Was ist ein Auftragsverarbeitungsvertrag?
Ein Auftragsverarbeitungsvertrag ist der Vertrag, der die personenbezogenen Daten regelt, die ein Dienstleister für seinen Kunden verarbeitet. Überlässt Ihnen ein französisches Unternehmen die Daten seiner Kunden oder Beschäftigten, damit Sie sie hosten, auswerten, für den E-Mail-Versand nutzen oder im Support bearbeiten, ist es der Verantwortliche und Sie sind sein Auftragsverarbeiter. Was Ihr Vertrag enthalten muss, legt das Unionsrecht fest.
Warum die DSGVO ihn vorschreibt
Artikel 28 der Datenschutz-Grundverordnung (DSGVO), Verordnung (EU) 2016/679 (Stand: Oktober 2026), verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter auf einem Vertrag oder einem anderen Rechtsinstrument beruht, das den Auftragsverarbeiter an den Verantwortlichen bindet. Dieser Vertrag ist schriftlich abzufassen, was auch elektronisch geschehen kann (Artikel 28 Absatz 9). Die Pflicht gilt in beide Richtungen: Nach Artikel 83 Absatz 4 drohen Verantwortlichen wie Auftragsverarbeitern Geldbußen, wenn sie ihre Pflichten aus den Artikeln 25 bis 39 verletzen, darunter Artikel 28.
Ein Dokument, mehrere Namen
AVV, Auftragsverarbeitungsvertrag, auf Englisch data processing agreement oder data processing addendum, kurz DPA: Der Begriff Addendum erklärt sich daraus, wo der AVV meist steht, nämlich als Anhang zu einem Dienstleistungsvertrag oder zu Nutzungsbedingungen. Auf Französisch heißt er contrat de sous-traitance; der Auftragsverarbeiter ist dort der sous-traitant, der Verantwortliche der responsable du traitement. Es zählt der Inhalt von Artikel 28, nicht der Name. Wo der AVV unter den übrigen Erwartungen eines französischen Kunden steht, erklärt der Leitfaden für Geschäfte in Frankreich.
Sind Sie Verantwortlicher oder Auftragsverarbeiter?
Sie sind Auftragsverarbeiter, wenn Sie die Daten für die Zwecke Ihres Kunden verarbeiten. Nach Artikel 4 Nummern 7 und 8 DSGVO entscheidet der Verantwortliche allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung; der Auftragsverarbeiter verarbeitet personenbezogene Daten in seinem Auftrag.
Der Test: Wer entscheidet über das Warum und das Wie
Eine SaaS-Plattform, die die Kundendatensätze ihres Auftraggebers speichert, eine Agentur, die E-Mails an dessen Verteilerliste versendet, ein freiberuflicher Entwickler mit Zugriff auf eine Produktionsdatenbank: Jeder arbeitet für die Zwecke des Kunden und ist für diese Daten Auftragsverarbeiter. Die Größe des Anbieters und die Frage, wer den Vertrag aufgesetzt hat, ändern daran nichts. Entscheidend sind die Tatsachen.
Beides zugleich oder gemeinsam verantwortlich
Ein SaaS-Anbieter ist oft beides: Auftragsverarbeiter für die Daten, die sein Kunde hochlädt, Verantwortlicher für seine eigenen Abrechnungs- und Marketingdaten. Zwei Unternehmen, die gemeinsam entscheiden, sind gemeinsam Verantwortliche und durch eine Vereinbarung nach Artikel 26 gebunden, nicht durch einen AVV.
Was muss ein AVV enthalten?
Eine Beschreibung der Verarbeitung und die acht Pflichten aus Artikel 28 Absatz 3 Buchstaben a bis h. Fehlt eine davon, genügt der AVV dem Artikel nicht.
Die Beschreibung der Verarbeitung
Der Vertrag legt Gegenstand und Dauer der Verarbeitung fest, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen (Artikel 28 Absatz 3). In der Praxis ist das ein Anhang: was Ihr Dienst mit den Daten tut, wie lange, welche Daten und wessen Daten. Er bestimmt, was der übrige Vertrag abdeckt.
