Was ist ein AV-Vertrag in einem Satz?

Ein AV-Vertrag (Auftragsverarbeitungsvertrag) ist die nach Art. 28 DSGVO verpflichtende Vereinbarung zwischen Ihrem Betrieb und einem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet – etwa einem Cloud-, Hosting- oder KI-Anbieter.

Brauche ich für jedes Software-Tool einen AV-Vertrag?

Für jedes Tool, bei dem der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet oder darauf zugreifen kann – das trifft auf die meisten Cloud-Dienste zu. Reine lokale Software ohne Datenübertragung an den Hersteller braucht keinen AVV.

Wer muss den AV-Vertrag bereitstellen?

Rechtlich sind beide Seiten für den Abschluss verantwortlich. In der Praxis stellen seriöse Anbieter einen fertigen AVV bereit, oft als Teil der Vertragsbedingungen. Fehlt ein Angebot dafür, ist das ein Warnsignal.

Ist ein AV-Vertrag auch bei US-Anbietern ausreichend?

Der AVV allein genügt dort nicht. Bei Anbietern außerhalb der EU kommt der Drittlandtransfer hinzu, der zusätzliche Garantien wie Standardvertragsklauseln oder einen Angemessenheitsbeschluss erfordert. Beides muss geprüft werden.

Was passiert, wenn kein AV-Vertrag abgeschlossen wurde?

Die Verarbeitung verstößt dann gegen Art. 28 DSGVO, auch wenn sonst alles korrekt läuft. Das kann von der Datenschutzbehörde beanstandet und mit empfindlichen Geldbußen geahndet werden. Fehlende AVVs sollten daher zügig nachgeholt werden.

Was sind Sub-Auftragsverarbeiter?

Dienstleister, die Ihr Auftragsverarbeiter seinerseits einsetzt – etwa das Rechenzentrum eines Software-Anbieters. Der AVV muss regeln, dass Sub-Auftragsverarbeiter nur mit Genehmigung eingesetzt werden und Sie über Änderungen informiert werden.

AV-Vertrag einfach erklärt: Wann Sie ihn brauchen und was drinstehen muss

Ein AV-Vertrag – ausgeschrieben Auftragsverarbeitungsvertrag, oft auch AVV genannt – ist die Vereinbarung, die Art. 28 der Datenschutz-Grundverordnung (DSGVO) immer dann verlangt, wenn ein externer Dienstleister personenbezogene Daten im Auftrag Ihres Betriebs verarbeitet. In einem Satz: Sobald ein anderer für Sie mit Daten von Kunden, Mitarbeitern oder Geschäftspartnern arbeitet, brauchen Sie diesen Vertrag. Er regelt, was der Dienstleister mit den Daten tun darf, wie er sie schützt und was nach Vertragsende damit passiert.

In Kürze

Ein AV-Vertrag ist Pflicht, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet – von der Cloud-Ablage über die externe Lohnverrechnung bis zum KI-Dienst.
Ihr Betrieb ist der „Verantwortliche”, der Dienstleister der „Auftragsverarbeiter” – die Verantwortung gegenüber Betroffenen bleibt bei Ihnen.
Art. 28 DSGVO schreibt konkrete Pflichtinhalte vor: Gegenstand, Dauer, Datenarten, Weisungsbindung, Sicherheitsmaßnahmen, Sub-Auftragsverarbeiter, Löschung.
Häufigste Fehler: kein AVV mit US-Tools, übersehene Sub-Auftragsverarbeiter, unauffindbare Verträge im Ernstfall.
Eine zentrale, durchsuchbare Ablage aller AVVs macht Auskunftsanfragen und Behördenkontakte deutlich entspannter.

Wann brauchen Sie einen AV-Vertrag? Alltagsbeispiele

Die Auftragsverarbeitung ist im Betriebsalltag allgegenwärtig – oft ohne dass sie als solche wahrgenommen wird. Ein AV-Vertrag ist typischerweise nötig bei:

Dienstleistung	Warum Auftragsverarbeitung vorliegt
Cloud-Speicher und Datei-Ablage	Der Anbieter speichert Ihre Dokumente – inklusive der darin enthaltenen Personendaten.
Externe Lohnverrechnung	Der Dienstleister verarbeitet Gehalts- und Sozialversicherungsdaten Ihrer Mitarbeiter.
E-Mail- und Kalender-Hosting	Der Provider verarbeitet Kommunikationsdaten mit Personenbezug.
Newsletter- und CRM-Systeme	Kundendaten liegen auf den Servern des Anbieters.
KI-Dienste und Wissensdatenbanken	Hochgeladene Dokumente und Eingaben enthalten regelmäßig Personendaten.
Website-Hosting	Server-Protokolle und Formulardaten enthalten Personenbezug.
IT-Wartung mit Zugriffsmöglichkeit	Schon die Möglichkeit des Zugriffs auf Personendaten kann eine Vereinbarung erforderlich machen.

Kein AV-Vertrag ist dagegen nötig, wenn der andere die Daten in eigener Verantwortung verarbeitet: Steuerberater, Rechtsanwältinnen oder Banken handeln aufgrund eigener beruflicher Pflichten und sind in der Regel selbst Verantwortliche, nicht Auftragsverarbeiter.

Wer ist Verantwortlicher, wer Auftragsverarbeiter?

Die DSGVO verteilt die Rollen nach einer einfachen Frage: Wer entscheidet über Zweck und Mittel der Verarbeitung?

