Auftragsverarbeitungsvertrag (AVV): Wann ist er nötig, und muss er unterschrieben sein?
Kurz gesagt: Verarbeitet ein Auftragnehmer personenbezogene Daten im Auftrag der Behörde, etwa als Cloud-, Hosting-, Wartungs- oder Druckdienstleister, braucht es neben dem Hauptvertrag einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 DSGVO oder ein anderes Rechtsinstrument. Der AVV ist schriftlich abzufassen, was nach Art. 28 Abs. 9 DSGVO ausdrücklich auch elektronisch geschehen kann; eine Nassunterschrift verlangt die DSGVO dafür nicht. Als EU-Recht gilt das für Bund, Länder und Kommunen gleichermaßen.
Wann ein Auftragsverarbeitungsvertrag nötig ist
Entscheidend ist, ob der Dienstleister personenbezogene Daten im Auftrag der Behörde verarbeitet. Typische Fälle sind Cloud-Dienste und Hosting, Wartung mit Zugriff auf Daten und Druckdienstleister. Der Leistungsvertrag allein genügt dann nicht. Das gilt auch für Cloud-Verträge nach den EVB-IT Cloud: Verarbeitet der Anbieter personenbezogene Daten im Auftrag, ist die Auftragsverarbeitung zusätzlich zum Vertragsmuster zu regeln.
Was hineingehört
Der Vertrag legt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Rechte und Pflichten der Behörde fest. Pflichtinhalte nach Art. 28 Abs. 3 Buchst. a bis h DSGVO sind unter anderem:
- Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit
- Sicherheitsmaßnahmen nach Art. 32 DSGVO
- Regeln für Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten und bei den Pflichten nach Art. 32 bis 36 DSGVO
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweise und Kontrollen
Die EU-Kommission hat dafür Standardvertragsklauseln erlassen (Art. 28 Abs. 7 DSGVO, Durchführungsbeschluss (EU) 2021/915).
Form: schriftlich, auch elektronisch
Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abgefasst ist, und lässt dafür ausdrücklich ein elektronisches Format zu. „Schriftlich“ bedeutet hier also nicht, dass der AVV handschriftlich unterschrieben sein muss.
Hauptvertrag und AVV gemeinsam führen
Der AVV nennt die Dauer der Verarbeitung und muss deshalb zur Laufzeit des Hauptvertrags passen. Läuft der Hauptvertrag aus oder wird er verlängert, ist der AVV mitzuführen. In einem Vertragsregister wird er deshalb am besten zusammen mit dem Hauptvertrag geführt, damit bei Kündigung oder Verlängerung beide bedacht werden.
Siehe auch
- EVB-IT und BVB: Welcher IT-Vertrag für Softwarelizenz, Pflege, Cloud und Individualentwicklung?
- DSGVO-Löschung trotz Aufbewahrungsfrist: Was tun, wenn jemand die Löschung seiner Daten verlangt?
- Vertragsschluss durch Zuschlag: Ab wann gilt der Vertrag, und was gilt nach Ablauf der Bindefrist?
Quellen
Auch gefragt: Brauchen wir zusätzlich zum Hauptvertrag einen Auftragsverarbeitungsvertrag, und muss der unterschrieben sein? · Was muss in einem Auftragsverarbeitungsvertrag stehen? · Muss der AVV verlängert werden, wenn der Hauptvertrag verlängert wird?
Stand: Oktober 2026. Allgemeine Information, keine Rechtsberatung. Maßgeblich sind die geltenden Vorschriften und die Regeln Ihres Hauses.