Die acht Pflichten
| Klausel | Was sie für Sie bedeutet | Artikel der DSGVO |
|---|---|---|
| Weisungen | Sie handeln nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen, sofern das Recht nichts anderes verlangt | Artikel 28 Absatz 3 Buchstabe a |
| Vertraulichkeit | Alle Personen, die Sie zur Verarbeitung der Daten befugen, sind zur Vertraulichkeit verpflichtet | Artikel 28 Absatz 3 Buchstabe b |
| Sicherheit | Sie ergreifen die nach Artikel 32 erforderlichen Maßnahmen | Artikel 28 Absatz 3 Buchstabe c |
| Unterauftragsverarbeiter | Vorherige schriftliche Genehmigung; dieselben Pflichten werden weitergegeben | Artikel 28 Absatz 3 Buchstabe d, Absatz 2 und Absatz 4 |
| Anträge betroffener Personen | Sie helfen dem Kunden, soweit möglich, Anträge von Personen zu beantworten, die ihre Rechte ausüben | Artikel 28 Absatz 3 Buchstabe e |
| Sicherheit, Verletzungen, Folgenabschätzungen | Sie unterstützen den Kunden bei den Pflichten aus den Artikeln 32 bis 36, unter Berücksichtigung der Ihnen vorliegenden Informationen | Artikel 28 Absatz 3 Buchstabe f |
| Ende der Leistung | Sie löschen die Daten oder geben sie nach Wahl des Kunden zurück und löschen die Kopien | Artikel 28 Absatz 3 Buchstabe g |
| Informationen und Audits | Sie weisen die Einhaltung nach und ermöglichen Überprüfungen, einschließlich Inspektionen, durch den Kunden oder seinen Prüfer | Artikel 28 Absatz 3 Buchstabe h |
Artikel 28 Absatz 3 fügt eine weitere Pflicht hinzu: Sie müssen den Verantwortlichen unverzüglich informieren, wenn eine Weisung Ihrer Auffassung nach gegen Datenschutzrecht verstößt. Schweigen ist nicht neutral.
Wie fügen sich Unterauftragsverarbeiter in die Kette ein?
Ihr Hosting-Anbieter, Ihr E-Mail-Dienst und Ihr Support-Tool sind Unterauftragsverarbeiter, in der Sprache der DSGVO „weitere Auftragsverarbeiter“. Die DSGVO lässt sie unter zwei Bedingungen zu: die schriftliche Genehmigung des Kunden und ein Vertrag, der Ihre Pflichten an sie weitergibt.
Ihr Kunde erteilt Ihnen Weisungen; Sie erlegen jedem Unterauftragsverarbeiter dieselben Pflichten auf. Meldungen von Datenschutzverletzungen und Unterstützung laufen zurück zum Kunden, und ein Unterauftragsverarbeiter außerhalb der EU bringt eine Übermittlung mit sich.
Gesonderte oder allgemeine Genehmigung
Artikel 28 Absatz 2 verlangt die vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen. Gesondert heißt: ein Ja für jeden einzelnen Unterauftragsverarbeiter. Allgemein heißt: eine vereinbarte Liste und die Pflicht, den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung zu informieren, damit er Einspruch erheben kann; der Vertrag legt fest, mit welcher Frist Sie ankündigen.
Dieselben Pflichten und volle Haftung
Artikel 28 Absatz 4 verlangt, dass dem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegt werden, und lässt Sie gegenüber dem Kunden voll haften, wenn er ihnen nicht nachkommt. Versprechen die Standardbedingungen Ihrer Anbieter weniger, als Sie dem Kunden versprochen haben, geht die Lücke zu Ihren Lasten.
Was verlangen Sicherheit und Datenschutzverletzungen von Ihnen?
Eine dem Risiko angemessene Sicherheit und Schnelligkeit, wenn etwas schiefgeht. Die DSGVO setzt den Maßstab; der AVV übersetzt ihn in Maßnahmen, Ansprechpartner und Fristen.
Sicherheit ist ein Maßstab, keine Checkliste
Artikel 32 verlangt Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Seine Beispiele: Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Wiederherstellung des Zugangs nach einem Zwischenfall und regelmäßige Tests. Der Sicherheitsanhang des AVV beschreibt Ihre Maßnahmen.
Datenschutzverletzungen und die Stunden, die Ihr Kunde verlangt
Sie melden dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie Ihnen bekannt geworden ist (Artikel 33 Absatz 2); eine Stundenzahl schreibt die DSGVO dem Auftragsverarbeiter nicht vor. Ihr Kunde muss seiner Aufsichtsbehörde, in Frankreich der CNIL, die Verletzung unverzüglich und möglichst binnen 72 Stunden melden, nachdem sie ihm bekannt wurde (Artikel 33 Absatz 1). Deshalb verlangt ein Kunde 24 oder 48 Stunden: eine vertragliche Frist, keine gesetzliche.
Können Sie ein Muster für den Auftragsverarbeitungsvertrag verwenden?
