AVV vergessen? Warum Sie für jeden Freelancer und jedes Tool einen Vertrag brauchen (und wer ihn liefert)

Als Unternehmer navigieren Sie täglich in einem digitalen Ökosystem. Sie nutzen SaaS-Tools für das Marketing, beauftragen Freelancer für spezielle Projekte und verlassen sich auf Agenturen und Hoster, die das technische Rückgrat Ihres Geschäfts bilden. In diesem komplexen Geflecht aus Dienstleistungen werden unweigerlich personenbezogene Daten – von Kunden, Mitarbeitern oder Nutzern – weitergegeben und verarbeitet. Die meisten haben schon gehört, dass man dafür einen « AVV », einen Auftragsverarbeitungsvertrag, benötigt. Oft wird dies als lästige bürokratische Pflicht abgetan, ein Dokument, das man schnell unterschreibt, um der DSGVO Genüge zu tun.

Doch diese Sichtweise ist gefährlich und grundlegend falsch. Ein AVV ist weit mehr als eine formale Anforderung. Er ist ein zentrales operatives Kontrollinstrument. Die eigentliche Frage ist nicht, *ob* Sie einen AVV brauchen, sondern *wie* Sie ihn als Werkzeug nutzen, um die Kontrolle über Ihre Daten zu behalten, die Haftung präzise zu kanalisieren und Ihre gesamte Dienstleisterkette rechtssicher zu gestalten. Ein fehlender oder mangelhafter Vertrag ist kein blosser Formfehler; er stellt ein systemisches Risiko für Ihr Unternehmen dar, das von Aufsichtsbehörden streng geahndet wird, selbst wenn nie ein Datum verloren geht.

Dieser Artikel seziert den Auftragsverarbeitungsvertrag aus der Perspektive eines Auditors. Wir gehen über die blosse Nennung von Pflichten hinaus und analysieren die kritischen Klauseln, die über Gültigkeit und Ungültigkeit entscheiden. Wir ziehen klare Grenzen zur gemeinsamen Verantwortlichkeit, beleuchten die Sonderfälle der Berufsgeheimnisträger und zeigen anhand realer Fälle die finanziellen Konsequenzen auf, die bei Missachtung drohen. Ziel ist es, Ihnen ein tiefes Verständnis für dieses mächtige Instrument zu vermitteln, damit Sie es souverän zum Schutz Ihres Unternehmens einsetzen können.

Die folgende Gliederung führt Sie durch die entscheidenden Aspekte der Auftragsverarbeitung und hilft Ihnen, Ihre vertraglichen Grundlagen als Unternehmer wasserdicht zu machen.

Blind unterschreiben? Die 5 Punkte, die in jedem AVV stehen müssen, damit er gültig ist

Ein Auftragsverarbeitungsvertrag ist kein Dokument, das pauschal « passt ». Er ist die schriftlich fixierte Anweisung und Kontrollvereinbarung zwischen Ihnen (dem Verantwortlichen) und Ihrem Dienstleister (dem Auftragsverarbeiter). Gemäss Artikel 28 der DSGVO muss dieser Vertrag spezifische Mindestinhalte aufweisen, um rechtlich überhaupt gültig zu sein. Das Fehlen nur eines dieser Punkte kann den gesamten Vertrag nichtig machen, mit der Konsequenz, dass die Datenverarbeitung ohne Rechtsgrundlage erfolgt. Betrachten Sie diese Punkte nicht als juristische Formalien, sondern als die fundamentalen Spezifikationen Ihres Kontrollinstruments.

Die Weisungsgebundenheit des Dienstleisters ist das Herzstück der Auftragsverarbeitung. Der AVV stellt sicher, dass der Dienstleister Daten ausschliesslich nach Ihren dokumentierten Weisungen verarbeitet und nicht für eigene Zwecke. Er agiert quasi als Ihre verlängerte Werkbank. Ein Vertrag, der diese Hierarchie nicht klar definiert, ist wertlos. Daher müssen die folgenden Elemente präzise und unmissverständlich geregelt sein, um die rechtliche Wirksamkeit zu gewährleisten und Ihre Kontrollfunktion als Auftraggeber sicherzustellen.

Die Prüfung dieser fünf Punkte ist die absolute Mindestanforderung, bevor Sie einen AVV unterzeichnen. Ein Vertrag, der diese Kriterien nicht erfüllt, bietet Ihnen keinen rechtlichen Schutz und kann im Falle einer Prüfung durch eine Aufsichtsbehörde als nicht existent gewertet werden.

Gemeinsame Verantwortlichkeit: Wann reicht ein AVV nicht mehr aus (z.B. Facebook Fanpages)?

