Auftragsverarbeitungsvertrag prüfen: was im AVV stehen muss, in 10 Punkten

Nils Rieter · Gründer von Lotsana, IT-Unternehmer aus dem Raum Köln. Baut Fachsoftware für ambulante soziale Dienste und schreibt hier über die Praxis dahinter.

Sobald ein Dienstleister für euch personenbezogene Daten verarbeitet – Fachsoftware, IT-Betreuung, Aktenvernichtung – braucht ihr einen Auftragsverarbeitungsvertrag. Ohne AVV ist die Datenweitergabe schlicht rechtswidrig, egal wie seriös der Anbieter ist. Die meisten Träger wissen das. Was viele nicht wissen: Ein AVV ist nicht gleich ein guter AVV. Hier ist die Prüfliste, mit der ihr in 30 Minuten die kritischen Punkte checkt.

Stand: Juli 2026. Grundlage: Art. 28 DSGVO. Prüfliste als fachliche Orientierung, keine Rechtsberatung – bei Zweifeln Datenschutzbeauftragte:n oder Anwält:in einbeziehen.

Wann liegt Auftragsverarbeitung vor – und wann nicht?

AVV nötig ist er typischerweise bei: Fachsoftware und Cloud-Diensten (der Anbieter hostet eure Klientendaten), IT-Dienstleistern mit Zugriffsmöglichkeit auf eure Systeme, E-Mail- und Website-Hostern, externen Lohnabrechnern (sofern weisungsgebunden), Aktenvernichtern, Backup-Diensten.

Kein AVV nötig ist er bei Stellen, die in eigener Verantwortung arbeiten: Steuerberatung, Rechtsanwält:innen, Kostenträger und Ämter (die sind selbst Verantwortliche), Post- und Paketdienste. Die Faustregel: Verarbeitet jemand Daten weisungsgebunden für eure Zwecke, ist es Auftragsverarbeitung. Entscheidet er selbst über Zwecke und Mittel, ist er eigener Verantwortlicher.

Eine Besonderheit eurer Branche: Über Leistungsvereinbarungen reichen Kostenträger die Standards des Sozialdatenschutzes (§ 35 SGB I, §§ 67 ff. SGB X) vertraglich an freie Träger durch. Prüft also auch, was eure Vereinbarungen zu Datenverarbeitung und Dienstleistern sagen – manche verlangen ausdrücklich Hosting in Deutschland oder der EU.

Für Träger in kirchlicher Trägerschaft gilt diese Checkliste nur sinngemäß: Dort ist nicht die DSGVO das maßgebliche Recht, sondern KDG oder DSG-EKD – mit eigenen Anforderungen an den Vertrag. Das steht in KDG und DSG-EKD: der AVV-Check für kirchliche Träger.

Die 10-Punkte-Checkliste vor der Unterschrift

Gegenstand und Dauer klar beschrieben? Welche Daten, welche Betroffenen, welche Verarbeitung – das muss zu eurer Realität passen, nicht nur juristisch klingen.
Weisungsbindung: Der Anbieter verarbeitet nur auf eure dokumentierte Weisung – keine eigenen Zwecke, insbesondere kein Training von KI-Modellen mit euren Daten.
Vertraulichkeit: Alle eingesetzten Personen sind auf Vertraulichkeit verpflichtet.
TOM als Anlage: Die technischen und organisatorischen Maßnahmen des Anbieters liegen konkret bei (Verschlüsselung, Zugriffskontrolle, Backups) – nicht nur der Satz „angemessene Maßnahmen werden getroffen". Was hineingehört, zeigt unsere TOM-Übersicht.
Subunternehmer: Liste der eingesetzten Subdienstleister vorhanden? Werdet ihr über Änderungen informiert, mit Widerspruchsrecht?
Ort der Verarbeitung: Wo liegen die Daten? Deutschland oder EU vereinfacht alles. Bei Drittlandbezug (z. B. US-Anbieter im Unterbau): Welche Garantien – Angemessenheitsbeschluss, Standardvertragsklauseln?
Unterstützungspflichten: Der Anbieter hilft euch bei Betroffenenrechten (Auskunft, Löschung), bei Datenpannen (unverzügliche Meldung an euch!) und liefert Input für eure DSFA.
Löschung/Rückgabe nach Vertragsende: Bekommt ihr eure Daten in einem brauchbaren Format zurück, und wird danach nachweislich gelöscht? Das ist eure Versicherung gegen Anbieter-Lock-in.
Kontrollrechte: Nachweise, Zertifikate (z. B. ISO 27001) oder Audit-Möglichkeit.
Formalien: Schriftlich oder elektronisch, von beiden Seiten gezeichnet, Version archiviert – und im VVT beim jeweiligen Eintrag referenziert.

Red Flags: Finger weg oder nachverhandeln

Der Anbieter bietet gar keinen AVV an oder versteht die Frage nicht – bei Klientendaten ein K.-o.-Kriterium.
Der AVV erlaubt die Nutzung eurer Daten für eigene Zwecke, Produktverbesserung oder KI-Training ohne echte Anonymisierung.
Subdienstleister „können jederzeit wechseln" ohne Information an euch.
Consumer-Dienste (private Messenger, kostenlose Cloud-Speicher) im Team-Einsatz: Dafür gibt es schlicht keinen AVV – ein Klassiker, der bei Prüfungen sofort auffällt.

AVVs verwalten statt sammeln

Führt eine simple Übersicht: Dienstleister, Leistung, AVV-Datum, Ablage-Ort, letzter Check. Einmal im Jahr eine Stunde investieren: Sind alle Dienstleister erfasst? Gibt es neue Tools im Team, für die ein AVV fehlt? Das ist zugleich die perfekte Gelegenheit, Schatten-IT zu entdecken, bevor es die Aufsichtsbehörde tut.

Bei Lotsana gehört der AVV mit TOM-Anlage zum Vertragspaket – Hosting in Deutschland, Instanz je Träger mit eigener Datenbank, KI-Funktionen ohne Training auf euren Daten. Und wenn ihr gerade eine Software-Einführung plant: Das kostenlose DSFA-Muster deckt den Prüfteil ab.

Weiterlesen

Stand: 15. Juli 2026. Dieser Artikel ist eine fachliche Orientierung und keine Rechtsberatung. Verbindlich sind Gesetz, Vertragstexte und die Bewertung eurer Datenschutzbeauftragten.