AVV prüfen: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Checkliste für die Rechtsabteilung

Die Halvorn Messtechnik GmbH in Kassel, 1.240 Beschäftigte, will die HR-Software der Lindvarr Personalsoftware GmbH aus Leipzig einführen. Der Auftragsverarbeitungsvertrag kommt als Click-Through im Kundenportal. Die Liste der Unterauftragsverarbeiter steht „unter www...“, Änderungen „werden auf der Website veröffentlicht“, den Support leistet eine US-Gesellschaft des Lindvarr-Konzerns. Die Haftung ist „insgesamt begrenzt auf die Entgelte der letzten 12 Monate“, das sind 38.400 Euro. Die Personalabteilung möchte morgen klicken.

Dieser Beitrag richtet sich an Rechtsabteilungen, Syndikusrechtsanwältinnen und Syndikusrechtsanwälte, Geschäftsführung und Datenschutzbeauftragte, die den AVV eines SaaS- oder Cloud-Anbieters vor Unterschrift prüfen. Im englischen Sprachgebrauch heißt derselbe Vertrag DPA (Data Processing Addendum oder Data Processing Agreement). Sie erhalten die Pflichtinhalte nach Art. 28 DSGVO und ein Prüfraster mit 14 Punkten und Norm je Zeile.

Hinweis: Dieser Beitrag ist Rechtsinformation, keine Rechtsberatung im Sinne von § 2 RDG.

Stand: 18. Oktober 2026 (Normtexte, Rechtsprechung, Status Data Privacy Framework und Digital-Omnibus)

Die Kurzantwort: Wie prüft man einen Auftragsverarbeitungsvertrag?

Einen Auftragsverarbeitungsvertrag (AVV) prüfen Sie in drei Schritten. Erstens klären, ob der Anbieter überhaupt Auftragsverarbeiter ist und nicht gemeinsam Verantwortlicher (Art. 26 DSGVO) oder eigener Verantwortlicher. Zweitens die acht Pflichtinhalte des Art. 28 Abs. 3 Satz 2 lit. a bis h DSGVO abhaken. Drittens die Praxisrisiken prüfen: Unterauftragsverarbeiter, TOMs, Drittlandtransfer, Audit, Löschung und Haftung.

Schritt 1: Wann ist ein Auftragsverarbeitungsvertrag erforderlich? Die Rolle des Anbieters

Ein AVV ist nur nötig, wenn der Anbieter personenbezogene Daten „im Auftrag des Verantwortlichen“ verarbeitet (Art. 4 Nr. 8 DSGVO). Verantwortlicher ist, wer allein oder gemeinsam mit anderen über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Deshalb beginnt jede AVV-Prüfung mit der Rolle, nicht mit den Klauseln.

Legen zwei Stellen Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche. Dann gehört eine Vereinbarung nach Art. 26 DSGVO auf den Tisch: Das Wesentliche muss den Betroffenen zur Verfügung stehen (Abs. 2), und die Betroffenen können ihre Rechte gegenüber jedem Verantwortlichen geltend machen (Abs. 3). Der EuGH hat 2023 klargestellt, dass gemeinsame Verantwortlichkeit auch ohne eine solche Vereinbarung entsteht (Urteil vom 05.12.2023, C-683/21, Tenor 2).

Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die DSGVO selbst Zwecke und Mittel, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Der Europäische Datenschutzausschuss (EDPB, deutsch EDSA) beschreibt das in seinen Leitlinien 07/2020 am Beispiel eines Werbedienstleisters, der die Kundendatenbank seines Auftraggebers auch für die Entwicklung des eigenen Geschäfts nutzt (Version 2.1, Rn. 81). Zugleich ist nicht jeder Dienstleister Auftragsverarbeiter: Ist die Datenverarbeitung nicht der Kern der Leistung, kann er eigener Verantwortlicher sein (Rn. 82).

Tabelle 1: Rolle des Anbieters und passender Vertrag, Stand 17. Oktober 2026 (DSGVO in der Fassung ABl. L 119 vom 04.05.2016 mit Berichtigungen; EDPB-Leitlinien 07/2020, Version 2.1)

Für standardisierte Cloud-Dienste zeigt der EDPB an einem Beispiel: Auch wenn der Anbieter die Bedingungen einseitig stellt, bleibt der Kunde Verantwortlicher und der Anbieter Auftragsverarbeiter, soweit er die Daten nicht für eigene Zwecke, sondern nur im Auftrag und nach Weisung verarbeitet (Leitlinien 07/2020, Beispiel „standardised cloud storage service“). Dass der Anbieter den Vertragstext vorgibt, macht ihn nicht zum Verantwortlichen (Rn. 110). Für Halvorn heißt das: Lindvarr ist Auftragsverarbeiterin, Halvorn bleibt verantwortlich.