Verantwortlicher ist, wer bestimmt, warum und wie Daten verarbeitet werden. Das ist Ihr Betrieb: Sie entscheiden, dass Kundendaten im CRM landen, dass die Lohnverrechnung extern erfolgt oder dass Dokumente in eine KI-Wissensdatenbank geladen werden.
Auftragsverarbeiter ist, wer die Daten nur nach Ihren Weisungen verarbeitet und keine eigenen Zwecke damit verfolgt. Das ist der Dienstleister.

Zwei Konsequenzen sind wichtig. Erstens: Die Verantwortung bleibt bei Ihnen. Betroffene und die österreichische Datenschutzbehörde (dsb.gv.at) wenden sich an den Verantwortlichen – nicht an dessen Dienstleister. Zweitens: Verfolgt ein Anbieter eigene Zwecke mit Ihren Daten (etwa das Training seiner KI-Modelle über den Auftrag hinaus), sprengt das den Rahmen der Auftragsverarbeitung. Genau solche Punkte muss der AVV ausschließen oder klar regeln.

Was muss nach Art. 28 DSGVO im AV-Vertrag stehen? (Checkliste)

Art. 28 DSGVO gibt den Mindestinhalt verbindlich vor. Prüfen Sie jeden AVV auf diese Punkte:

Seriöse Anbieter stellen einen AVV bereit, der diese Punkte abdeckt – häufig als Standarddokument, das mit dem Hauptvertrag mitgeschlossen wird. Praxisleitfäden und Muster für Unternehmen bietet unter anderem die Wirtschaftskammer (wko.at); der Verordnungstext selbst ist im Rechtsinformationssystem des Bundes (ris.bka.gv.at) abrufbar.

Welche Fehler passieren in der Praxis am häufigsten?

Kein AVV mit US-Tools. Viele Betriebe nutzen amerikanische Dienste in der Gratis- oder Privatvariante, bei der gar kein AVV angeboten wird. Damit fehlt die Grundlage nach Art. 28 DSGVO – und zusätzlich stellt sich die Frage des Drittlandtransfers: Übermittlungen in Länder außerhalb der EU benötigen eigene Garantien, etwa Standardvertragsklauseln (von der EU-Kommission vorformulierte Vertragsmuster). Ein AVV allein löst das Drittlandproblem nicht; beide Ebenen müssen passen.

Sub-Auftragsverarbeiter übersehen. Hinter einem Software-Anbieter stehen fast immer weitere Dienstleister – Rechenzentren, E-Mail-Versanddienste, Support-Werkzeuge. Wenn der AVV die Sub-Auftragsverarbeiter nicht auflistet oder Änderungen nicht mitgeteilt werden, wissen Sie nicht, wo Ihre Daten tatsächlich liegen. Fragen Sie aktiv nach der Liste.

AVV unterschrieben, aber unauffindbar. Im Ernstfall – Auskunftsanfrage einer betroffenen Person, Datenpanne, Anfrage der Datenschutzbehörde – zählt Geschwindigkeit. Wer erst tagelang in Postfächern und Ordnern nach dem Vertrag von vor vier Jahren sucht, verliert wertvolle Zeit.

Vertrag ohne Inhaltseinblick akzeptiert. Ein AVV ist kein Feigenblatt. Wer nie geprüft hat, ob Trainingsnutzung ausgeschlossen ist und wo die Server stehen, hat formal ein Papier, aber keine Kontrolle. Fehlt ein AVV ganz, liegt ein Verstoß gegen die DSGVO vor, der mit empfindlichen Geldbußen geahndet werden kann – unabhängig davon, ob den Daten tatsächlich etwas passiert ist. Dieser Artikel bietet dabei eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.

Wie verwalten Sie AV-Verträge praktisch – und finden sie wieder?

AVVs entfalten ihren Wert erst, wenn sie gepflegt und auffindbar sind. Ein pragmatisches Vorgehen für KMU:

Bestandsaufnahme: Listen Sie alle Dienstleister auf, die personenbezogene Daten für Sie verarbeiten. Die Tabelle aus dem ersten Abschnitt hilft als Raster.
Lücken schließen: Für jeden Dienst ohne AVV beim Anbieter nachfragen oder – falls keiner angeboten wird – einen Wechsel prüfen.
Zentrale Ablage: Alle AVVs an einem Ort speichern, einheitlich benannt (Anbieter, Datum, Version), gemeinsam mit dem Verzeichnis von Verarbeitungstätigkeiten – dem internen Register aller Datenverarbeitungen, das die DSGVO vorsieht.
Jahres-Check: Einmal jährlich prüfen: Neue Tools ohne AVV? Geänderte Sub-Auftragsverarbeiter? Gekündigte Dienste, bei denen die Löschbestätigung fehlt?
Auffindbarkeit sicherstellen: Verträge nützen wenig, wenn im Anlassfall niemand weiß, was vereinbart wurde. Eine durchsuchbare digitale Ablage, in der sich Fragen wie „Mit welchen Anbietern haben wir AVVs, und wer sind deren Sub-Auftragsverarbeiter?” direkt beantworten lassen, spart hier viel Zeit – ein typischer Anwendungsfall für eine KI-Wissensdatenbank, die Antworten mit Quellenangabe aus den eigenen Vertragsdokumenten liefert.

Der AV-Vertrag ist übrigens nur einer von mehreren Bausteinen eines DSGVO-konformen KI- und Cloud-Einsatzes – neben Serverstandort, Trainingsausschluss und Zugriffskontrolle. Wie diese Bausteine zusammenspielen und mit welcher Checkliste Sie Anbieter prüfen, zeigt der Überblicksbeitrag KI und DSGVO in Österreich.

Als Faustregel zum Schluss: Wenn ein Dienstleister Daten „angreifen” kann, die Personen betreffen, fragen Sie nach dem AVV – und wenn er keinen hat, fragen Sie sich, warum.