter in Hamburg.

Gilt ein AVV, der per E-Mail ausgetauscht wurde?

Ja. Art. 28 Abs. 9 DSGVO erlaubt ausdrücklich ein elektronisches Format. Ein per E-Mail ausgetauschtes und beiderseitig bestätigtes PDF erfüllt die Schriftformerfordernis. Entscheidend ist, dass der Vertrag jederzeit nachweisbar ist.