Typische Fälle ohne Auftragsverarbeitung (DSK-Kurzpapier Nr. 13)

Die Datenschutzkonferenz (DSK) nennt im Kurzpapier Nr. 13 (Stand 17.12.2018, Anhang B) Fälle, in denen „in der Regel“ keine Auftragsverarbeitung vorliegt: Berufsgeheimnisträger wie Steuerberater, Rechtsanwälte, externe Betriebsärzte und Wirtschaftsprüfer, Inkasso mit Forderungsübertragung, die Bank beim Geldtransfer und Postdienste. Für Steuerberater ist das inzwischen Gesetz: Sie sind bei der Verarbeitung sämtlicher personenbezogener Daten ihrer Mandanten Verantwortliche (§ 11 Abs. 2 Satz 2 StBerG), auch bei der Lohnabrechnung. Anders ein Rechenzentrum, das nur DV-technische Arbeiten für die Lohnabrechnung erledigt, oder Fernwartung mit möglichem Zugriff auf personenbezogene Daten: Das ist Auftragsverarbeitung (Anhang A). Wer Kanzleidienstleister beauftragt, prüft zusätzlich Berufsrecht; dazu die Datenschutz-Checkliste für Kanzleien.

Eine Abgrenzung noch: Der EU Data Act regelt Datenzugang und Anbieterwechsel bei Cloud-Diensten. Für die Verarbeitung personenbezogener Daten im Auftrag bleibt daneben Art. 28 DSGVO der Maßstab.

Schritt 2: Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO (lit. a bis h)

Art. 28 Abs. 3 DSGVO verlangt einen Vertrag, der den Auftragsverarbeiter bindet und acht Pflichten ausdrücklich festlegt. Vorab muss der Vertrag nach Satz 1 Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Danach sieht er nach Satz 2 vor, dass der Auftragsverarbeiter

1. 1.

   lit. a: die Daten nur auf dokumentierte Weisung verarbeitet, „auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland“, es sei denn, Unionsrecht oder mitgliedstaatliches Recht verpflichtet ihn; dann teilt er das vorher mit, sofern dieses Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

2. 2.

   lit. b: gewährleistet, dass die befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

3. 3.

   lit. c: alle nach Art. 32 erforderlichen Maßnahmen ergreift;

4. 4.

   lit. d: die Bedingungen der Absätze 2 und 4 für weitere Auftragsverarbeiter einhält;

5. 5.

   lit. e: den Verantwortlichen bei Anträgen betroffener Personen nach Kapitel III unterstützt;

6. 6.

   lit. f: den Verantwortlichen bei den Pflichten aus Art. 32 bis 36 unterstützt (Sicherheit, Meldung und Benachrichtigung bei Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation);

7. 7.

   lit. g: nach Abschluss der Leistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen „entweder löscht oder zurückgibt und die vorhandenen Kopien löscht“, sofern keine Speicherpflicht besteht;

8. 8.

   lit. h: alle Informationen zum Nachweis bereitstellt und Überprüfungen „einschließlich Inspektionen“ durch den Verantwortlichen oder einen von ihm beauftragten Prüfer ermöglicht.

Lit. g lesen Sie in der berichtigten Fassung: Der Halbsatz zu den Kopien kam erst mit der Berichtigung im Amtsblatt L 127 vom 23. Mai 2018 in den deutschen Text. Achten Sie darauf, dass das DPA die berichtigte Fassung übernimmt und die Kopien ausdrücklich erfasst. Hinzu kommt Unterabsatz 2: Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich.

Ein guter AVV schreibt das Gesetz nicht nur ab, sondern sagt konkret, wie die Pflichten erfüllt werden (EDPB-Leitlinien 07/2020, Rn. 112, 126, 133).

Form: schriftlich oder elektronisch, auch als Click-Through-DPA

Der AVV ist „schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann“ (Art. 28 Abs. 9 DSGVO). Die Schriftform des § 126 BGB ist nicht der Maßstab. Mündliche Abreden genügen nach dem EDPB nie; Unterschriften empfiehlt er, um nachweisen zu können, dass der Vertrag gilt (Rn. 101). Ein Click-Through-DPA im Kundenportal ist damit möglich, wenn Sie Zeitpunkt, Fassung und Annahme dokumentieren. Fehlt ein AVV ganz, verstoßen beide Parteien gegen Art. 28 (Rn. 103).

Die „Textform“ des deutschen Rechts ist hier nicht gemeint. Sie steht in § 62 Abs. 6 BDSG, der nur für öffentliche Stellen gilt, die Straftaten oder Ordnungswidrigkeiten verhüten, verfolgen oder ahnden (§ 45 BDSG), und in § 43e Abs. 3 Satz 1 BRAO für Kanzleidienstleister.

Kritischer als die Form ist die Änderung. Der EDPB hält fest: Änderungen eines DPA in Standardbedingungen soll der Anbieter dem Kunden direkt mitteilen und genehmigen lassen; die bloße Veröffentlichung auf der Website „is not compliant with Article 28“ (Rn. 110). Ein Verhandlungsungleichgewicht rechtfertigt nicht, rechtswidrige Klauseln zu akzeptieren (ebenda). Für Halvorn ist die Klausel „Änderungen werden auf der Website veröffentlicht“ deshalb der erste Nachverhandlungspunkt.

Unterauftragsverarbeiter: gesonderte oder allgemeine Genehmigung

Der Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit „vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung“ einschalten (Art. 28 Abs. 2 Satz 1 DSGVO). Bei der allgemeinen Genehmigung muss er über jede beabsichtigte Hinzuziehung oder Ersetzung informieren, damit der Verantwortliche Einspruch erheben kann (Satz 2).

