---
title: "AVV (Auftragsverarbeitungsvertrag)"
description_de: "Ein AVV regelt die Datenverarbeitung durch externe Dienstleister — Pflicht bei Cloud- und IT-Dienstleistern."
description_en: "A DPA governs data processing by external providers — required for cloud and IT services."
url: /wissen/glossar/avv
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was ist ein AVV?"
---

# AVV (Auftragsverarbeitungsvertrag)

<AnswerCapsule>
  Ein AVV (Auftragsverarbeitungsvertrag) regelt, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet — Pflicht nach Art. 28 [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) für Cloud, IT-Betreuung, Lohnabrechnung und viele SaaS-Tools.
</AnswerCapsule>

## Was bedeutet ein AVV?

Inhalt: Gegenstand, Dauer, Art der Daten, Pflichten des Auftragsverarbeiters (Sicherheit, Subunternehmer, Löschung, Meldung bei [Datenpanne](/wissen/glossar/datenpanne)), Kontrollrechte. Standard-AVV vieler Anbieter oft ausreichend — prüfen auf EU-Standort und Subprozessoren.

Ohne AVV ist Nutzung rechtlich heikel — Audits und Mandantenfragen blockieren Geschäft. [MSP](/wissen/glossar/msp) mit Admin-Zugriff auf Mandantendaten braucht AVV ebenso wie [Microsoft 365](/wissen/microsoft-365).

Subunternehmer-Klausel: darf der Anbieter Sub-Prozessoren in Drittländern nutzen? Standardvertragsklauseln, TIA dokumentieren. Register aller AVV mit Verantwortlichem und Review-Datum pflegen.

Bei Beschaffung neuer Software: AVV-Check vor erstem Login mit echten Daten. Register in [SharePoint](/wissen/glossar/sharepoint) mit Verantwortlichem und Review-Datum. Fehlende AVV nachfordern oder Tool ersetzen — keine Ausnahme „weil klein“.

Der AVV regelt Zweck, Dauer, Art der Verarbeitung, Unterauftragsverarbeiter, technische Schutzmaßnahmen und Löschung nach Vertragsende. Bei US-Anbietern prüfen Sie Drittlandtransfer — Standardvertragsklauseln oder gleichwertige Garantien müssen dokumentiert sein.

## Warum ist ein AVV relevant für KMU?

KMU nutzen Dutzende Cloud-Dienste — AVV-Register fehlt oft bei jedem dritten Tool.

[Mallorca](/wissen/it-mallorca): spanische und deutsche Anbieter — AVV in beiden Sprachen verständlich halten.

Neues SaaS-Tool ohne AVV-Check — Stoppschild im Beschaffungsprozess. Assistenz darf kein Tool „mal testen“ mit echten Mandantendaten ohne Prüfung.

Kettenhaftung bei Subunternehmern — ohne AVV haften Sie für fremde Fehler mit. Sauberes AVV-Register ist Due-Diligence bei jedem Cloud-Tool.

Standardvertragsklauseln und Drittlandtransfer prüfen bei US-Tools. AVV-Register bei Beschaffung Pflichtfeld. Jährliches Review — Anbieter ändern Bedingungen.

Jede Cloud-Software mit personenbezogenen Daten braucht einen Auftragsverarbeitungsvertrag — ohne AVV ist der Einsatz rechtlich angreifbar. Ein Register mit Review-Datum verhindert, dass neue Tools unter Druck ohne Prüfung live gehen.

Beschaffung sollte AVV-Check als Pflichtfeld haben — kein Login mit echten Mandantendaten vor unterschriebenem Vertrag. Jährliches Review der Register-Einträge verhindert veraltete Verträge.

## Typische Fehler

* SaaS ohne AVV „weil klein“
* AVV unterschrieben, aber Subprozessoren in USA ungeprüft
* Kein Register welche AVV zu welchem Tool gehört
* IT-Vertrag ohne AVV-Anlage

## Praxisbeispiel

Kanzlei erstellt AVV-Register: [M365](/wissen/microsoft-365), [Backup](/wissen/glossar/backup), [MSP](/wissen/glossar/msp), Buchhaltung, Bewerber-Tool. Fehlende AVV bei altem Newsletter-Tool — Anbieter liefert nach, sonst Kündigung. DSGVO-Audit bestanden.

Neue HR-Software soll starten — Beschaffung stoppt, bis AVV vorliegt. Subunternehmer in den USA: Standardvertragsklauseln geprüft. Register listet 14 Auftragsverarbeiter mit Review-Datum; fehlende Verträge werden nachgefordert oder Tool abgelehnt.

## Verwandte Begriffe

* [TOM](/wissen/glossar/tom)
* [Managed Services](/wissen/glossar/managed-services)
* [Cloud-Backup](/wissen/glossar/cloud-backup)
* [DSGVO für KMU](/wissen/it-sicherheit/dsgvo-kmu)
* [Managed Services vs. Support](/wissen/externe-it-betreuung/managed-services-vs-support)

<ServiceCta />


## FAQ

### Brauche ich AVV mit Microsoft?

Microsoft bietet DPA online — aktivieren und dokumentieren; gleiches gilt für Backup-, MSP- und Buchhaltungs-Tools.