Kurz gesagt: Eine Auftragsverarbeitung liegt vor, wenn ein externer Dienstleister in eurem Auftrag personenbezogene Daten verarbeitet, ohne selbst über Zweck oder wesentliche Mittel der Verarbeitung zu entscheiden. Das betrifft in der Praxis fast jedes Unternehmen, das Cloud-Software, E-Mail-Marketing-Tools, Buchhaltungsdienste oder KI-Assistenten mit Kunden- oder Mitarbeiterdaten einsetzt. Für diesen Fall verlangt die DSGVO einen schriftlichen Vertrag zwischen euch und dem Dienstleister – den Auftragsverarbeitungsvertrag, kurz AVV.
Was bedeutet Auftragsverarbeitung?
Die DSGVO unterscheidet zwei Rollen: den “Verantwortlichen” und den “Auftragsverarbeiter”. Die Anforderungen an die Zusammenarbeit zwischen beiden regelt Artikel 28 DSGVO. Verantwortlich seid in der Regel ihr als Unternehmen, weil ihr entscheidet, welche Daten zu welchem Zweck erhoben und verarbeitet werden – etwa Kundendaten für den Versand einer Rechnung. Ein Auftragsverarbeiter ist dagegen ein externer Dienstleister, der diese Daten ausschließlich nach euren dokumentierten Weisungen verarbeitet, ohne eigene Zwecke zu verfolgen. Typische Beispiele sind Hosting-Anbieter, Cloud-Speicher, Buchhaltungssoftware, E-Mail-Marketing-Tools oder auch KI-gestützte Assistenten, die Support-Anfragen oder Texte mit personenbezogenen Inhalten verarbeiten. Wichtig zur Abgrenzung: Sobald ein Dienstleister eigenständig über Zweck oder wesentliche Mittel der Verarbeitung entscheidet, gilt er nicht mehr als Auftragsverarbeiter, sondern selbst als Verantwortlicher – dann greifen andere rechtliche Grundlagen. Ob im Einzelfall tatsächlich eine Auftragsverarbeitung vorliegt, hängt also immer von der konkreten Ausgestaltung der Zusammenarbeit ab und sollte im Zweifel geprüft werden.
Warum ist Auftragsverarbeitung für mein Unternehmen wichtig?
Als Verantwortliche bleibt ihr gegenüber euren Kund:innen und Aufsichtsbehörden dafür verantwortlich, dass personenbezogene Daten datenschutzkonform verarbeitet werden – auch wenn ein externer Dienstleister die eigentliche Verarbeitung übernimmt. Personenbezogene Daten dürfen grundsätzlich nur verarbeitet werden, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dazu gehört – sofern eine Auftragsverarbeitung vorliegt – insbesondere ein wirksamer AVV nach Art. 28 DSGVO. Fehlt dieser Vertrag oder ist er unvollständig, kann das im Rahmen einer Prüfung durch die Aufsichtsbehörde als Verstoß gewertet werden und im Zweifel zu Bußgeldern führen. Der AVV muss unter anderem regeln: dass der Dienstleister nur auf eure dokumentierte Weisung handelt, dass seine Mitarbeitenden zur Vertraulichkeit verpflichtet sind, welche technischen und organisatorischen Maßnahmen (TOMs) zum Schutz der Daten getroffen werden, wie mit Unterauftragsverarbeitern umgegangen wird, wie der Dienstleister euch bei Anfragen betroffener Personen unterstützt und was nach Vertragsende mit den Daten passiert – Löschung oder Rückgabe. Außerdem solltet ihr als Verantwortliche vertraglich abgesicherte Kontrollrechte haben, um die Einhaltung dieser Pflichten überprüfen zu können. Praktisch heißt das: Vor der Nutzung eines neuen Tools mit Kunden- oder Mitarbeiterdaten solltet ihr klären, ob der Anbieter einen AVV anbietet und ob dieser die genannten Punkte abdeckt.