Der Unterschied liegt im Schweigen. Bei der gesonderten Genehmigung gilt eine ausbleibende Antwort als Ablehnung (EDPB-Leitlinien 07/2020, Rn. 155). Bei der allgemeinen Genehmigung kann das Schweigen innerhalb der vereinbarten Frist als Zustimmung gelten (Rn. 157). Deshalb muss der Vertrag die Frist und den Kommunikationsweg regeln und sagen, was nach einem Widerspruch geschieht, etwa binnen welcher Zeit die Parteien über die Beendigung entscheiden (Rn. 158). Die Liste der Unterauftragsverarbeiter soll Ort, Tätigkeit und Garantien nennen (Rn. 152), und die ganze Kette braucht schriftliche Verträge mit funktional gleichen Pflichten (Rn. 160; Art. 28 Abs. 4 Satz 1).

Der EDPB hat das 2024 präzisiert: Verantwortliche sollen die Identität aller Auftragsverarbeiter und Unterauftragsverarbeiter, also Name, Anschrift und Ansprechperson, „readily available at all times“ haben, unabhängig vom Risiko der Verarbeitung; der Auftragsverarbeiter soll sie von sich aus liefern und aktuell halten (Stellungnahme 22/2024 vom 07.10.2024, Executive Summary). Nach unserer Einschätzung reicht ein bloßer Link auf eine änderbare Webseite dafür nur mit aktiver Änderungsmitteilung.

Für Fehler der Kette haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen (Art. 28 Abs. 4 Satz 2 DSGVO). Ein DPA, das die Haftung für Unterauftragsverarbeiter ausschließt, steht damit im Widerspruch zur Verordnung.

Fallbeispiel: Kündigt Lindvarr am Montag, 02.11.2026 einen neuen US-Supportdienstleister an und gibt das DPA 14 Tage Zeit zum Widerspruch, endet die Frist am Montag, 16.11.2026 (Fristbeginn am Folgetag entsprechend §§ 187 Abs. 1, 188 Abs. 1 BGB; maßgeblich ist die Auslegung des Vertrags). Schweigt Halvorn und regelt das DPA Schweigen als Zustimmung, gilt der Dienstleister als genehmigt.

TOMs nach Art. 32: woran man leere Anlagen erkennt

Lit. c verweist auf Art. 32 DSGVO. Dessen Abs. 1 nennt „gegebenenfalls unter anderem“ Pseudonymisierung und Verschlüsselung, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung. Das Wort „gegebenenfalls“ kam ebenfalls mit der Berichtigung 2018.

Der EDPB verlangt im Vertrag Angaben zu den Sicherheitsmaßnahmen, eine Pflicht des Anbieters, vor Änderungen die Zustimmung des Verantwortlichen einzuholen, und eine regelmäßige Überprüfung (Rn. 126). Die Beschreibung muss so genau sein, dass Sie die Angemessenheit nach Art. 32 Abs. 1 beurteilen können. Ob ein Anbieter hinreichende Garantien bietet (Art. 28 Abs. 1), prüfen Sie über Dokumentation, Zertifizierungen etwa der ISO-27000-Reihe und Auditberichte (Rn. 95); diese Pflicht endet nicht mit der Unterschrift (Rn. 99). Genehmigte Verhaltensregeln oder Zertifizierungen sind ein Faktor, kein Freibrief (Art. 28 Abs. 5 DSGVO).

Warnzeichen ist eine TOM-Anlage, die leer ist, nur auf eine „Security“-Seite verweist oder dem Anbieter erlaubt, die Maßnahmen ohne Ihre Zustimmung „gleichwertig“ anzupassen.

Drittlandtransfer: Standardvertragsklauseln 2021/914 und Data Privacy Framework

Jede Übermittlung in ein Drittland braucht eine Grundlage nach Kapitel V DSGVO, auch die Weiterübermittlung „aus dem betreffenden Drittland“ (Art. 44 DSGVO, berichtigte Fassung): einen Angemessenheitsbeschluss (Art. 45) oder eine geeignete Garantie wie die Standardvertragsklauseln (SCC) der Kommission (Art. 46 Abs. 2 lit. c). Im AVV ist der Transfer Teil der Weisung nach lit. a. Ohne Weisung darf der Anbieter weder Unterauftragsverarbeiter im Drittland einsetzen noch Konzerneinheiten außerhalb der EU verarbeiten lassen (EDPB-Leitlinien 07/2020, Rn. 119, 120).

Zwei Sätze Standardvertragsklauseln: 2021/915 und 2021/914

Die Kommission hat am 04.06.2021 zwei Klauselwerke beschlossen, die oft verwechselt werden:

• —

  Durchführungsbeschluss (EU) 2021/915: Standardvertragsklauseln nach Art. 28 Abs. 7 DSGVO, ein amtlicher AVV für Verarbeitungen innerhalb der EU. Sie erfüllen Art. 28 Abs. 3 und 4 (Art. 1 des Beschlusses).

• —

  Durchführungsbeschluss (EU) 2021/914: Standardvertragsklauseln für Drittlandübermittlungen nach Art. 46 DSGVO in vier Modulen: 1 Verantwortlicher an Verantwortlichen, 2 Verantwortlicher an Auftragsverarbeiter, 3 Auftragsverarbeiter an Auftragsverarbeiter, 4 Auftragsverarbeiter an Verantwortlichen. Module 2 und 3 enthalten zugleich die Regeln des Art. 28 Abs. 3 und 4 (Art. 1 Abs. 2).