Die klare Hierarchie der Auftragsverarbeitung – ein weisungsgebender Verantwortlicher und ein ausführender Auftragsverarbeiter – ist nicht das einzige Modell der Zusammenarbeit. Schwieriger wird es, wenn zwei oder mehr Parteien gemeinsam über die Zwecke und Mittel der Datenverarbeitung entscheiden. In diesem Fall spricht man von einer gemeinsamen Verantwortlichkeit (Joint Controllership) nach Artikel 26 DSGVO. Hier reicht ein einfacher AVV nicht mehr aus. Stattdessen ist eine transparente Vereinbarung erforderlich, die festlegt, wer von den Partnern welche DSGVO-Pflicht (z.B. Informationspflichten, Bearbeitung von Betroffenenrechten) erfüllt.

Ein klassisches Beispiel aus der Praxis ist der Betrieb einer Facebook-Fanpage. Als Betreiber der Seite legen Sie zwar die Zielgruppe und die Inhalte fest, doch Facebook (Meta) entscheidet massgeblich mit über die Erhebung und Verarbeitung der Nutzerdaten für eigene Analysezwecke (Insights). Beide Parteien verfolgen also eigene und gemeinsame Zwecke mit den Daten der Seitenbesucher. Der Europäische Gerichtshof (EuGH) hat klargestellt, dass hier eine gemeinsame Verantwortlichkeit vorliegt. Das bedeutet, dass Sie als Seitenbetreiber mit in der Haftung für die Datenverarbeitung durch Facebook stehen.

Die Abgrenzung ist entscheidend, da die vertraglichen und haftungsrechtlichen Konsequenzen fundamental unterschiedlich sind. Die folgende Tabelle verdeutlicht die zentralen Unterschiede zwischen einer Auftragsverarbeitung und einer gemeinsamen Verantwortlichkeit.

Für Sie als Unternehmer bedeutet das: Prüfen Sie bei jedem Partner, ob dieser lediglich Ihre Anweisungen ausführt oder auch eigene Interessen an der Datenverarbeitung hat. Sobald ein gemeinsames Interesse und eine gemeinsame Entscheidungsgewalt über die Verarbeitung vorliegen, müssen Sie auf eine Vereinbarung nach Art. 26 DSGVO bestehen.

Kette von Dienstleistern: Muss Ihr Hoster Sie fragen, bevor er einen Subunternehmer in Indien beauftragt?

Die klare Antwort lautet: Ja, absolut. Die Beauftragung von Subdienstleistern ist einer der kritischsten Punkte in der gesamten Auftragsverarbeitungskette. Ihr Dienstleister (der Auftragsverarbeiter) darf nicht eigenmächtig weitere Unternehmen (Unterauftragnehmer) zur Erfüllung seiner vertraglichen Pflichten heranziehen, wenn dabei personenbezogene Daten verarbeitet werden. Artikel 28 Abs. 2 DSGVO schreibt vor, dass dies nur mit Ihrer vorherigen schriftlichen Genehmigung geschehen darf. Diese Genehmigung kann entweder für einen spezifischen Unterauftragnehmer (spezifische Genehmigung) oder pauschal für eine Liste von bereits geprüften Unternehmen erteilt werden (allgemeine Genehmigung).

Der entscheidende Punkt ist, dass Sie als ursprünglicher Auftraggeber die Kontrolle behalten müssen. Der Hauptauftragnehmer muss Sie über jede beabsichtigte Änderung – also das Hinzuziehen eines neuen oder den Wechsel eines bestehenden Unterauftragnehmers – vorab informieren. Sie müssen dann die Möglichkeit haben, Einspruch zu erheben. Diese Regelung stellt sicher, dass die Integrität der Dienstleisterkette gewahrt bleibt und keine unkontrollierten Datenabflüsse stattfinden. Ihr Auftragsverarbeiter muss zudem sicherstellen, dass er seine vertraglichen Datenschutzpflichten aus dem AVV mit Ihnen 1:1 an den Unterauftragnehmer weitergibt.

Besonders heikel wird die Situation, wenn der Unterauftragnehmer seinen Sitz in einem Drittland ausserhalb der EU/des EWR hat, wie im Beispiel Indien. In einem solchen Fall reicht die blosse Genehmigung nicht aus. Es muss zusätzlich sichergestellt werden, dass ein angemessenes Datenschutzniveau gewährleistet ist. Da für viele Länder wie Indien kein Angemessenheitsbeschluss der EU-Kommission existiert, sind zusätzliche Garantien erforderlich. Die Rechtslage ist hier komplex, aber es ist klar, dass Datentransfers in Drittländer ohne EU-Angemessenheitsbeschluss nur mit Standardvertragsklauseln, verbindlichen internen Datenschutzvorschriften oder anderen strengen Auflagen nach der DSGVO zulässig sind. Die Verantwortung, dies zu prüfen und sicherzustellen, liegt letztlich bei Ihnen als Verantwortlichem.

