AV-Vertrag einfach erklärt: Den brauchen Sie mit jedem Cloud-Dienst, meist fehlt er
Newsletter-Tool, Cloud-Speicher, Buchhaltungssoftware: Wer Kundendaten von Dienstleistern verarbeiten lässt, braucht mit jedem einen Auftragsverarbeitungsvertrag. Die meisten Betriebe haben keinen einzigen. Dabei ist es oft nur ein Klick im Kundenkonto.
Newsletter-Tool, Cloud-Speicher, Buchhaltungssoftware, Webhoster. Vier Dienste, die fast jeder kleine Betrieb nutzt. Und vier Verträge, die fast keiner hat.
Die Rede ist vom Auftragsverarbeitungsvertrag, kurz AVV. Klingt nach Papierkram für Konzerne? Ist aber Pflicht für jeden Betrieb, der Kundendaten von einem Dienstleister verarbeiten lässt. Also auch für Ihren.
Ohne diese Verträge verstoßen Sie gegen die DSGVO. Nicht vielleicht. Nachweisbar. Und weil sich so ein Vertrag entweder vorlegen lässt oder eben nicht, steht die Frage bei einer Prüfung ganz oben.
Die gute Nachricht: Meist ist das Problem mit ein paar Klicks im Kundenkonto gelöst. Sie müssen nur wissen, wonach Sie suchen.
Was ein AVV ist – in zwei Sätzen
Ein Auftragsverarbeitungsvertrag regelt, was ein Dienstleister mit den personenbezogenen Daten tun darf, die Sie ihm anvertrauen. Er verpflichtet den Anbieter, diese Daten nur nach Ihren Vorgaben zu verarbeiten, sie zu schützen und am Ende zu löschen.
Das ist der ganze Kern. Rechtsgrundlage ist Artikel 28 der DSGVO. Personenbezogene Daten heißt dabei: alles, was sich einer Person zuordnen lässt. Namen, E-Mail-Adressen, Telefonnummern, IP-Adressen, Gehälter. Sobald so etwas auf fremden Servern liegt, ist der Betreiber dieser Server Ihr Auftragsverarbeiter. Und dann braucht es den Vertrag.
Eines vorweg: Verantwortlich bleiben Sie. Der AVV schiebt die Haftung nicht zum Anbieter, er dokumentiert, dass Sie Ihre Dienstleister im Griff haben. Genau das will eine Aufsichtsbehörde sehen.
Wer braucht das? Praktisch jeder Betrieb
Gilt das auch für den Drei-Mann-Malerbetrieb? Ja. Für den Verein mit 80 Mitgliedern? Ja. Die DSGVO kennt keine Bagatellgrenze nach Betriebsgröße.
Die Kanzlei, die Mandantenakten im Cloud-Speicher ablegt. Die Praxis mit Online-Terminbuchung. Der Handwerksbetrieb, der Rechnungen über eine Buchhaltungssoftware schreibt. Der Verein, der seine Mitgliederliste in der Cloud pflegt. Sie alle lassen personenbezogene Daten von Dritten verarbeiten – und brauchen dafür jeweils einen AVV.
Gehen wir Ihre Anbieterliste durch
Sie glauben, bei Ihnen sei das überschaubar? Zählen wir nach.
| Dienst | Was dort an Daten liegt | AVV nötig? |
|---|---|---|
| Webhoster | Kontaktformular-Anfragen, Server-Logs mit IP-Adressen | Ja |
| E-Mail-Anbieter | Ihre komplette Kundenkorrespondenz | Ja |
| Cloud-Speicher | Angebote, Rechnungen, Personalunterlagen | Ja |
| Newsletter-Tool | E-Mail-Adressen, Öffnungs- und Klickverhalten | Ja |
| Buchhaltungs- und Lohnsoftware | Gehälter, Bankverbindungen, Sozialversicherungsdaten | Ja |
| Videokonferenz-Tool | Namen, Stimmen, Gesprächsinhalte | Ja |
Fällt Ihnen die rechte Spalte auf? Sie lautet immer Ja. Ein durchschnittlicher Kleinbetrieb kommt schnell auf fünf bis zehn Dienste, für die ein AVV fällig ist.
Bei US-Anbietern ist der Vertrag übrigens nur die halbe Miete. Ein AVV macht aus einem amerikanischen Server keinen europäischen. Warum das ein Problem für sich ist, sehen Sie im direkten Vergleich Microsoft 365 gegen Nextcloud.
Wo Sie den AVV finden – und was drinstehen muss
Sie müssen keinen Vertrag aufsetzen und keinen Anwalt bezahlen. Seriöse Anbieter halten den AVV fertig bereit. Suchen Sie im Kundenkonto oder auf der Anbieterseite nach »AVV«, »Auftragsverarbeitung«, »DPA« oder »Data Processing Agreement«. Bei manchen Anbietern ist der Vertrag Teil der AGB und gilt automatisch – dann laden Sie ihn herunter und legen ihn ab. Bei anderen schließen Sie ihn mit einem Klick aktiv ab.