Die alten SCC von 2001 und 2010 sind mit Wirkung vom 27.09.2021 aufgehoben, Altverträge galten nur bis 27.12.2022 (2021/914, Art. 4). Ein DPA, das 2026 noch auf die Klauseln von 2010 verweist, ist überholt. Die SCC 2021/914 passen zudem nur, soweit der Datenimporteur nicht selbst der DSGVO unterliegt (Erwägungsgrund 7).

SCC Modul 2 und 3, Transferbewertung (Klausel 14)

Modul 2 greift, wenn Ihr Anbieter selbst im Drittland sitzt. Bei Halvorn sitzt Lindvarr in Leipzig; hier zählt die Kette: Für die US-Konzerngesellschaft als Unterauftragsverarbeiterin gilt Modul 3. Prüfen Sie vor allem Klausel 9 (Option 1 gesonderte, Option 2 allgemeine Genehmigung), Klausel 14 (Bewertung von Recht und Praxis im Drittland, dokumentiert und der Aufsicht auf Anfrage vorzulegen) sowie Klauseln 17 und 18 (Recht und Gerichte eines EU-Mitgliedstaats). Nach Klausel 5 haben die SCC Vorrang vor widersprechenden Bestimmungen damit zusammenhängender Vereinbarungen, die bei ihrem Abschluss bestehen.

Hintergrund ist das Schrems-II-Urteil (EuGH, 16.07.2020, C-311/18): Der Gerichtshof hat den Privacy Shield für ungültig erklärt und verlangt, dass auch bei SCC ein „der Sache nach gleichwertiges“ Schutzniveau anhand von Vertrag und Drittlandrecht geprüft wird (Tenor 2 bis 5). Zusätzliche Maßnahmen sind deshalb nötig, soweit die Transferbewertung es verlangt, nicht pauschal.

Data Privacy Framework: Stand Oktober 2026

Für die USA gilt der Angemessenheitsbeschluss (EU) 2023/1795 vom 10.07.2023, der Datenschutzrahmen EU-USA (Data Privacy Framework, DPF). Er erfasst nur Organisationen auf der Data Privacy Framework List des U.S. Department of Commerce (Art. 1), die sich jährlich neu zertifizieren müssen (Erwägungsgrund 49). Für Beschäftigtendaten wie bei Halvorn muss die Organisation bei der Selbstzertifizierung ausdrücklich angeben, dass sie auch Personaldaten erfasst (Anhang I Abschnitt I Nr. 6); prüfen Sie im Listeneintrag also Status und Datenart. Die Kommission hält nach der ersten Überprüfung die nächste „nach drei Jahren“ für angemessen (COM(2024) 451 vom 09.10.2024).

Status am 17. Oktober 2026: Der Beschluss ist in Kraft. Das Gericht der EU (EuG) hat die Nichtigkeitsklage im Verfahren Latombe am 03.09.2025 abgewiesen (T-553/23). Dagegen ist seit 31.10.2025 das Rechtsmittel C-703/25 P beim EuGH anhängig; ein Urteil gibt es nicht, Schlussanträge sind nicht veröffentlicht.

Nach unserer Einschätzung heißt das für die Praxis: DPF-Eintrag des US-Unterauftragsverarbeiters prüfen und im DPA die SCC als Rückfallebene verlangen, falls der Beschluss fällt oder die Zertifizierung ausläuft. Eine Rechtspflicht zu dieser doppelten Absicherung gibt es nicht.

Die Klausel „unless required by law“ (EDPB-Stellungnahme 22/2024)

Englische DPAs enthalten oft den Satz, der Anbieter verarbeite nur auf Weisung, „unless required to do so by law or binding order of a governmental body“. Lit. a erlaubt eine Ausnahme nur für eine Pflicht nach dem Recht der Union oder der Mitgliedstaaten. Der EDPB hält die weite Formulierung nicht per se für einen Verstoß gegen Art. 28 Abs. 3 lit. a; sie entbindet den Anbieter aber von keiner Pflicht aus der DSGVO. Für Daten, die den Europäischen Wirtschaftsraum verlassen, hält der EDPB es für „unlikely“, dass diese Formulierung allein ausreicht (Stellungnahme 22/2024). Verlangen Sie deshalb die Formulierung des Gesetzes („Unionsrecht oder Recht der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt“) oder bei Drittlandbezug die Regelungen der SCC zu lokalen Rechtsvorschriften und Behördenzugriffen.

Kontroll- und Auditrechte (lit. h)

Lit. h ist der Hebel für Kontrollen, und der EDPB konkretisiert ihn. Der Vertrag soll den Informationsfluss regeln: Systeme, Sicherheitsmaßnahmen, Speicherorte, Übermittlungen, Zugriffsberechtigte und eingesetzte Unterauftragsverarbeiter (Rn. 143). Der Anbieter darf einen Prüfer vorschlagen, die letzte Entscheidung liegt beim Verantwortlichen (Rn. 144). Die Kostenverteilung ist Verhandlungssache, aber Klauseln mit „clearly disproportionate or excessive“ Kosten, die vom Audit abschrecken, machen das Recht nach lit. h rein theoretisch (Rn. 145).

