# Auftragsverarbeitungsvertrag bei SaaS: Was Unternehmen prüfen müssen

> Ohne Auftragsverarbeitungsvertrag dürfen Sie personenbezogene Daten nicht an einen SaaS-Anbieter geben. Was Art. 28 DSGVO verlangt und wie Sie einen Standard-AVV prüfen.

- Adresse: https://saascolumn.com/blog/auftragsverarbeitungsvertrag-saas/
- Autor: [Redaktion SaaS Column](https://saascolumn.com/autor/redaktion/), Redaktion
- Veröffentlicht: 13. November 2026
- Andere Sprachen: EN https://saascolumn.com/en/blog/data-processing-agreement-saas/

## Kurz gesagt

Verarbeitet ein SaaS-Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Er muss schriftlich oder elektronisch vorliegen und regelt Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung und Kontrollrechte. Prüfen Sie vor allem den TOM-Anhang, die Liste der Unterauftragsverarbeiter und die Grundlage für Drittlandtransfers.

- **Pflicht:** Verarbeitet ein SaaS-Anbieter personenbezogene Daten in Ihrem Auftrag, verlangt Art. 28 DSGVO einen Vertrag mit festen Mindestinhalten.
- **Form:** Der AVV muss schriftlich vorliegen, ein elektronisches Format genügt.
- **Kernpunkte:** Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Unterauftragsverarbeiter, Löschung nach Vertragsende, Kontrollrechte.
- **Verantwortung bleibt bei Ihnen:** Sie müssen den Anbieter vor dem Einsatz sorgfältig auswählen.

Fast jedes Business-Tool verarbeitet personenbezogene Daten: Namen im Chat, Kontakte im CRM, Rechnungsadressen in der Buchhaltung. Liegen diese Daten bei einem SaaS-Anbieter, braucht es einen Auftragsverarbeitungsvertrag (AVV). Dieser Beitrag zeigt, was im AVV stehen muss und wie Sie das Angebot eines Anbieters prüfen.

## Wann brauchen Sie einen AVV?

**Sie brauchen einen AVV, wenn ein Dienstleister personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet.** Das definiert Art. 4 Nr. 8 DSGVO. Die Datenschutzkonferenz (DSK) nennt in ihrem [Kurzpapier Nr. 13](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf) typische Fälle. Dazu gehören:

- Cloud-Computing ohne inhaltlichen Datenzugriff des Betreibers
- Auslagerung von E-Mail-Verwaltung oder Backups
- Fernwartung und externer Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist
- Datenerfassung, Datenkonvertierung oder Einscannen von Dokumenten

Keine Auftragsverarbeitung liegt laut DSK in der Regel vor, wenn Sie fremde Fachleistungen in Anspruch nehmen. Beispiele sind Steuerberater, Rechtsanwälte oder Banken für den Zahlungsverkehr. Diese handeln als eigene Verantwortliche. Für SaaS-Tools wie [Team-Chat](https://saascolumn.com/vergleich/team-chat-tools-vergleich/), CRM oder Projektmanagement gilt dagegen fast immer: Der Anbieter ist Auftragsverarbeiter.

> **Hinweis:**
>
> Dieser Beitrag ist keine Rechtsberatung. Er gibt den Stand vom November 2026 wieder. Bei sensiblen Daten wie Gesundheits- oder Personaldaten ziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten hinzu.

## Was muss im AVV stehen?

**Art. 28 Abs. 3 DSGVO legt die Mindestinhalte fest.** Der Vertrag beschreibt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen. Dazu kommen acht Pflichten des Anbieters:

| Pflicht (Art. 28 Abs. 3) | Was Sie prüfen |
| --- | --- |
| a) Dokumentierte Weisung | Verarbeitet der Anbieter Daten nur nach Ihrer Weisung, auch bei Drittlandtransfers? |
| b) Vertraulichkeit | Sind Beschäftigte des Anbieters zur Vertraulichkeit verpflichtet? |
| c) Sicherheit nach Art. 32 | Liegt eine Beschreibung der technischen und organisatorischen Maßnahmen (TOM) bei? |
| d) Unterauftragsverarbeiter | Gibt es eine Liste und ein Widerspruchsrecht bei Änderungen? |
| e) Betroffenenrechte | Unterstützt der Anbieter Sie bei Auskunft, Löschung und Export? |
| f) Art. 32 bis 36 | Hilft er bei Datenpannen und Datenschutz-Folgenabschätzung? |
| g) Vertragsende | Löscht oder liefert er alle Daten nach Ihrer Wahl zurück? |
| h) Nachweise und Kontrollen | Stellt er Informationen bereit und ermöglicht Überprüfungen? |

Der Vertrag muss nach Art. 28 Abs. 9 DSGVO schriftlich abgefasst sein, ein elektronisches Format genügt. Viele SaaS-Anbieter stellen ihren AVV deshalb als Klick-Vereinbarung oder Download bereit. Den Wortlaut von Art. 28 finden Sie zum Beispiel bei [dsgvo-gesetz.de](https://dsgvo-gesetz.de/art-28-dsgvo/).