Grob gehört hinein:
- Gegenstand und Dauer der Verarbeitung
- Art der Daten und wessen Daten es sind (Kunden, Mitarbeiter, Bewerber)
- Ihr Weisungsrecht: Der Anbieter tut nur, was Sie beauftragen
- Unterauftragnehmer: wen der Anbieter seinerseits einspannt
- Technische und organisatorische Maßnahmen – auf Deutsch: wie der Anbieter Ihre Daten konkret schützt, von Verschlüsselung bis Zugriffskontrolle
- Löschung oder Rückgabe der Daten nach Vertragsende
Sie finden beim Anbieter keinen AVV, auch auf Nachfrage nicht? Dann haben Sie Ihre Antwort. Wer heute keinen Auftragsverarbeitungsvertrag anbieten kann, nimmt den Schutz Ihrer Daten nicht ernst. Wechseln Sie.
Die zweite Pflicht, die keiner kennt: das Verzeichnis
Wenn Sie schon einmal dabei sind, erledigen Sie die zweite Pflicht gleich mit. Artikel 30 der DSGVO verlangt von Ihnen ein Verzeichnis von Verarbeitungstätigkeiten. Der Name klingt nach Aktenschrank, der Inhalt ist eine Tabelle: welche Daten Sie verarbeiten, zu welchem Zweck, mit welchen Dienstleistern, wie lange Sie sie aufbewahren.
Ja, es gibt eine Ausnahme für Betriebe mit weniger als 250 Beschäftigten. Nein, sie rettet Sie nicht. Sie fällt nämlich schon weg, wenn nur eines von drei Dingen zutrifft: Sie verarbeiten die Daten nicht bloß gelegentlich, sondern laufend. Die Verarbeitung birgt ein Risiko für die Betroffenen. Oder es sind besondere Datenkategorien im Spiel, etwa Gesundheitsdaten, Religion oder Gewerkschaftszugehörigkeit. Bei einem Betrieb mit festem Kundenstamm ist schon der erste Punkt praktisch immer erfüllt – und eine Praxis oder ein Verein sammelt schnell auch die heiklen Daten ein. Rechnen Sie also damit, dass eine Aufsichtsbehörde das Verzeichnis sehen will. Für Nordrhein-Westfalen informiert die Landesdatenschutzbeauftragte unter ldi.nrw.de über beide Pflichten.
Der angenehme Nebeneffekt: AVV-Sammlung und Verzeichnis entstehen im selben Arbeitsgang. Wer seine Dienstleister einmal sauber auflistet, hat beides fast fertig.
Drei Fälle, in denen Sie sich den AVV sparen
Damit kein falscher Eindruck entsteht: Ich rede Ihnen keinen Papierkram ein, den Sie nicht brauchen. Für manche Dienstleister ist schlicht kein AVV fällig.
- Ihr Steuerberater ist in aller Regel kein Auftragsverarbeiter, sondern arbeitet eigenverantwortlich. Kein AVV nötig.
- Post- und Paketdienste befördern nur, sie verarbeiten nicht in Ihrem Auftrag. Auch hier: kein AVV.
- Software, die komplett auf Ihrem eigenen Rechner läuft und keine Daten an den Hersteller schickt, braucht ebenfalls keinen.
Und noch eine Entwarnung: Sie brauchen dafür keine Compliance-Software im Abo und keine Agentur, die Ihnen mit Bußgeld-Panik ein Rundum-Paket andreht. Das ist Papierkram, kein Hexenwerk. Einmal sauber machen, dann ist Ruhe – bis ein neuer Dienst dazukommt.
So räumen Sie das an einem Nachmittag auf
- Liste machen: alle Dienste notieren, bei denen Kunden- oder Mitarbeiterdaten liegen. Der Kontoauszug hilft, denn jede Software-Abbuchung ist ein Kandidat.
- Für jeden Dienst den AVV suchen: Kundenkonto, Hilfeseiten, notfalls den Support fragen.
- Abschließen, herunterladen, als PDF in einen Ordner legen. Datum notieren.
- Anbieter ohne AVV markieren und Ersatz suchen.
- Aus der fertigen Liste das Verzeichnis von Verarbeitungstätigkeiten ableiten.
Viele stellen bei Schritt 1 etwas anderes fest: Die Dienstliste ist wild gewachsen. Dateien in drei Clouds, zwei Newsletter-Tools, ein vergessenes Abo. Weniger Anbieter heißt weniger Verträge, weniger Kosten, weniger Angriffsfläche. Genau dafür baue ich Betrieben ein aufgeräumtes Cloud-Büro – jeder Anbieter weniger ist ein Vertrag weniger.
Sie wissen nicht, ob bei Ihnen ein AVV fehlt? Finden wir es heraus. Schicken Sie mir Ihre Dienstliste, oder wir gehen im Erstgespräch zusammen durch, welche Ihrer Anbieter Kundendaten anfassen und wo überall ein Auftragsverarbeitungsvertrag her muss. Danach wissen Sie schwarz auf weiß, wo Sie stehen und was noch fehlt – ohne Bußgeld-Panik als Verkaufsmasche. Das Gespräch ist kostenlos und läuft per Videocall, egal von wo aus. Wer sich Ihre AVVs ansieht, sammelt sie hinterher auch für Sie ein. Keine Hotline, bei der am nächsten Tag jemand anderes abnimmt.