Als Maßstab taugen die amtlichen Klauseln 2021/915: Danach prüft der Verantwortliche „in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung“, Zertifizierungen des Anbieters sind zu berücksichtigen, Prüfungen können Inspektionen in den Räumlichkeiten des Anbieters umfassen und erfolgen gegebenenfalls mit angemessener Vorankündigung (Klausel 7.6 lit. c, d). Ein DPA, das nur ein Zertifikat anbietet und Vor-Ort-Prüfungen ausschließt, bleibt dahinter zurück.

Löschung und Rückgabe: was der BGH 2025 vom Verantwortlichen verlangt

Der Bundesgerichtshof hat am 11.11.2025 entschieden, dass die Pflichten des Verantwortlichen mit dem Auftragsende nicht enden (VI ZR 396/24). Leitsatz 1: Der Verantwortliche hat „sicherzustellen, dass ... keinerlei personenbezogene Daten mehr beim Auftragsverarbeiter verbleiben“, und hat „das seinerseits nach den Umständen des Einzelfalls Erforderliche dazu beizutragen, dass sichergestellt ist, dass es bei Auftragsende tatsächlich zur Rückgabe bzw. Löschung“ kommt.

Im entschiedenen Fall sah der Vertrag eine Löschung binnen 21 Tagen und eine schriftliche Bestätigung vor. Der Auftragsverarbeiter kündigte nur an, die Daten zu löschen; die Bestätigung blieb aus, und der Verantwortliche fragte erst mehr als drei Jahre später nach, als die Daten bereits abgegriffen waren. Das reichte nicht: Er hätte die Bestätigung „unmittelbar nach Ablauf der 21-tägigen Frist“ einfordern müssen (Rn. 20), die Entlastung nach Art. 82 Abs. 3 DSGVO gelang ihm nicht (Rn. 23). Werden die beim Auftragsverarbeiter verbliebenen Daten abgegriffen und im Darknet zum Verkauf angeboten, ist das ein immaterieller Schaden (Leitsatz 2). Der BGH hat das Urteil des OLG Dresden unter anderem zum immateriellen Schadensersatz aufgehoben und die Sache insoweit zurückverwiesen.

Der EDPB verlangt im Vertrag eine sichere Löschung, die Bestätigung in vereinbarter Frist und Form und die Löschung aller Kopien (Rn. 141, 142). Intern gehört eine Wiedervorlage dazu.

Fallbeispiel: Endet der Vertrag am Montag, 30.11.2026 und sieht das DPA 30 Tage Löschfrist vor, fordert die Rechtsabteilung ab Donnerstag, 31.12.2026 die Löschbestätigung an (Tabelle 4). Wie Betroffene selbst Löschung verlangen können, erklärt der Beitrag zum Recht auf Löschung.

Haftung im AVV: Haftungs-Cap, Freistellung, Art. 82 DSGVO

Ein Haftungs-Cap im AVV wirkt nur zwischen den Vertragsparteien, nicht gegenüber den betroffenen Personen. Nach Art. 82 Abs. 1 DSGVO kann jede Person, der durch einen Verstoß ein Schaden entstanden ist, Schadensersatz nach Art. 82 DSGVO vom Verantwortlichen oder vom Auftragsverarbeiter verlangen. Der Auftragsverarbeiter haftet nur, wenn er speziell ihm auferlegte Pflichten verletzt oder rechtmäßig erteilte Weisungen missachtet hat (Abs. 2 Satz 2). Entlastet wird nur, wer nachweist, dass er „in keinerlei Hinsicht“ für den Umstand verantwortlich ist, durch den der Schaden eingetreten ist (Abs. 3). Sind mehrere an derselben Verarbeitung beteiligt und nach Abs. 2 und 3 verantwortlich, haftet jeder für den gesamten Schaden (Abs. 4); der Ausgleich im Innenverhältnis richtet sich nach dem Anteil an der Verantwortung (Abs. 5).

Bei Drittlandtransfers kommt Klausel 12 der SCC 2021/914 hinzu: Nach den Fragen und Antworten der Kommission dürfen Klauseln im Hauptvertrag, ausdrücklich auch „liability caps in the relationship between the parties“, die Haftungsregeln der SCC nicht unterlaufen; das gilt für Verstöße gegen die SCC selbst (Q&A, Frage 35).

Vorformulierte Caps unterliegen der AGB-Kontrolle nach § 307 BGB, zwischen Unternehmen über § 310 Abs. 1 BGB. Eine BGH-Entscheidung speziell zu Haftungsgrenzen in AVVs ist uns nicht bekannt; den allgemeinen Maßstab erklärt der Beitrag zur Haftungsbeschränkung in B2B-Verträgen.

Rechenbeispiel (Größenordnung, keine Prognose): Der BGH hatte bei bloßem Kontrollverlust „in einem Fall wie dem streitgegenständlichen“ keine Bedenken gegen rund 100 Euro (Urteil vom 18.11.2024, VI ZR 10/24, Rn. 100). Das ist kein Tarif, zeigt aber, wie schnell ein Cap bei Personaldaten aufgebraucht ist.