Auftragsverarbeitung in der Praxis
Stellt euch vor, ihr betreibt als kleines Unternehmen einen Onlineshop und nutzt dafür ein Cloud-Buchhaltungstool sowie einen externen Anbieter für den Versand von Newslettern. Beide Dienstleister verarbeiten personenbezogene Daten eurer Kund:innen – Namen, E-Mail-Adressen, Bestelldaten – ausschließlich nach euren Vorgaben und für eure Zwecke. Damit liegt in beiden Fällen typischerweise eine Auftragsverarbeitung vor. Bevor ihr die Tools produktiv einsetzt, solltet ihr folgende Schritte durchgehen: Erstens prüfen, ob der Anbieter einen AVV zum Abschluss anbietet – viele Anbieter stellen diesen im Kunden- oder Datenschutzbereich der eigenen Website bereit. Zweitens den Vertrag darauf durchsehen, ob die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO enthalten sind, insbesondere zu TOMs und Unterauftragsverarbeitern. Drittens klären, ob dabei Daten tatsächlich in ein Land außerhalb der EU übermittelt werden oder von dort aus zugänglich sind – je nach Zielland und Konstellation kann dann ein geeigneter Übermittlungsmechanismus wie Standardvertragsklauseln nötig sein. Viertens die Vereinbarung dokumentieren, etwa in eurem Verzeichnis von Verarbeitungstätigkeiten. Ob ein bestimmtes Tool diese Anforderungen erfüllt, ändert sich mit der Zeit – prüft aktuelle Angaben deshalb direkt beim jeweiligen Anbieter (Stand: September 2026).
Weiterführendes
Mehr zu den vertraglichen Details findet ihr im Artikel Was ist ein AVV?. Wenn Daten außerhalb der EU verarbeitet werden, lohnt sich zusätzlich ein Blick auf Was sind Standardvertragsklauseln (SCCs)? und auf Was ist EU-Hosting?. Die im AVV geforderten Sicherheitsmaßnahmen erklären wir im Artikel Was sind technische und organisatorische Maßnahmen (TOMs)?.
Häufige Fragen
Brauche ich für jedes Tool einen Auftragsverarbeitungsvertrag?
Nur wenn tatsächlich eine Auftragsverarbeitung vorliegt, also wenn der Dienstleister personenbezogene Daten ausschließlich nach euren Weisungen verarbeitet. Bestimmt der Anbieter eigenständig Zweck oder Mittel der Verarbeitung, gilt er als eigener Verantwortlicher und ein Auftragsverarbeitungsvertrag ist dafür nicht das richtige Instrument. Im Zweifel solltet ihr die konkrete Konstellation prüfen.
Wer haftet, wenn der Dienstleister einen Datenschutzfehler macht?
Als Verantwortliche bleibt ihr grundsätzlich gegenüber euren Kund:innen und Aufsichtsbehörden in der Verantwortung, auch wenn der Fehler beim Auftragsverarbeiter passiert. Ein sorgfältig geprüfter Auftragsverarbeitungsvertrag mit klaren Pflichten und Kontrollrechten kann helfen, Risiken zu begrenzen, ersetzt aber keine eigene rechtliche Prüfung im Einzelfall.
Was muss unbedingt im Auftragsverarbeitungsvertrag stehen?
Nach Artikel 28 Absatz 3 DSGVO gehören unter anderem die Weisungsgebundenheit, Vertraulichkeitspflichten, technische und organisatorische Maßnahmen, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenanfragen sowie Löschung oder Rückgabe der Daten nach Vertragsende dazu. Ob ein konkretes Vertragsmuster alle Punkte abdeckt, solltet ihr im Einzelfall prüfen.
Gilt eine Auftragsverarbeitung auch bei KI-Tools?
Wenn ein KI-Tool personenbezogene Daten – etwa Namen oder Kundenanfragen – im Auftrag und nach euren Vorgaben verarbeitet, kann eine Auftragsverarbeitung vorliegen. Ob das beim jeweiligen Anbieter der Fall ist und ob ein Auftragsverarbeitungsvertrag angeboten wird, solltet ihr direkt beim Anbieter prüfen, da sich Angebote und Vertragsbedingungen ändern können.