AV-Vertrag: Wer für wen Daten verarbeitet — und wann Sie einen brauchen
Kaum ein Vertrag wird so oft verlangt und so selten verstanden. Dabei ist die Grundidee der Auftragsverarbeitung einfach – wenn man die Rollen einmal sauber sortiert.
Eine Kanzlei lässt ihre E-Mails bei einem Provider laufen, ein Kulturverein nutzt ein Newsletter-Werkzeug, eine Praxis lässt ihre Terminverwaltung technisch betreuen. In allen drei Fällen fasst ein Dienstleister personenbezogene Daten an, die ihm nicht gehören. Genau dafür gibt es die Auftragsverarbeitung – und den Vertrag dazu, kurz AV-Vertrag.
Die zwei Rollen: Verantwortlicher und Auftragsverarbeiter
Die DSGVO kennt eine klare Arbeitsteilung. Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet – Ihre Einrichtung. Auftragsverarbeiter ist, wer Daten weisungsgebunden für Sie verarbeitet, ohne eigene Zwecke – der Hoster, das Newsletter-Werkzeug, die IT-Betreuung. Art. 28 DSGVO verlangt für dieses Verhältnis einen Vertrag mit festem Mindestinhalt – von Gegenstand und Dauer über Vertraulichkeit und Schutzmaßnahmen bis zur Löschung nach Vertragsende.
Wann Sie einen AV-Vertrag brauchen
Faustregel: immer dann, wenn ein Externer im Rahmen seiner Leistung auf personenbezogene Daten Ihrer Einrichtung zugreifen kann – auch wenn der Zugriff nicht beabsichtigt ist. Typisch: Hosting, Wartung mit Serverzugriff, Cloud-Speicher, Newsletter-Versand. Keine Auftragsverarbeitung sind Leistungen mit eigener fachlicher Verantwortung, etwa Steuerberatung oder Postzustellung.
Der übersehene Sonderfall: kein Zugriff, kein AV-Vertrag
Läuft eine Software vollständig auf einem Server Ihrer Einrichtung und hat der Anbieter dauerhaft keinen Zugriff auf die Daten, findet insoweit keine Auftragsverarbeitung statt. Ein AV-Vertrag wird erst nötig, wenn er doch Zugriff erhält – etwa für Einrichtung oder Wartung. Anmerkung in eigener Sache: Meine Produkte laufen genau so – als eigene Installation auf dem Webhosting des Kunden, ohne dauerhaften Zugriff meinerseits. Für Einrichtungen mit besonders geschützten Daten nach Art. 9 DSGVO ist das angenehm übersichtlich: je weniger Externe Zugriff haben, desto kürzer die Vertragsliste.
Kurz-Fazit
Der AV-Vertrag regelt ein echtes Machtverhältnis: Ihre Daten in fremden Händen. Sortieren Sie die Rollen – wer entscheidet, wer führt nur aus? –, dann ist klar, mit wem ein Vertrag nötig ist. Die weiteren Grundpflichten zeigt der Beitrag DSGVO-Grundlagen für Einrichtungen.
Häufige Fragen
Brauche ich mit jedem Dienstleister einen AV-Vertrag?
Nein – nur mit solchen, die personenbezogene Daten weisungsgebunden verarbeiten oder auf sie zugreifen können.
Was passiert, wenn der Vertrag fehlt?
Die Verarbeitung ist formal nicht DSGVO-konform; Aufsichtsbehörden können Bußgelder gegen beide Seiten verhängen. Seriöse Anbieter legen den Vertrag unaufgefordert vor.
Reicht ein Muster aus dem Internet?
Als Ausgangspunkt ja. Entscheidend ist, dass der Vertrag zur tatsächlichen Leistung passt: welche Daten, welcher Zugriff, welche Unterauftragnehmer.
Stand: August 2026 · Dieser Beitrag informiert allgemein und ist keine Rechtsberatung.
Frage stellen — ich antworte immer persönlich.
Klingt nach Ihrem Thema?
Lassen Sie uns unverbindlich klären, wo bei Ihnen der größte Hebel liegt.