Tabelle 2: Haftungs-Cap im Fallbeispiel Halvorn, Stand 17. Oktober 2026 (eigene Rechnung, fiktive Zahlen)

Gegenüber den Beschäftigten wirkt der Cap nicht (Art. 82 Abs. 4 DSGVO); Rückgriff bei Lindvarr gibt es, soweit Lindvarr verantwortlich ist, nur bis 38.400 Euro. Ob Ansprüche entstehen, hängt vom Einzelfall ab: Der bloße Verstoß reicht nicht, eine Erheblichkeitsschwelle gibt es aber auch nicht (EuGH, Urteil vom 04.05.2023, C-300/21, Tenor 1, 2). Verhandeln Sie für Datenschutzverstöße einen eigenen, höheren Cap.

Bußgeld: Was ein fehlender oder lückenhafter AVV kostet

Die Pflichten aus Art. 28 und 32 DSGVO gehören zu den Pflichten nach Art. 25 bis 39. Verstöße dagegen können mit bis zu 10.000.000 Euro oder, bei einem Unternehmen, bis zu 2 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, „je nachdem, welcher der Beträge höher ist“ (Art. 83 Abs. 4 lit. a DSGVO). Die oft zitierten 20 Millionen Euro oder 4 % gelten für andere Verstöße, etwa gegen die Regeln zur Drittlandübermittlung (Art. 83 Abs. 5 lit. c DSGVO). Beispiel: Bei 180.000.000 Euro Vorjahresumsatz ergeben 2 % nur 3.600.000 Euro, die Obergrenze liegt daher bei 10.000.000 Euro; bei 750.000.000 Euro ergeben 2 % 15.000.000 Euro, dann gilt dieser höhere Betrag (15.000.000 Euro). Das sind Obergrenzen, keine Prognosen.

Ein Bußgeld setzt Vorsatz oder Fahrlässigkeit voraus; die Behörde muss den Verstoß aber keiner bestimmten natürlichen Person zurechnen (EuGH, Urteil vom 05.12.2023, C-807/21, Deutsche Wohnen, Tenor 1, 2). Der Verantwortliche kann auch für Verarbeitungen seines Auftragsverarbeiters belangt werden, außer dieser handelt für eigene Zwecke oder außerhalb des festgelegten Rahmens (C-683/21, Tenor 4).

Amtliches Muster: Standardvertragsklauseln (EU) 2021/915 als Maßstab

Wer einen „Auftragsverarbeitungsvertrag Muster“ sucht, findet das amtliche Muster im Durchführungsbeschluss (EU) 2021/915. Die Klauseln erfüllen Art. 28 Abs. 3 und 4 DSGVO (Art. 1 des Beschlusses), liegen in allen Amtssprachen vor und dürfen außer in den Anhängen nicht verändert werden; die Einbettung in einen größeren Vertrag ist erlaubt, solange nichts widerspricht (Klausel 2).

Sie enthalten Optionen für gesonderte oder allgemeine Genehmigung von Unterauftragsverarbeitern, eine Kopie des Untervertrags auf Verlangen, die volle Haftung für Unterauftragsverarbeiter, eine Drittbegünstigtenklausel für die Insolvenz (Klausel 7.7), Regeln zu Datenpannen (Klausel 9), ein Kündigungsrecht, wenn die Einhaltung nicht binnen eines Monats nach einer Aussetzung wiederhergestellt ist, und nach Wahl des Kunden Löschung mit Bescheinigung oder Rückgabe samt Löschung der Kopien (Klausel 10 lit. d).

Nach unserer Einschätzung taugt das amtliche Muster als Referenz: Was es dem Kunden gewährt, sollte ein Anbieter-DPA nicht ohne Grund unterschreiten. Auch der EDPB sieht in diesen Klauseln ein Mittel, ungleiche Verhandlungspositionen auszugleichen (Leitlinien 07/2020, Rn. 109).

Das Prüfraster: 14 Punkte, woran man einen schwachen Auftragsverarbeitungsvertrag erkennt

Jede Zeile nennt die Norm und das typische Warnzeichen in einem Anbieter-DPA.

Tabelle 3: Prüfpunkt, Norm und Warnzeichen im AVV, Stand 17. Oktober 2026 (DSGVO mit Berichtigungen 2016 und 2018; EDPB-Leitlinien 07/2020 Version 2.1; EDPB-Stellungnahme 22/2024; Beschlüsse (EU) 2021/914, 2021/915, 2023/1795; „Rn.“ = Randnummer der EDPB-Leitlinien 07/2020)

Checkliste Auftragsverarbeitungsvertrag für die Rechtsabteilung (zum Kopieren)

