AVV steht für Auftragsverarbeitungsvertrag. Gemeint ist ein Vertrag zwischen Ihrem Unternehmen und einem externen Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Das betrifft zum Beispiel Hosting-Anbieter, Newsletter-Tools, Cloud-Software, Lohnabrechnung oder CRM-Systeme. Sobald ein Dienstleister nicht nur Daten erhält, sondern sie nach Ihren Vorgaben verarbeitet, ist ein AVV in vielen Fällen Pflicht.
Was ein AVV genau regelt
Ein AVV legt fest, wer welche Rolle beim Umgang mit personenbezogenen Daten hat. Ihr Unternehmen bleibt in der Regel der Verantwortliche. Der Dienstleister ist der Auftragsverarbeiter. Das heißt: Sie entscheiden über Zweck und Mittel der Verarbeitung, der Dienstleister setzt diese Verarbeitung technisch um. Im Vertrag wird festgehalten, welche Daten betroffen sind, wie lange sie verarbeitet werden, welche Sicherheitsmaßnahmen gelten und wie mit Löschung, Auskunft oder Datenschutzvorfällen umzugehen ist.
Wann ein AVV notwendig ist
Ein AVV ist immer dann relevant, wenn ein externer Anbieter personenbezogene Daten ausschließlich in Ihrem Auftrag verarbeitet. Typische Beispiele sind Website-Hosting, Backups, Support-Systeme, Analyse-Tools, E-Mail-Marketing, Bewerbermanagement oder externe IT-Betreuung. Kein AVV liegt dagegen vor, wenn zwei Unternehmen jeweils eigenständig über die Datenverarbeitung entscheiden. Dann geht es eher um eine eigene Verantwortlichkeit oder um gemeinsame Verantwortliche. Genau diese Abgrenzung ist in der Praxis wichtig, weil viele Unternehmen Verträge falsch einordnen.
Welche Inhalte in den Vertrag gehören
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Datenverarbeitung
- Art der personenbezogenen Daten und betroffene Personengruppen
- Pflichten und Rechte des Auftraggebers
- Technische und organisatorische Maßnahmen zum Schutz der Daten
- Regeln für Subunternehmer, also weitere eingesetzte Dienstleister
- Unterstützung bei Auskunft, Löschung und Datenschutzvorfällen
- Rückgabe oder Löschung der Daten nach Vertragsende
- Nachweise, Kontrollen und Audit-Rechte
Warum der AVV für Unternehmen so wichtig ist
Viele Unternehmen nutzen heute 10 bis 30 externe Tools für Website, Marketing, Vertrieb und interne Prozesse. Genau dort entstehen oft datenschutzrechtliche Lücken. Fehlt ein sauberer AVV, ist das nicht nur ein formales Problem. Es zeigt auch, dass Verantwortlichkeiten ungeklärt sind. Im Ernstfall kann das bei einer Prüfung, einer Beschwerde oder einer Datenpanne teuer werden. Noch wichtiger ist aber der operative Nutzen: Ein guter AVV schafft klare Prozesse. Wer meldet Vorfälle? Wer löscht Daten? Wer darf auf welche Systeme zugreifen? Das spart Zeit und reduziert Risiko.
Typische Fehler in der Praxis
Häufig wird ein AVV einfach als PDF abgelegt und nie wieder geprüft. Genau das ist problematisch. Anbieter ändern Leistungen, nutzen neue Subunternehmer oder verlagern Daten in andere Regionen. Ein alter Vertrag passt dann oft nicht mehr zur Realität. Ebenfalls häufig: Unternehmen schließen einen AVV mit einem Tool-Anbieter ab, prüfen aber nicht, ob die tatsächlichen Funktionen datenschutzkonform konfiguriert sind. Der Vertrag allein reicht nicht. Er muss zu den echten Prozessen passen. Bei Website-Projekten oder CRM-Einführungen achtet Pixelmar deshalb nicht nur auf das Dokument, sondern auch auf die praktische Umsetzung im System.
Wie Sie prüfen, ob Sie einen AVV brauchen
Stellen Sie sich drei einfache Fragen. Erstens: Werden personenbezogene Daten verarbeitet? Zweitens: Macht das ein externer Dienstleister für Ihr Unternehmen? Drittens: Handelt der Dienstleister nach Ihren Vorgaben und nicht zu eigenen Zwecken? Wenn Sie diese Fragen mit Ja beantworten, ist ein AVV sehr wahrscheinlich erforderlich. Gute Kandidaten für eine Prüfung sind Ihr Hosting, Formulare auf der Website, Terminbuchung, Newsletter-Systeme, Cloud-Speicher, Support-Tools und jedes CRM. Gerade im Mittelstand liegen die größten Risiken oft nicht in einem großen Verstoß, sondern in vielen kleinen ungeprüften Diensten.
Fazit
Ein AVV ist kein Bürokratiepapier, sondern die Grundlage für eine saubere Zusammenarbeit mit Dienstleistern, die personenbezogene Daten verarbeiten. Wer Websites, Marketing-Tools, Cloud-Dienste oder CRM-Systeme nutzt, sollte jeden Anbieter klar einordnen und die Verträge regelmäßig prüfen. So vermeiden Sie unnötige Risiken und schaffen klare Verantwortlichkeiten im Unternehmen. Wenn Sie unsicher sind, welche Tools in Ihrem Betrieb einen AVV brauchen, lohnt sich ein kostenloses Erstgespräch.