# Auftragsverarbeitungsvertrag (AVV)

> Ein Auftragsverarbeitungsvertrag (AVV) regelt nach Artikel 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Er ist Pflicht, sobald ein Auftragsverarbeiter eingesetzt wird.

- Adresse: https://saascolumn.com/glossar/auftragsverarbeitungsvertrag-avv/
- Veröffentlicht: 13. November 2026
- Andere Sprachen: EN https://saascolumn.com/en/glossary/data-processing-agreement-dpa/

Der AVV legt Gegenstand, Dauer, Art und Zweck der Verarbeitung fest, außerdem die Datenarten und die betroffenen Personengruppen. Art. 28 Abs. 3 DSGVO nennt Pflichtinhalte. Dazu gehören:

- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeit der Beschäftigten des Dienstleisters
- technische und organisatorische Maßnahmen nach Art. 32
- Regeln für Unterauftragsverarbeiter
- Löschung oder Rückgabe der Daten nach Vertragsende

Der Vertrag muss schriftlich vorliegen, ein elektronisches Format genügt. Bei SaaS-Anbietern ist er meist ein Standardvertrag, den Sie im Kundenkonto annehmen. Die Datenschutzkonferenz nennt Cloud-Computing als typischen Fall der Auftragsverarbeitung. Steuerberater oder Banken zählen dagegen in der Regel nicht dazu.

Wie Sie einen AVV prüfen, erklärt unser Beitrag [Auftragsverarbeitungsvertrag bei SaaS](https://saascolumn.com/blog/auftragsverarbeitungsvertrag-saas/).

Wichtig: Der AVV verlagert die Verantwortung nicht. Das beauftragende Unternehmen bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich und muss den Dienstleister vorab sorgfältig auswählen.

## Quellen

1. [Art. 28 DSGVO – Auftragsverarbeiter (Text der Verordnung (EU) 2016/679)](https://dsgvo-gesetz.de/art-28-dsgvo/), intersoft consulting
2. [Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO](https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf), Datenschutzkonferenz (DSK), 2018-12-17