1. Rolle geklärt: Auftragsverarbeiter, gemeinsam Verantwortlicher oder eigener Verantwortlicher? Eigene Zwecke des Anbieters ausgeschlossen?
2. Satz-1-Angaben konkret: Gegenstand, Dauer, Art und Zweck, Datenarten, Betroffenenkategorien.
3. Weisungen: Wer erteilt sie wie, wie werden sie dokumentiert? Hinweispflicht bei rechtswidriger Weisung?
4. Ausnahme von der Weisungsbindung möglichst nur für Unions- oder Mitgliedstaatsrecht (EDPB: dringend empfohlen, nicht zwingend); „any law or binding order“ bei Drittlandbezug nur mit den SCC-Regeln zu Behördenzugriffen.
5. Vertraulichkeit für alle befugten Personen, auch Leiharbeitskräfte.
6. TOM-Anlage konkret, Änderungen nur mit Zustimmung, regelmäßige Überprüfung.
7. Unterauftragsverarbeiter: Liste mit Name, Anschrift, Ort, Tätigkeit; aktive Mitteilung jeder Änderung; Frist und Folgen des Widerspruchs.
8. Unterstützung bei Betroffenenanfragen geregelt, Kosten begrenzt.
9. Datenpanne: Meldung an Sie „unverzüglich“, besser mit Stundenfrist und Mindestinhalt.
10. Löschung oder Rückgabe nach Ihrer Wahl, mit Frist, Kopien und Backups, schriftlicher Bestätigung; interne Wiedervorlage gesetzt.
11. Audit: Informationen, Prüfer nach Ihrer Wahl, Vor-Ort-Prüfung möglich, keine abschreckenden Kosten.
12. Drittland: Liste der Empfänger außerhalb des EWR, DPF-Eintrag geprüft (aktiv, bei Beschäftigtendaten auch für Personaldaten); ohne Eintrag SCC 2021/914 im richtigen Modul mit Transferbewertung nach Klausel 14, mit Eintrag SCC als Rückfallebene.
13. Haftung: kein Gesamt-Cap für Datenschutzverstöße ohne eigene Grenze; keine Freizeichnung für Unterauftragsverarbeiter.
14. Vorrang des AVV vor AGB und Hauptvertrag; keine einseitige Änderung durch Veröffentlichung auf der Website.

Fristen im Fallbeispiel

Tabelle 4: Fristen für Halvorn, Stand 17. Oktober 2026 (eigene Rechnung; vertragliche Fristen aus dem fiktiven DPA, gesetzliche aus Art. 33 Abs. 1 DSGVO)

Die Meldefrist an die Aufsichtsbehörde beginnt, sobald Halvorn als Verantwortliche von der Panne erfährt (Art. 33 Abs. 1 DSGVO); Lindvarr muss Halvorn „unverzüglich“ informieren (Abs. 2). Ein DPA, das dem Anbieter eine „angemessene Frist“ lässt, kann diese 72 Stunden aufzehren. Der EDPB hält es für möglich, im Vertrag eine Frist in Stunden festzulegen (Rn. 136).

AVV mit dem Lulius Dokument-Check prüfen

Der KI-Rechtsassistent für Rechtsabteilungen von Lulius beantwortet Rechtsfragen mit exakter Fundstelle aus dem Bundesrecht, aus Entscheidungen der Bundesgerichte seit 2010 und aus dem EU-Recht in Lulius, darunter DSGVO und Rechtsprechung von EuGH und EuG. Im Dokument-Check laden Sie das DPA eines Anbieters als PDF oder DOCX hoch, auch als Scan. Lulius benennt problematische Klauseln mit der Norm, an der sie scheitern, und die Punkte, die Sie nachverhandeln sollten. Personenbezogene Angaben, etwa Namen von Ansprechpartnern, schwärzen Sie vorher im Browser, zum Beispiel mit PDF schwärzen.

Prüfen Sie mehrere Anbieter, legt der Dokument-Vergleich die DPAs nebeneinander: je Zeile ein Dokument, je Spalte Ihre Frage, etwa Widerspruchsfrist für Unterauftragsverarbeiter, Löschfrist oder Haftungsgrenze, jede Zelle mit Fundstelle im Dokument.

Dokument-Check und Dokument-Vergleich sind im Tarif Solo-Anwalt enthalten, den auch Unternehmen sowie Syndikusrechtsanwältinnen und Syndikusrechtsanwälte (§ 46 Abs. 2 BRAO) buchen können.

Geprüft wird das Dokument, nicht der gesamte Sachverhalt dahinter: Ob der Anbieter seine TOMs tatsächlich umsetzt, zeigt kein Vertragstext. Einen Marktüberblick gibt der Vergleich KI-Tools zur Vertragsprüfung.

Wann ein Anwalt oder die Datenschutzaufsicht die bessere Adresse ist

Bei besonderen Kategorien von Daten oder hohem Risiko. Wer etwa Gesundheitsdaten umfangreich verarbeiten lässt, braucht eine Datenschutz-Folgenabschätzung (Art. 35 Abs. 3 lit. b DSGVO); die Vertragsprüfung ist dann nur ein Teil.

Wenn der Anbieter nicht verhandelt. Ob Sie einen DPA mit Lücken trotzdem annehmen, ist eine Risikoentscheidung der Geschäftsführung, die dokumentiert gehört. Der EDPB erinnert daran, dass Sie mit der Annahme die volle Verantwortung übernehmen (Rn. 110).

Nach einer Datenpanne oder bei Streit über Löschung und Haftung. Dann geht es um Tatsachen, Fristen und Beweise.

Häufige Fragen

Fazit: Erst die Rolle, dann die acht Pflichten, dann die Risiken

Ein Auftragsverarbeitungsvertrag ist schnell unterschrieben und schwer nachverhandelt. Prüfen Sie erst die Rolle (nur bei Verarbeitung im Auftrag gilt Art. 28 DSGVO), dann die Pflichtinhalte nach Art. 28 Abs. 3 lit. a bis h, konkret statt abgeschrieben, dann die Risiken: Unterauftragsverarbeiter mit echtem Widerspruchsrecht, Drittlandtransfer mit DPF-Eintrag oder SCC, Audit ohne Kostenhürde, Löschung mit Bestätigung und eine Haftungsgrenze, die zum Datenbestand passt.