## Worauf achten Sie bei Standard-AVVs?

**Große Anbieter verhandeln ihren AVV selten.** Sie können ihn trotzdem prüfen und eine bewusste Entscheidung treffen. Achten Sie besonders auf diese Punkte:

- **Unterauftragsverarbeiter:** Art. 28 Abs. 2 erlaubt eine allgemeine Genehmigung. Dann muss der Anbieter Sie über Änderungen informieren, damit Sie widersprechen können. Prüfen Sie, wie er das tut, etwa per E-Mail oder RSS.
- **Drittländer:** Steht im AVV, in welche Länder Daten fließen und auf welcher Grundlage? Für die USA kommen das [EU-US Data Privacy Framework](https://saascolumn.com/blog/eu-us-data-privacy-framework-saas/) oder Standardvertragsklauseln infrage.
- **TOM-Anhang:** Allgemeine Sätze wie „Daten werden sicher gespeichert“ genügen nicht. Gute Anhänge nennen Verschlüsselung, Zugriffskontrollen und Zertifizierungen.
- **Kontrollrechte:** Viele Anbieter verweisen auf Prüfberichte wie ISO/IEC 27001 oder SOC 2 statt auf Vor-Ort-Kontrollen. Art. 28 Abs. 5 erlaubt genehmigte Verhaltensregeln und Zertifizierungen als Faktor für hinreichende Garantien.
- **Haftung und Meldefristen:** Wann meldet der Anbieter eine Datenpanne? Art. 33 Abs. 2 verlangt eine unverzügliche Meldung an Sie.

## Was gilt bei selbst betriebener Software?

**Auch bei Self-Hosting kann ein AVV nötig sein.** Betreiben Sie Open-Source-Software wie Mattermost auf eigenen Servern, ist der Hersteller zunächst kein Auftragsverarbeiter. Anders sieht es aus, wenn ein Hosting-Dienstleister die Server betreibt oder ein externer Support auf die Daten zugreifen kann. Die DSK hält in ihrer [Orientierungshilfe Videokonferenzsysteme](https://www.datenschutzkonferenz-online.de/media/oh/20201023_oh_videokonferenzsysteme.pdf) fest, dass eine solche Zugriffsmöglichkeit auch bei selbst betriebenen Systemen bestehen kann. Dann ist mit dem Dienstleister ein AVV zu schließen. Prüfen Sie deshalb auch Rechenzentrum, Managed-Hosting-Anbieter und Wartungsverträge.

## Welche Folgen hat ein fehlender AVV?

**Ein fehlender oder unvollständiger AVV ist ein Verstoß gegen Art. 28 DSGVO.** Die DSK weist im Kurzpapier Nr. 13 auf mögliche Geldbußen nach Art. 83 Abs. 4 hin.

**10 Mio. €** oder 2 % des weltweiten Jahresumsatzes: Bußgeldrahmen bei Verstößen gegen Art. 28 DSGVO (Quelle: [DSK, Kurzpapier Nr. 13](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf))

Die Verantwortung für die Verarbeitung bleibt bei Ihnen, auch wenn ein Anbieter sie ausführt. Die DSK betont, dass sich der Verantwortliche davon nicht durch Beauftragung befreien kann. Verarbeitet ein Anbieter Daten weisungswidrig für eigene Zwecke, gilt er nach Art. 28 Abs. 10 insoweit selbst als Verantwortlicher.

## So prüfen Sie einen AVV in fünf Schritten

1. AVV und TOM-Anhang des Anbieters herunterladen oder im Kundenkonto abschließen.
2. Pflichtinhalte nach Art. 28 Abs. 3 mit der Tabelle oben abgleichen.
3. Liste der Unterauftragsverarbeiter und Drittländer prüfen.
4. Nachweise wie ISO/IEC 27001, SOC 2 oder ein C5-Testat anfordern oder einsehen.
5. AVV ablegen und im Verzeichnis von Verarbeitungstätigkeiten vermerken.

Diese Prüfung gehört in jede Softwareauswahl. Unsere [Checkliste für die SaaS-Auswahl](https://saascolumn.com/blog/saas-tools-auswaehlen-checkliste/) zeigt, wo sie im Ablauf steht. Kurzdefinitionen finden Sie im Glossar unter [AVV](https://saascolumn.com/glossar/auftragsverarbeitungsvertrag-avv/) und [DSGVO](https://saascolumn.com/glossar/dsgvo/). Prüfen Sie zuerst die Tools, die Kunden- oder Personaldaten enthalten.

## Häufige Fragen

### Muss ein AVV unterschrieben werden?

Art. 28 Abs. 9 DSGVO verlangt eine schriftliche Form, ein elektronisches Format genügt. Eine Annahme im Kundenkonto oder ein elektronisch geschlossener Vertrag reicht daher in der Regel aus.

### Brauche ich einen AVV mit meinem Steuerberater?

In der Regel nicht. Die DSK ordnet Berufsgeheimnisträger wie Steuerberater als eigenständige Verantwortliche ein. Für die Datenweitergabe braucht es dann eine Rechtsgrundlage nach Art. 6 DSGVO.

### Was sind TOM?

TOM steht für technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören etwa Verschlüsselung, Zugriffskontrollen, Backups und Schulungen. Der AVV verweist meist auf einen TOM-Anhang.

### Kann ich den AVV eines großen Anbieters ändern?

Selten. Große Anbieter nutzen Standardverträge. Sie können aber prüfen, ob die Mindestinhalte nach Art. 28 Abs. 3 enthalten sind, und bei Lücken ein anderes Tool wählen.

## Quellen

1. [Art. 28 DSGVO – Auftragsverarbeiter (Text der Verordnung (EU) 2016/679)](https://dsgvo-gesetz.de/art-28-dsgvo/), intersoft consulting
2. [Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf), Datenschutzkonferenz (DSK), 2018-12-17
3. [Orientierungshilfe Videokonferenzsysteme](https://www.datenschutzkonferenz-online.de/media/oh/20201023_oh_videokonferenzsysteme.pdf), Datenschutzkonferenz (DSK), 2020-10-23