Brauche ich für Microsoft 365 oder einen anderen Cloud-Dienst einen AV-Vertrag?

In der Regel ja. Cloud-Dienste für Dokumentenspeicherung, Kalender, Messaging oder Textverarbeitung zählen die bayerische Aufsichtsbehörde und die Leitlinien des Europäischen Datenschutzausschusses zu den typischen Fällen der Auftragsverarbeitung, wenn der Anbieter die Daten im Auftrag verarbeitet.

Ersetzt das EU-US Data Privacy Framework den AV-Vertrag?

Nein. Nach den FAQ des Europäischen Datenschutzausschusses müssen Verantwortlicher und Auftragsverarbeiter in den USA unabhängig von einer DPF-Zertifizierung einen Vertrag nach Art. 28 DSGVO abschließen. Das DPF betrifft die Frage, ob die Übermittlung in die USA zulässig ist.

Brauche ich einen AVV, wenn ein IT-Dienstleister einmal einen Rechner repariert?

Nicht unbedingt. Nach der bayerischen Abgrenzungshilfe, die sich auf den Europäischen Datenschutzausschuss stützt, ist ein Berater, der nur zur Behebung eines Problems geholt wird und dabei rein zufällig Zugang zu Daten erhält, kein Auftragsverarbeiter. Bei dauerhafter Betreuung mit Zugriffsmöglichkeit ist ein AVV üblich.

Muss der AV-Vertrag unterschrieben auf Papier vorliegen?

Nein. Art. 28 verlangt Schriftform, die auch in einem elektronischen Format erfolgen kann. Wichtig ist, dass sich der Vertragsschluss nachvollziehbar dokumentieren lässt.

Datenschutz im Büro

Auftragsverarbeitung und AV-Vertrag (Art. 28 DSGVO): Wann ein kleines Büro einen AVV braucht

Einen AV-Vertrag braucht, wer einen Dienstleister personenbezogene Daten weisungsgebunden für sich verarbeiten lässt, etwa bei Cloud-Speicher, Hosting, laufender Fernwartung oder einem Newsletter-Tool. Eine Mindestgröße für diese Pflicht gibt es nicht.

Stand: 11. November 2026 · ca. 6 Min. Lesezeit · 10 Quellen

Was ist Auftragsverarbeitung?

Eine Auftragsverarbeitung liegt vor, wenn eine andere Stelle personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Art. 28 Abs. 1 DSGVO verlangt, dass der Verantwortliche nur mit Auftragsverarbeitern arbeitet, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Die Verarbeitung erfolgt auf Grundlage eines Vertrags, in dem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen festgelegt sind. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 28 Abs. 1 und 3)

Eine Ausnahme nach Mitarbeiterzahl oder Umsatz kennt Art. 28 nicht. Ob ein Dienstleister Auftragsverarbeiter ist, richtet sich nach den gesetzlichen Merkmalen: Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; Auftragsverarbeiter ist, wer Daten im Auftrag des Verantwortlichen verarbeitet. Nicht jeder Dienstleister, der bei seiner Arbeit mit personenbezogenen Daten in Berührung kommt, ist damit automatisch Auftragsverarbeiter. (Quelle: lda.bayern.de/media/veroeffentlichungen/Abgrenzungshilfe_Auftragsverarbeitung.pdf)

Für die Verarbeitung braucht der Verantwortliche weiterhin eine Rechtsgrundlage; der Auftragsverarbeiter stützt sich laut dem Landesbeauftragten für den Datenschutz Niedersachsen auf diese Grundlage und braucht keine eigene. Verarbeitet der Dienstleister die Daten dagegen zu eigenen Zwecken, wird er insoweit selbst Verantwortlicher. (Quelle: lfd.niedersachsen.de/faq/faq-auftragsverarbeitung-nach-artikel-28-dsgvo-189637.html)

Wann braucht mein Büro einen AVV?

Die folgende Übersicht ordnet typische Fälle ein. Die Einordnung im Einzelfall hängt von den Leistungen und Zugriffsmöglichkeiten ab.

Dienst	Einordnung	Quelle
Cloud-Speicher, Kalender, Messaging, Videokonferenzen, Textverarbeitung durch einen Dienstleister	Typischer Fall der Auftragsverarbeitung	BayLDA-Abgrenzungshilfe
Hosting oder Speicherung nach Weisung, auch bei verschlüsselten Daten	Auftragsverarbeitung	BayLDA-Abgrenzungshilfe
Auslagerung der Backup-Speicherung, Datenträgerentsorgung durch Dienstleister	Als Beispiele für Auftragsverarbeitung genannt	DSK-Kurzpapier 13
Laufende IT-Wartung und Fernwartung mit Zugriffsmöglichkeit auf Daten	Auftragsverarbeitung	DSK-Kurzpapier 13
Einmalige Problemlösung mit nur zufälligem Datenzugang	Nach EDSA kein Auftragsverarbeiter	BayLDA-Abgrenzungshilfe
Rein technische Wartung der Infrastruktur (Strom, Kühlung, Heizung)	Keine Auftragsverarbeitung	DSK-Kurzpapier 13