Für Halvorn heißt das: Änderungsklausel und Unterauftragsverarbeiter-Verfahren nachverhandeln, den US-Support über DPF-Liste und SCC Modul 3 absichern, für Datenschutzverstöße einen eigenen Cap verlangen. Und nach dem BGH-Urteil vom 11.11.2025 gilt: Die Löschbestätigung am Vertragsende fordern Sie aktiv an, sie kommt nicht von selbst.

Hinweis: Dieser Beitrag ist Rechtsinformation, keine Rechtsberatung im Sinne von § 2 RDG.

Quellen

Alle Normtexte, Beschlüsse, Leitlinien und Entscheidungen wurden am 17. Oktober 2026 im Volltext geöffnet. EU-Rechtsakte in der deutschen Fassung des Amtsblatts samt Berichtigungen; Bundesrecht und BGH-Urteile über rechtsinformationen.bund.de.

EU-Recht

• —

  Verordnung (EU) 2016/679 (DSGVO), ABl. L 119 vom 04.05.2016, insbesondere Art. 4 Nr. 7 und 8, Art. 26, 28, 32, 33, 35, 44 bis 46, 82, 83; Berichtigung ABl. L 127 vom 23.05.2018 (u. a. Art. 26 Überschrift, Art. 28 Abs. 3 lit. g, Art. 32 Abs. 1, Art. 44); Berichtigung ABl. L 314 vom 22.11.2016 (Art. 28 Abs. 7)

• —

  Durchführungsbeschluss (EU) 2021/914 vom 04.06.2021, Standardvertragsklauseln für Drittlandübermittlungen (Art. 1, 4, Erwägungsgrund 7, Klauseln 2, 5, 8.9, 9, 12, 14, 17, 18)

• —

  Durchführungsbeschluss (EU) 2021/915 vom 04.06.2021, Standardvertragsklauseln nach Art. 28 Abs. 7 DSGVO (Art. 1, Klauseln 2, 4, 7.6, 7.7, 9, 10)

• —

  Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023, Datenschutzrahmen EU-USA (Art. 1, 3, Erwägungsgrund 49, Anhang I Abschnitt I Nr. 6)

• —

  Europäische Kommission, Bericht über die erste Überprüfung des Datenschutzrahmens EU-USA, COM(2024) 451 vom 09.10.2024

• —

  Europäische Kommission, Vorschlag Digital-Omnibus, COM(2025) 837 vom 19.11.2025 (Verfahren 2025/0360(COD), nicht verabschiedet)

• —

  Europäische Kommission, Fragen und Antworten zu den neuen Standardvertragsklauseln, Frage 35

Rechtsprechung

• —

  EuGH, Urteil vom 16.07.2020, C-311/18 (Schrems II), Tenor 2 bis 5

• —

  EuGH, Urteil vom 04.05.2023, C-300/21 (Österreichische Post), Tenor 1 bis 3

• —

  EuGH, Urteil vom 05.12.2023, C-683/21 (Nacionalinis visuomenės sveikatos centras), Tenor 1 bis 4

• —

  EuGH, Urteil vom 05.12.2023, C-807/21 (Deutsche Wohnen), Tenor 1, 2

• —

  EuG, Urteil vom 03.09.2025, T-553/23 (Latombe), ECLI:EU:T:2025:831

• —

  EuGH, Rechtsmittel C-703/25 P, eingelegt am 31.10.2025, ABl. C/2025/6610; Stand 17.10.2026 ohne Urteil und ohne Schlussanträge

• —

  BGH, Urteil vom 11.11.2025, VI ZR 396/24, Leitsätze 1 und 2, Rn. 14 bis 23

• —

  BGH, Urteil vom 18.11.2024, VI ZR 10/24, Leitsatz, Rn. 100

Aufsichtsbehörden

• —

  EDPB, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher“ und „Auftragsverarbeiter“, Version 2.1, Rn. 81, 82, 95 bis 160

• —

  EDPB, Stellungnahme 22/2024 vom 07.10.2024 zu Pflichten bei Einsatz von Auftragsverarbeitern und Unterauftragsverarbeitern

• —

  Datenschutzkonferenz, Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17.12.2018, Anhänge A bis C

• —

  U.S. Department of Commerce, Data Privacy Framework List

Deutsches Recht: §§ 187, 188, 307, 310 BGB; §§ 45, 62 BDSG; § 43e BRAO; § 46 BRAO; § 11 StBerG; § 2 RDG.

Lulius-Funktionen: Lulius für Unternehmen und Dokument-Check, gelesen am 17. Oktober 2026.

Über die Redaktion

Die Lulius Redaktion ordnet Rechtsfragen für Unternehmen, Rechtsabteilungen und Kanzleien neutral und faktenbasiert ein. Für diesen Beitrag wurde jeder Tabellenwert und jedes Datum gegen die amtliche Quelle geprüft und neu berechnet, Normzitate gegen die geltende Fassung samt Berichtigungen. Die Inhalte sind Rechtsinformation, keine Rechtsberatung im Sinne von § 2 RDG.