Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO
Veröffentlicht vonDocMuse
Der Auftragsverarbeitungsvertrag (AVV, ADV-Vertrag) für jedes Unternehmen, das personenbezogene Daten von einem Dienstleister verarbeiten lässt – Hosting, Cloud-Software, Lohnabrechnung, Newsletter-Versand, IT-Wartung. Er enthält alle Pflichtinhalte des Art. 28 Abs. 3 DSGVO: Gegenstand, Dauer, Art und Zweck, Datenarten und Betroffene, Weisungen, Vertraulichkeit, Sicherheit, weitere Auftragsverarbeiter, Unterstützung, Löschung oder Rückgabe, Nachweise und Kontrollen, mit Anlagen zu den technischen und organisatorischen Maßnahmen und den Unterauftragsverarbeitern. Kostenlose Muster bieten auch Aufsichtsbehörden und die EU-Kommission an.
Was Sie ausfüllen
Die Angaben, die das Dokument verlangt.
- Verantwortlicher für die Datenverarbeitung
- Anschrift des Verantwortlichen
- Für den Verantwortlichen unterschreibt
- Auftragsverarbeiter (Dienstleister)
- Anschrift des Auftragsverarbeiters
- Für den Auftragsverarbeiter unterschreibt
- Datenschutzbeauftragter des Auftragsverarbeiters (falls benannt)
- Hauptvertrag (Bezeichnung und Datum)
- Gegenstand, Art und Zweck der Verarbeitung
- Kategorien personenbezogener Daten
- Kategorien betroffener Personen
- Genehmigung weiterer Auftragsverarbeiter
- Einspruchsfrist bei allgemeiner Genehmigung weiterer Auftragsverarbeiter
- Ort der Verarbeitung
- Maßnahmen: Pseudonymisierung und Verschlüsselung
- Maßnahmen: Vertraulichkeit und Integrität
- Maßnahmen: Verfügbarkeit, Belastbarkeit, Wiederherstellung
- Maßnahmen: regelmäßige Überprüfung und Bewertung
- Genehmigte weitere Auftragsverarbeiter (Name, Anschrift, Leistung, Ort) oder „keine“
- Ort
- Datum
Vorschau
Dieses Dokument wird für Sie erstellt. Ihre Angaben werden eingetragen, und das fertige PDF gehört Ihnen.
Häufige Fragen
- Gibt es kostenlose Muster für einen Auftragsverarbeitungsvertrag?
- Ja. Mehrere Datenschutzaufsichtsbehörden der Länder veröffentlichen Formulierungshilfen, etwa das Bayerische Landesamt für Datenschutzaufsicht, und die EU-Kommission hat Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter erlassen (Durchführungsbeschluss (EU) 2021/915). Dieses Dokument ist unsere eigene Fassung: Es enthält alle Pflichtinhalte des Art. 28 Abs. 3 DSGVO und lässt sich direkt ausfüllen.
- Muss ein Auftragsverarbeitungsvertrag auf Papier unterschrieben werden?
- Nein. Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abgefasst ist, was auch in einem elektronischen Format erfolgen kann. Ein als PDF ausgetauschter oder online geschlossener Vertrag genügt daher; eine handschriftliche Unterschrift oder eine qualifizierte elektronische Signatur ist nicht vorgeschrieben. Wichtig ist, dass der Vertrag dokumentiert ist und vorliegt, bevor die Verarbeitung beginnt.
- Wann braucht ein Unternehmen keinen Auftragsverarbeitungsvertrag?
- Wenn der Dienstleister die Daten nicht nach Ihren Weisungen verarbeitet, sondern selbst über Zwecke und Mittel entscheidet – etwa eine Rechtsanwaltskanzlei, eine Bank oder ein Postdienst bei ihrer eigenen Leistung. Dann ist er selbst Verantwortlicher. Wer Daten dagegen nur nach Ihren Vorgaben speichert oder bearbeitet, etwa ein Hoster, ein Cloud-Anbieter oder ein Newsletter-Dienst, ist Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO).
- Was muss der Auftragsverarbeiter bei einer Datenpanne tun?
- Er meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), mit den Angaben, die der Verantwortliche braucht. Denn der Verantwortliche muss sie möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde melden, außer wenn sie voraussichtlich zu keinem Risiko führt (Art. 33 Abs. 1 DSGVO) – bei einem Unternehmen ist das meist die Datenschutzbehörde seines Landes.
So können Sie dieses Dokument unterschreiben
- Ausdrucken und von Hand unterschreiben. Die Unterschriftszeilen im Dokument sind absichtlich leer – unterschreiben Sie dort mit Stift.
- Selbst signieren, mit einer qualifizierten elektronischen Signatur. Wenn Sie bereits eine QES haben – Evrotrust, B-Trust, StampIT, ZealiD oder einen anderen qualifizierten Anbieter von der EU-Vertrauensliste, auf Karte, USB-Token, in einer Smartphone-App oder in der Cloud –, erklärt unsere Signaturanleitung Schritt für Schritt, wie Sie genau diese Datei signieren, ohne sie ungültig zu machen. Schritt-für-Schritt-Hilfe und eine Prüfung, ob es geklappt hat
DocMuse verkauft Dokumente, keine Rechtsberatung. Ob ein Dokument akzeptiert wird, hängt immer von den Regeln des Empfängers und dem Recht vor Ort ab.
Ähnliche Dokumente
- Datenschutz-Auskunft nach Art. 15 DSGVO – Auskunftsersuchen mit Datenkopie
Ihr Auskunftsersuchen an ein Unternehmen, einen Verein oder eine andere Stelle, die Daten über Sie verarbeitet: Sie verlangen nach Art. 15 DSGVO Auskunft, welche Daten gespeichert sind, wozu, an wen sie gehen, wie lange sie bleiben und woher sie stammen, und eine Kopie der Daten – die erste kostenlos. Die Antwort ist binnen eines Monats fällig (Art. 12 Abs. 3 DSGVO). Bleibt sie aus, können Sie sich bei der Datenschutzaufsicht Ihres Landes beschweren. Für Kunden-, Mitglieds- und Nutzerkonten.
- Widerspruch gegen Datenübermittlungen aus dem Melderegister
Das formlose Schreiben an die Meldebehörde, mit dem Sie Übermittlungssperren im Melderegister eintragen lassen: Sie widersprechen – Punkt für Punkt – der Weitergabe Ihrer Daten an Parteien vor Wahlen, an Mandatsträger und Presse bei Alters- und Ehejubiläen und an Adressbuchverlage (§ 50 Abs. 5 BMG) sowie an die Religionsgesellschaft eines Familienmitglieds (§ 42 Abs. 3 BMG). Den zum 01.01.2026 abgeschafften Widerspruch gegen die Übermittlung an die Bundeswehr enthält es nicht. Viele Meldebehörden bieten dafür auch ein eigenes kostenloses Formular an.