Ja: Die Europäische Kommission hat eines verfasst. Gestützt auf Artikel 28 Absatz 7 hat sie im Durchführungsbeschluss (EU) 2021/915 der Kommission, laut EUR-Lex im Oktober 2026 in Kraft, Standardvertragsklauseln erlassen. Nach Artikel 28 Absatz 6 kann ein AVV ganz oder teilweise auf ihnen beruhen.
Was die Klauseln der Kommission leisten
Sie folgen Artikel 28 Punkt für Punkt, von den Weisungen bis zur Beendigung. Die Parteien verpflichten sich, sie nicht zu ändern, außer um die Anhänge zu ergänzen oder zu aktualisieren. Sie dürfen sie aber in einen umfassenderen Vertrag aufnehmen und Klauseln hinzufügen, die ihnen nicht widersprechen (Klausel 2). Für sich allein stellen die Klauseln die Einhaltung der Übermittlungsregeln nicht sicher (Klausel 1).
Die Anhänge sind der Vertrag
Die Substanz steckt in vier Anhängen: die Parteien, die Beschreibung der Verarbeitung, die technischen und organisatorischen Maßnahmen und, bei gesonderter Genehmigung, die Unterauftragsverarbeiter. Die Erläuterung zu Anhang III verlangt, die Maßnahmen konkret und nicht allgemein zu beschreiben. Selbst die Ankündigungsfrist vor einem neuen Unterauftragsverarbeiter bleibt im Muster offen. Ein Muster erspart Formulierungsarbeit; keine Ihrer Fragen beantwortet es.
Was ändert sich, wenn Daten die EU verlassen?
Eine Übermittlung an einen Auftragsverarbeiter oder Unterauftragsverarbeiter außerhalb der EU muss zusätzlich Kapitel V der DSGVO genügen, also den Artikeln 44 bis 49. Dieses Kapitel bindet Verantwortliche und Auftragsverarbeiter gleichermaßen, Weiterübermittlungen eingeschlossen (Artikel 44).
| Wo der Auftragsverarbeiter oder Unterauftragsverarbeiter sitzt | Was die Übermittlung erlaubt | Rechtstext, Stand: Oktober 2026 |
|---|---|---|
| Europäische Union | Keine Übermittlung im Sinne von Kapitel V; es gilt der AVV | Artikel 28 |
| Vereinigtes Königreich | Angemessenheitsbeschluss, bis zum 27. Dezember 2031, sofern nicht verlängert | Beschluss (EU) 2021/1772, geändert durch Beschluss (EU) 2025/2574 |
| Vereinigte Staaten, Organisation auf der Liste des Datenschutzrahmens | Angemessenheitsbeschluss, nur für gelistete Organisationen | Beschluss (EU) 2023/1795 |
| Vereinigte Staaten, Organisation nicht auf der Liste | Standardvertragsklauseln und eine dokumentierte Prüfung der Übermittlung | Artikel 46 Absatz 2 Buchstabe c; Beschluss (EU) 2021/914, Klausel 14 |
| Kanada, Empfänger unterliegt dem Bundesgesetz PIPEDA | Angemessenheitsentscheidung nach der früheren Richtlinie, weiterhin in Kraft | Entscheidung 2002/2/EG; Artikel 45 Absatz 9 |
| Anderes Land ohne Angemessenheitsbeschluss | Standardvertragsklauseln oder eine andere Garantie nach Artikel 46 | Artikel 46 |
Angemessenheitsbeschlüsse
Eine Übermittlung in ein Land, dessen Schutzniveau die Kommission als angemessen anerkannt hat, bedarf keiner besonderen Genehmigung (Artikel 45 Absatz 1). Der Beschluss zum Vereinigten Königreich läuft am 27. Dezember 2031 aus, sofern er nicht verlängert wird (Durchführungsbeschluss (EU) 2025/2574). Der Beschluss zum Datenschutzrahmen EU-USA (EU-US Data Privacy Framework) erfasst nur Organisationen auf der Liste des US-Handelsministeriums; das Gericht der Europäischen Union hat am 3. September 2025 eine Klage gegen ihn abgewiesen (Rechtssache T-553/23). Beide Beschlüsse sind laut EUR-Lex im Oktober 2026 in Kraft: Prüfen Sie sie bei der Unterzeichnung, ebenso den Listeneintrag Ihres Anbieters.
