Ein AVV (Auftragsverarbeitungsvertrag) regelt, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet — Pflicht nach Art. 28 DSGVO für Cloud, IT-Betreuung, Lohnabrechnung und viele SaaS-Tools.
Was bedeutet ein AVV?
Inhalt: Gegenstand, Dauer, Art der Daten, Pflichten des Auftragsverarbeiters (Sicherheit, Subunternehmer, Löschung, Meldung bei Datenpanne), Kontrollrechte. Standard-AVV vieler Anbieter oft ausreichend — prüfen auf EU-Standort und Subprozessoren.
Ohne AVV ist Nutzung rechtlich heikel — Audits und Mandantenfragen blockieren Geschäft. MSP mit Admin-Zugriff auf Mandantendaten braucht AVV ebenso wie Microsoft 365.
Subunternehmer-Klausel: darf der Anbieter Sub-Prozessoren in Drittländern nutzen? Standardvertragsklauseln, TIA dokumentieren. Register aller AVV mit Verantwortlichem und Review-Datum pflegen.
Bei Beschaffung neuer Software: AVV-Check vor erstem Login mit echten Daten. Register in SharePoint mit Verantwortlichem und Review-Datum. Fehlende AVV nachfordern oder Tool ersetzen — keine Ausnahme „weil klein“.
Der AVV regelt Zweck, Dauer, Art der Verarbeitung, Unterauftragsverarbeiter, technische Schutzmaßnahmen und Löschung nach Vertragsende. Bei US-Anbietern prüfen Sie Drittlandtransfer — Standardvertragsklauseln oder gleichwertige Garantien müssen dokumentiert sein.
Warum ist ein AVV relevant für KMU?
KMU nutzen Dutzende Cloud-Dienste — AVV-Register fehlt oft bei jedem dritten Tool.
Mallorca: spanische und deutsche Anbieter — AVV in beiden Sprachen verständlich halten.
Neues SaaS-Tool ohne AVV-Check — Stoppschild im Beschaffungsprozess. Assistenz darf kein Tool „mal testen“ mit echten Mandantendaten ohne Prüfung.
Kettenhaftung bei Subunternehmern — ohne AVV haften Sie für fremde Fehler mit. Sauberes AVV-Register ist Due-Diligence bei jedem Cloud-Tool.
Standardvertragsklauseln und Drittlandtransfer prüfen bei US-Tools. AVV-Register bei Beschaffung Pflichtfeld. Jährliches Review — Anbieter ändern Bedingungen.
Jede Cloud-Software mit personenbezogenen Daten braucht einen Auftragsverarbeitungsvertrag — ohne AVV ist der Einsatz rechtlich angreifbar. Ein Register mit Review-Datum verhindert, dass neue Tools unter Druck ohne Prüfung live gehen.
Beschaffung sollte AVV-Check als Pflichtfeld haben — kein Login mit echten Mandantendaten vor unterschriebenem Vertrag. Jährliches Review der Register-Einträge verhindert veraltete Verträge.
Typische Fehler
- SaaS ohne AVV „weil klein“
- AVV unterschrieben, aber Subprozessoren in USA ungeprüft
- Kein Register welche AVV zu welchem Tool gehört
- IT-Vertrag ohne AVV-Anlage
Praxisbeispiel
Kanzlei erstellt AVV-Register: M365, Backup, MSP, Buchhaltung, Bewerber-Tool. Fehlende AVV bei altem Newsletter-Tool — Anbieter liefert nach, sonst Kündigung. DSGVO-Audit bestanden.
Neue HR-Software soll starten — Beschaffung stoppt, bis AVV vorliegt. Subunternehmer in den USA: Standardvertragsklauseln geprüft. Register listet 14 Auftragsverarbeiter mit Review-Datum; fehlende Verträge werden nachgefordert oder Tool abgelehnt.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen