Ihr Newsletter-Tool versendet Mails an Ihre Kunden. Ihr Lohnbüro kennt jedes Gehalt. Ihr Cloud-Anbieter speichert Bewerbungsunterlagen. Drei Dienstleister, drei Mal personenbezogene Daten außerhalb Ihrer vier Wände – und drei Mal müssen Sie als Auftraggeber absichern, was damit geschieht.
Dafür brauchen Sie einen AVV. Ohne Ausnahme.
Trotzdem fehlt dieses Dokument bei erschreckend vielen KMU – oder es ist so allgemein formuliert, dass es im Ernstfall wertlos ist. Was genau hineingehört, wann die Pflicht greift und welche Fehler Aufsichtsbehörden auf den Plan rufen: Das klären wir hier.
Ein AVV regelt die Beziehung zwischen Ihnen als Auftraggeber und einem externen Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Die Rechtsgrundlage ist Art. 28 DSGVO.
Der entscheidende Punkt: Sie bleiben in der Pflicht. Auch wenn Ihr Dienstleister den Fehler macht – die Aufsichtsbehörde klopft zuerst bei Ihnen an. Art. 82 stellt klar: Der Auftraggeber haftet für Schäden durch unrechtmäßige Verarbeitung.
Typische Fälle, in denen Sie eine solche Vereinbarung brauchen:
Wir sehen das bei unseren Mandanten regelmäßig: Die meisten setzen 5 bis 15 Dienstleister ein – und haben für die Hälfte kein passendes Dokument.
Was diese Form der Zusammenarbeit von anderen unterscheidet, ist das Anweisungsrecht. Der Dienstleister darf personenbezogene Daten ausschließlich nach Ihrer Vorgabe verarbeiten – so schreibt es Art. 29 DSGVO vor.
Konkret bedeutet das: Er entscheidet nicht selbst über Zweck oder Mittel, handelt streng gebunden an Ihre Vorgaben, und wird bei Verstößen nach Art. 28 Abs. 10 selbst haftbar.
Verwechseln Sie diese Konstellation nicht mit gemeinsamer Verantwortlichkeit (Art. 26 DSGVO). Wenn beide Seiten gemeinsam über Zwecke und Mittel entscheiden, brauchen Sie eine andere Vereinbarung.
Die Norm ist erstaunlich konkret. Folgende Punkte muss der Vertrag mindestens regeln:
Standard-Vorlagen von Dienstleistern sind oft zu allgemein. Laut Bitkom sind 70 % lückenhaft – besonders bei TOM und Subunternehmer-Regelungen. Prüfen Sie jedes Dokument individuell oder lassen Sie es von Ihrem externen Beauftragten gegenlesen.
Innerhalb von 24 Stunden war der Fall geklärt. Der Mandant wusste: Er kann jetzt rechtskonform eine Umfrage an seine Kunden losschicken. Genau so soll die Zusammenarbeit laufen.
Nils OehmichenBerater bei frag.hugo
Der Mandant wollte eine Kundenbefragung starten und brauchte dafür eine Vereinbarung mit dem Umfrage-Tool. Statt wochenlanger Unsicherheit war alles in einem Tag erledigt – inklusive Prüfung der TOM und des Anweisungskonzepts. So läuft es bei uns: Mandant meldet sich, wir prüfen den Dienstleister, passen das Dokument an und geben grünes Licht.
Diese Fehler finden wir bei fast jedem Audit:
Die Theorie: Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4. Die Praxis: Ein Versandunternehmen zahlte 5.000 Euro, weil die Vereinbarung mit einem spanischen Paketdienstleister fehlte. In Brandenburg verhängte die Aufsichtsbehörde 50.000 Euro wegen fehlerhafter Auskunft und fehlendem Dokument. Für ein KMU mit 30 Mitarbeitern kein Pappenstiel.
Der HmbBfDI hat bis September 2025 Bußgelder von insgesamt 775.000 Euro verhängt. Als Beratung in Hamburg kennen wir die Prüfschwerpunkte und wissen, worauf es ankommt. Nutzen Sie unseren kostenlosen Website-Check, um erste Lücken aufzudecken.
Eine saubere Vereinbarung schützt nicht nur vor Bußgeldern. Sie gibt Ihnen die Sicherheit, dass Ihr Dienstleister nur nach Ihren Vorgaben handelt – und zeigt Kunden und Geschäftspartnern: Hier nimmt man den Schutz personenbezogener Daten ernst.
AVV-Check für Ihr Unternehmen
Wir prüfen Ihre bestehenden Vereinbarungen und identifizieren Lücken – pragmatisch und ohne Juristendeutsch. Als externer Berater kümmern wir uns um Vereinbarungen, Anweisungskonzepte und konforme Dokumentation.
Kostenloses Erstgespräch buchen →Immer wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet. Typische Fälle: Cloud-Anbieter, Lohnbüro, Newsletter-Tool, Hosting, IT-Support mit Fernzugriff. Ohne diese Vereinbarung drohen Bußgelder bis 10 Mio. Euro nach Art. 83 Abs. 4.
Art. 28 Abs. 3 schreibt vor: Gegenstand und Dauer, Art der Daten, Kategorien betroffener Personen, Pflichten des Dienstleisters, Anweisungsrecht, TOM und Regelungen zu Subunternehmern.
Oft nicht. Laut Bitkom sind 70 % lückenhaft. Standard-Vorlagen decken selten die konkrete Situation ab. Prüfen Sie jedes Dokument individuell – oder lassen Sie es vom Fachberater prüfen.
Bußgelder bis 10 Mio. Euro oder 2 % des Jahresumsatzes nach Art. 83 Abs. 4. Zusätzlich haften beide Seiten nach Art. 82 gesamtschuldnerisch für Schäden. In der Praxis verhängte die Aufsicht bereits 5.000 Euro gegen ein Versandunternehmen.
Der Auftraggeber. Er muss sicherstellen, dass das Dokument den gesetzlichen Anforderungen entspricht. Der Dienstleister muss mitwirken, nur nach Vorgabe handeln und die vereinbarten TOM einhalten.
Inhaltsverzeichnis
Datenschutzschulung planen: So erreichen Sie Mitarbeiter wirklich — mit Schulungsplan, Praxistipps und Hinweisen für Hamburger Unternehmen.
WeiterlesenBAFA-Förderung für Datenschutzberatung: Bis zu 2.800 Euro Zuschuss für KMU. Antragsprozess, Voraussetzungen und Fristen bis Ende 2026 erklärt.
WeiterlesenHugo Check vs. Cookiebot vs. PrivacyChecker vs. wwwschutz vs. Usercentrics vs. Consentmanager — ehrlicher Vergleich mit Preisen, Features und Empfehlung.
Weiterlesen Über den Autor
Datenschutzberater & Geschäftsführer
Nils ist zertifizierter Datenschutzbeauftragter und Geschäftsführer der frag.hugo Informationssicherheit GmbH. Er berät mittelständische Unternehmen zu DSGVO, NIS2 und IT-Sicherheit – praxisnah und verständlich.
Vereinbaren Sie ein unverbindliches Erstgespräch mit unseren Experten. Wir beraten Sie persönlich zu Datenschutz, NIS2 und IT-Sicherheit.