Die Zeilen zu Cloud, Hosting und einmaliger Problemlösung stammen aus der Abgrenzungshilfe des Bayerischen Landesamts für Datenschutzaufsicht, die sich auf die Leitlinien 07/2020 des Europäischen Datenschutzausschusses stützt. (Quelle: lda.bayern.de/media/veroeffentlichungen/Abgrenzungshilfe_Auftragsverarbeitung.pdf) Die Zeilen zu Backup-Auslagerung, Datenträgerentsorgung, Fernwartung und Infrastruktur nennt das Kurzpapier Nr. 13 der Datenschutzkonferenz (Stand: 17.12.2018): Bei Prüfung oder Wartung automatisierter Verfahren liegt Auftragsverarbeitung vor, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf)

Ein Newsletter-Dienst speichert die Empfängerliste und versendet in Ihrem Auftrag; er verarbeitet damit personenbezogene Daten nach Ihren Weisungen. Das ist der Normalfall für einen AVV. Das gilt ebenso für einen Hoster, der E-Mail-Postfächer oder ein Kontaktformular betreibt. Prüfen Sie zusätzlich in den Vertragsunterlagen, ob der Anbieter die Daten auch für eigene Zwecke nutzt; für diesen Teil wäre er selbst Verantwortlicher.

Was muss im AV-Vertrag stehen?

Art. 28 Abs. 3 DSGVO schreibt vor, dass der Vertrag insbesondere regelt, dass der Auftragsverarbeiter:

Daten nur auf dokumentierte Weisung verarbeitet, auch bei Übermittlungen in Drittländer, sofern nicht Unionsrecht oder nationales Recht ihn zur Verarbeitung verpflichtet,
die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet,
alle nach Art. 32 erforderlichen Sicherheitsmaßnahmen ergreift,
die Bedingungen für weitere Auftragsverarbeiter (Unterauftragnehmer) einhält,
den Verantwortlichen bei der Beantwortung von Betroffenenanträgen unterstützt,
ihn bei den Pflichten aus den Art. 32 bis 36 unterstützt, etwa bei Datenpannen,
nach Ende der Leistung alle Daten nach Wahl des Verantwortlichen löscht oder zurückgibt,
alle Informationen zum Nachweis der Pflichten bereitstellt und Überprüfungen einschließlich Inspektionen ermöglicht und
den Verantwortlichen unverzüglich informiert, wenn er eine Weisung für rechtswidrig hält.

(Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 28 Abs. 3)

Wie ist es mit Unterauftragnehmern?

Der Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er den Verantwortlichen über jede beabsichtigte Änderung informieren, damit dieser Einspruch erheben kann. Setzt er einen Unterauftragnehmer ein, gelten dieselben Datenschutzpflichten auch für diesen. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 28 Abs. 2 und 4)

Brauche ich eine Unterschrift?

Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 28 Abs. 9) Das BayLDA weist darauf hin, dass im Detail unterschiedlich diskutiert wird, was das elektronische Format genau meint, es aber Sache der Vertragspartner ist, den elektronischen Vertragsabschluss für eigene Zwecke und für die Kontrolle durch Aufsichtsbehörden nachvollziehbar zu dokumentieren. (Quelle: lda.bayern.de/media/veroeffentlichungen/FAQ_ADV_Formerfordernis.pdf) Bewahren Sie deshalb die Bestätigung des Vertragsschlusses oder die Vertragsfassung mit Datum auf, wenn Sie ihn im Kundenkonto des Anbieters per Klick abschließen.

Gibt es Muster?

Die bayerische Aufsicht nennt als Möglichkeiten individuelle Regelungen oder Standardvertragsklauseln der EU-Kommission oder der zuständigen Aufsichtsbehörde. (Quelle: lda.bayern.de/de/thema_auftragsverarbeitung.html) Die Kommission hat solche Klauseln mit dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 festgelegt. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915) Zusätzlich bietet das BayLDA eine Formulierungshilfe an, die ausdrücklich keine Standardvertragsklauseln im Sinne von Art. 28 Abs. 8 DSGVO darstellt und an den Auftrag angepasst werden muss. Sie hält zudem fest, dass eine Verlagerung der Leistung in ein Drittland der vorherigen Zustimmung des Auftraggebers bedarf und nur zulässig ist, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. (Quelle: lda.bayern.de/media/muster/formulierungshilfe_av.pdf)

Bei großen Anbietern liegt meist ein fertiger Vertrag vor, den Sie annehmen. Lesen Sie ihn trotzdem durch: Er sollte alle oben genannten Punkte enthalten, die Unterauftragnehmer und den Speicherort benennen und die Sicherheitsmaßnahmen konkret beschreiben.