Standardvertragsklauseln und die Prüfung der Übermittlung
Andernfalls verlangt Artikel 46 geeignete Garantien, etwa die Klauseln des Durchführungsbeschlusses (EU) 2021/914 der Kommission. Es gibt sie in vier Modulen, eines für jede Rollenkombination, und sie dienen Datenimporteuren, deren Verarbeitung nicht der DSGVO unterliegt (Artikel 1). Nach Klausel 14 prüfen und dokumentieren die Parteien, ob Rechtsvorschriften und Gepflogenheiten im Bestimmungsland den Importeur daran hindern, die Klauseln einzuhalten: In der Praxis spricht man von einem Transfer Impact Assessment. Findet Artikel 3 Absatz 2 auf einen Anbieter außerhalb der EU Anwendung, verlangt Artikel 27 zudem einen Vertreter in der Union.
Was riskieren Sie, und was sollten Sie verhandeln?
Haftung und Geldbußen regelt das Gesetz; Haftungsobergrenzen, Audits, Ankündigungsfristen und Meldefristen regelt der Vertrag. Dort verdient der Entwurf eines französischen Kunden eine sorgfältige Lektüre.
Haftung und Geldbußen
Wer wegen eines Verstoßes einen materiellen oder immateriellen Schaden erleidet, kann vom Verantwortlichen oder vom Auftragsverarbeiter Schadenersatz verlangen (Artikel 82 Absatz 1). Ein Auftragsverarbeiter haftet nur, wenn er seine speziell den Auftragsverarbeitern auferlegten Pflichten verletzt oder unter Nichtbeachtung oder entgegen den rechtmäßig erteilten Weisungen gehandelt hat (Artikel 82 Absatz 2). Sind beide verantwortlich, haftet jeder für den gesamten Schaden und fordert danach den Anteil des anderen zurück (Artikel 82 Absätze 4 und 5).
Geldbußen treffen auch Auftragsverarbeiter: bis zu 10.000.000 Euro oder, bei einem Unternehmen, bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist, für die Artikel 25 bis 39 (Artikel 83 Absatz 4); bis zu 20.000.000 Euro oder 4 % für die Übermittlungsregeln (Artikel 83 Absatz 5).
Die französische Seite des Tisches
Artikel 8 des französischen Datenschutzgesetzes Nr. 78-17 (Informatique et libertés) (Stand: Oktober 2026) macht die CNIL, Commission nationale de l’informatique et des libertés, zur nationalen Aufsichtsbehörde im Sinne der DSGVO und beauftragt sie, Leitlinien für Verantwortliche und ihre Auftragsverarbeiter zu veröffentlichen. Ein französischer Kunde schickt Ihnen unter Umständen seinen eigenen AVV auf Französisch. Die DSGVO schreibt keine Sprache vor: Bitten Sie um eine englische Fassung und vereinbaren Sie, welche Fassung maßgeblich ist. Recht und Sprache des Hauptvertrags behandelt der Leitfaden für Geschäfte in Frankreich.
Fünf Punkte zum Verhandeln
- Haftungsobergrenze. Nach französischem Recht hat eine Obergrenze zwischen den Parteien Grenzen: Eine Klausel, die der wesentlichen Pflicht ihre Substanz nimmt, gilt als nicht vereinbart (Artikel 1170 des französischen Zivilgesetzbuchs, Code civil), und die Begrenzung auf den vorhersehbaren Schaden entfällt bei grober Fahrlässigkeit oder Vorsatz (Artikel 1231-3). Keine Obergrenze bindet die betroffenen Personen.
- Audits. Die Klauseln der Kommission sprechen von Audits in angemessenen Abständen oder bei Anhaltspunkten für eine Nichteinhaltung; vereinbaren Sie Häufigkeit, Vorankündigung und das Gewicht von Zertifizierungen.
- Unterauftragsverarbeiter. Die Ausgangsliste, wie Änderungen angekündigt werden, die Ankündigungsfrist und was geschieht, wenn der Kunde widerspricht.
- Meldefrist bei Datenschutzverletzungen. Eine Stundenzahl, die Sie einhalten können, gerechnet ab Kenntnis, mit einer ersten Meldung, die später vervollständigt wird, wie Klausel 9.2 der Kommissionsklauseln es zulässt.
- Unterstützung. Was als dokumentierte Weisung gilt und wie Hilfe über die vereinbarte Leistung hinaus abgerechnet wird.
Concord prüft den AVV, den Ihr Kunde Ihnen schickt, entwirft Ihren eigenen für Ihre Anbieter und bereitet die Übermittlungsklauseln vor: siehe Auftragsverarbeitungsvertrag und Übermittlungen. Zeigt die Durchsicht größere Lücken, vom Verzeichnis von Verarbeitungstätigkeiten bis zum Vertreter in der Union, bringt eine DSGVO-Prüfung sie in Ordnung. Senden Sie uns den AVV, den Sie unterschreiben sollen.