Zum Inhalt springen
    Flow-alerta.cab

    Auftragsverarbeitungsvertrag (AVV/DPA)

    Anwendung & BefähigungAVVData Processing AgreementVertrag zur Auftragsverarbeitung
    Redaktionell geprüft am: 1 Quelle
    Deine Leseansicht

    Die Kurzantwort · 13 Wörter

    Kurz erklärt

    Ein AVV regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet.

    Flow-alerta.cab (2026): Auftragsverarbeitungsvertrag (AVV/DPA). https://flow-alerta.cab/glossar/data-processing-agreement-dpa. Redaktionell geprüft am: 10. Oktober 2026.

    Wie ausführlich soll es sein?

    Praxis

    AVV und Anlagen schaffen nachvollziehbare Zuständigkeiten für Cloud-, Hosting-, Support- oder KI-Dienste. Sie ersetzen weder die Prüfung des Dienstleisters noch Rechtsgrundlage, Risikoanalyse und praktische Kontrollen.

    Ein CRM-Anbieter verarbeitet Kundendaten für ein Unternehmen; der AVV beschreibt Weisungen, Schutzmaßnahmen, Unterauftragnehmer, Unterstützung und Löschung.

    KMU führen ein Dienstleisterverzeichnis, klären Rollen vor Vertragsabschluss und halten technische und organisatorische Maßnahmen, Unterauftragnehmer und Löschprozesse aktuell.

    Auf einen Blick

    Kern
    Im DSGVO-Kontext ist der Auftragsverarbeitungsvertrag ein bindender Vertrag oder anderes Rechtsinstrument nach Artikel 28. Er legt unter anderem Gegenstand, Dauer, Art, Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten fest. Er ist kein allgemeiner Datenaustauschvertrag.
    Nutzen
    AVV und Anlagen schaffen nachvollziehbare Zuständigkeiten für Cloud-, Hosting-, Support- oder KI-Dienste. Sie ersetzen weder die Prüfung des Dienstleisters noch Rechtsgrundlage, Risikoanalyse und praktische Kontrollen.
    Beispiel
    Ein CRM-Anbieter verarbeitet Kundendaten für ein Unternehmen; der AVV beschreibt Weisungen, Schutzmaßnahmen, Unterauftragnehmer, Unterstützung und Löschung.
    Grenzen
    Eine Vorlage ungeprüft übernehmen, Verarbeitung und Unterauftragnehmer unvollständig beschreiben oder den AVV als vollständigen Compliance-Nachweis behandeln. DPA kann international auch andere Verträge bezeichnen.

    Im Zusammenhang

    Datenschutz-Grundverordnung (DSGVO)

    Europäische Verordnung zur Vereinheitlichung des Schutzes personenbezogener Daten natürlicher Personen.

    Fragen, die dazu gestellt werden

    Wann braucht man einen AVV?

    Wenn ein Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet.

    Reicht eine Vorlage?

    Nein, Verarbeitung und Rollen müssen passen.

    Ist jeder Datendienst Auftragsverarbeitung?

    Nein, die tatsächliche Rollenverteilung entscheidet.

    Alle Details und Hintergründe

    Im DSGVO-Kontext ist der Auftragsverarbeitungsvertrag ein bindender Vertrag oder anderes Rechtsinstrument nach Artikel 28. Er legt unter anderem Gegenstand, Dauer, Art, Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten fest. Er ist kein allgemeiner Datenaustauschvertrag.

    ELI5 – Einfach erklärt

    Eine Firma gibt einem Dienstleister Daten zum Bearbeiten und schreibt verbindlich auf, was dieser damit tun darf und schützen muss.

    Warum das im Alltag wichtig ist

    AVV und Anlagen schaffen nachvollziehbare Zuständigkeiten für Cloud-, Hosting-, Support- oder KI-Dienste. Sie ersetzen weder die Prüfung des Dienstleisters noch Rechtsgrundlage, Risikoanalyse und praktische Kontrollen.

    Beispiel

    Ein CRM-Anbieter verarbeitet Kundendaten für ein Unternehmen; der AVV beschreibt Weisungen, Schutzmaßnahmen, Unterauftragnehmer, Unterstützung und Löschung.

    Fallstricke und Grenzen

    • Eine Vorlage ungeprüft übernehmen, Verarbeitung und Unterauftragnehmer unvollständig beschreiben oder den AVV als vollständigen Compliance-Nachweis behandeln. DPA kann international auch andere Verträge bezeichnen.

    Entstehung & Geschichte

    Artikel 28 der seit 2018 anwendbaren DSGVO konkretisiert die vertragliche Bindung von Auftragsverarbeitern. Standardvertragsklauseln können Inhalte unterstützen, ersetzen aber nicht die Prüfung des konkreten Verhältnisses.

    Anwendung im Mittelstand

    • KMU führen ein Dienstleisterverzeichnis, klären Rollen vor Vertragsabschluss und halten technische und organisatorische Maßnahmen, Unterauftragnehmer und Löschprozesse aktuell.

    Verwandte Begriffe

    • Verantwortlicher
    • Auftragsverarbeiter
    • DSGVO
    • TOM
    • Unterauftragsverarbeiter

    Passende Flow-alerta-Leistung

    SchulungenDatenschutzorientierte Prozess- und Toolprüfung: Datenflüsse, Rollen, Dienstleister und erforderliche Nachweise strukturiert erfassen.

    Passendes Tool / Use Case

    Praxisbeispiele ansehenVerzeichnis und Vertragscheckliste; Use Case: Cloud- und KI-Dienstleister vor produktiver Nutzung auf Rollen, Datenflüsse und AVV-Anlagen prüfen.

    Quellen

    Quellenprüfung: 10.10.2026. Definition und dokumentierte Einordnung abgeglichen; Beispiele beschreiben mögliche Anwendungen.

    Redaktionell geprüft am:

    Nächster Schritt

    Vom Wissen zur Anwendung

    Projekt besprechenUse Cases ansehen