Was gilt bei Anbietern in den USA?

Seit dem 10. Juli 2023 gibt es einen Angemessenheitsbeschluss der EU-Kommission für das EU-US Data Privacy Framework (DPF). Er betrifft nur US-Unternehmen mit aktiver Selbstzertifizierung; wer die Zertifizierung nicht hat, kann sich nicht auf das DPF stützen. Ob ein Anbieter aktiv zertifiziert ist, prüfen Sie in der Liste des US-Handelsministeriums. Die Zertifizierung muss jährlich erneuert werden. (Quelle: edpb.europa.eu/system/files/2026-04/edpb_dpf_faq-for-businesses_v2_en.pdf, Version 2.0, angenommen am 15. Januar 2026)

Ein AV-Vertrag bleibt daneben nötig: Bei der Übermittlung an einen Auftragsverarbeiter in den USA müssen beide einen Vertrag nach Art. 28 schließen, unabhängig von der DPF-Zertifizierung. (Quelle: edpb.europa.eu/system/files/2026-04/edpb_dpf_faq-for-businesses_v2_en.pdf) Hat der Anbieter keine passende Zertifizierung, kommen andere Übermittlungsinstrumente wie Standarddatenschutzklauseln in Betracht. Deren Eignung muss der Verantwortliche selbst prüfen und gegebenenfalls mit zusätzlichen Maßnahmen absichern. (Quelle: datenschutzkonferenz-online.de/media/ah/230904_DSK_Ah_EU_US.pdf) Ein EU-Rechenzentrum allein beantwortet die Drittlandfrage nicht, wenn Support oder Administration aus den USA auf die Daten zugreifen können; das ist rechtlich einzuschätzen und kann hier nicht abschließend beantwortet werden.

Was kann passieren, wenn der AVV fehlt?

Verstöße gegen die Pflichten der Verantwortlichen und Auftragsverarbeiter nach den Artikeln 25 bis 39 können mit Geldbußen bis 10 Millionen Euro oder, bei Unternehmen, bis 2 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das ist der Höchstrahmen, kein Standardbetrag. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 83 Abs. 4)

Praktisches Vorgehen

Liste aller externen Dienste anlegen, die Kunden-, Beschäftigten- oder Interessentendaten berühren: E-Mail, Cloud, Buchhaltung, Newsletter, Website-Hosting, Fernwartung, Backup, Entsorgung.
Je Dienst klären: Verarbeitet der Anbieter die Daten nach Ihren Weisungen? Dann AVV.
Vertrag abschließen und samt Datum ablegen. Unterauftragnehmer, Speicherort und Sicherheitsmaßnahmen notieren.
Bei Anbietern außerhalb der EU die Übermittlungsgrundlage klären.
Beim Dienstwechsel die Löschung oder Rückgabe der Daten verlangen und bestätigen lassen.

Die Dienstleister und ihre Verträge gehören auch in das Verarbeitungsverzeichnis und in die Beschreibung der technischen und organisatorischen Maßnahmen. Wenn Datenträger über einen Entsorger vernichtet werden, siehe Datenträger sicher löschen.

Häufige Fragen

Brauche ich für Microsoft 365 oder einen anderen Cloud-Dienst einen AV-Vertrag?: In der Regel ja. Cloud-Dienste für Dokumentenspeicherung, Kalender, Messaging oder Textverarbeitung zählen die bayerische Aufsichtsbehörde und die Leitlinien des Europäischen Datenschutzausschusses zu den typischen Fällen der Auftragsverarbeitung, wenn der Anbieter die Daten im Auftrag verarbeitet.
Ersetzt das EU-US Data Privacy Framework den AV-Vertrag?: Nein. Nach den FAQ des Europäischen Datenschutzausschusses müssen Verantwortlicher und Auftragsverarbeiter in den USA unabhängig von einer DPF-Zertifizierung einen Vertrag nach Art. 28 DSGVO abschließen. Das DPF betrifft die Frage, ob die Übermittlung in die USA zulässig ist.
Brauche ich einen AVV, wenn ein IT-Dienstleister einmal einen Rechner repariert?: Nicht unbedingt. Nach der bayerischen Abgrenzungshilfe, die sich auf den Europäischen Datenschutzausschuss stützt, ist ein Berater, der nur zur Behebung eines Problems geholt wird und dabei rein zufällig Zugang zu Daten erhält, kein Auftragsverarbeiter. Bei dauerhafter Betreuung mit Zugriffsmöglichkeit ist ein AVV üblich.
Muss der AV-Vertrag unterschrieben auf Papier vorliegen?: Nein. Art. 28 verlangt Schriftform, die auch in einem elektronischen Format erfolgen kann. Wichtig ist, dass sich der Vertragsschluss nachvollziehbar dokumentieren lässt.