Berufsgeheimnisträger: Warum Sie mit Ihrem Steuerberater und Anwalt meistens KEINEN AVV brauchen

Eine häufige Quelle der Verwirrung ist die Zusammenarbeit mit sogenannten Berufsgeheimnisträgern. Dazu zählen insbesondere Rechtsanwälte, Steuerberater, Wirtschaftsprüfer oder Ärzte. Wenn Sie Ihrem Steuerberater die Buchhaltungsunterlagen mit Mitarbeiterdaten übergeben, verarbeitet dieser zweifellos personenbezogene Daten in Ihrem Auftrag. Dennoch liegt hier in der Regel keine Auftragsverarbeitung im Sinne des Art. 28 DSGVO vor, und ein AVV ist nicht erforderlich.

Der Grund liegt in der besonderen Natur ihrer Tätigkeit. Berufsgeheimnisträger sind bei der Ausübung ihres Berufs nicht an Ihre Weisungen gebunden. Ein Anwalt oder Steuerberater unterliegt eigenen, strengen berufsrechtlichen Pflichten und handelt eigenverantwortlich. Er entscheidet selbst über die Mittel und Wege der Verarbeitung, um seine Fachdienstleistung zu erbringen. Damit fehlt das entscheidende Merkmal der Auftragsverarbeitung: die Weisungsgebundenheit. Es handelt sich stattdessen um die Inanspruchnahme einer fremden Fachdienstleistung, bei der der Dienstleister selbst als Verantwortlicher für die von ihm durchgeführte Datenverarbeitung gilt. Die hohe Vertraulichkeit wird bereits durch ihre gesetzliche Verschwiegenheitspflicht (z. B. nach § 203 StGB in Deutschland) sichergestellt.

Aber Vorsicht, die Ausnahme hat Grenzen. Engagieren Sie einen externen Buchhaltungsservice, der nicht dem Berufsgeheimnis unterliegt, agiert dieser sehr wohl weisungsgebunden und ein AVV ist zwingend notwendig. Auch der Berufsgeheimnisträger selbst ist nicht von allen Pflichten befreit. Nutzt Ihr Steuerberater zum Beispiel eine cloudbasierte Buchhaltungssoftware eines externen Anbieters, um Ihre Daten zu verarbeiten, wird er in dieser Konstellation selbst zum Auftraggeber. Er muss dann seinerseits einen AVV mit dem Softwareanbieter abschliessen. Für Sie als sein Mandant ändert dies jedoch nichts an der Tatsache, dass Sie direkt mit ihm keinen AVV benötigen.

Formfehler kostet Geld: Wie hoch sind die Strafen, wenn der AVV fehlt, obwohl nichts passiert ist?

Ein weit verbreiteter Irrglaube ist, dass Bussgelder im Datenschutz nur dann drohen, wenn es zu einem handfesten Datenleck gekommen ist. Das ist falsch. Die DSGVO sanktioniert bereits den Verstoss gegen ihre grundlegenden Organisationsprinzipien. Das Fehlen oder ein grob mangelhafter Auftragsverarbeitungsvertrag ist ein solcher Verstoss gegen Artikel 28 DSGVO und kann empfindliche Strafen nach sich ziehen, selbst wenn kein einziger Datensatz kompromittiert wurde. Die Behörden sehen darin ein strukturelles Defizit, das ein unkontrolliertes Risiko darstellt.

Der Strafrahmen der DSGVO ist beträchtlich: Für Verstösse gegen die Prinzipien der Auftragsverarbeitung können Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Vorjahresumsatzes verhängt werden, je nachdem, welcher Betrag höher ist. In der Praxis sind die Bussgelder für einzelne Verstösse zwar oft geringer, aber dennoch schmerzhaft und mit einem erheblichen Reputationsschaden verbunden. Zwei deutsche Fälle illustrieren dies:

• Fall 1: 5.000 Euro für fehlenden Vertrag: Ein Hamburger Versandunternehmen hatte es versäumt, einen AVV mit seinem IT-Dienstleister abzuschliessen. Brisant daran: Der Fall wurde bekannt, weil das Unternehmen selbst eine proaktive Anfrage bei der Aufsichtsbehörde stellte. Die Behörde prüfte den Sachverhalt und verhängte ein Bussgeld von 5.000 Euro plus Gebühren, allein für den formalen Verstoss des fehlenden Vertrags.
• Fall 2: 50.000 Euro für mangelhaften Vertrag: Ein Unternehmen in Brandenburg beauftragte einen Dienstleister zur Bearbeitung von Betroffenenanfragen. Es gab jedoch keinen schriftlichen AVV, die Kommunikation des Dienstleisters war intransparent und erweckte den Anschein, er sei selbst der Verantwortliche. Die brandenburgische Datenschutzbehörde wertete dies als schwerwiegenden Verstoss und verhängte ein Bussgeld in Höhe von 50.000 Euro. Die Behörde betonte, dass der Vertrag nach Art. 28 Abs. 9 DSGVO zwingend schriftlich zu schliessen ist.

Diese Beispiele zeigen deutlich: Die Aufsichtsbehörden nehmen die formalen Anforderungen der DSGVO sehr ernst. Das bewusste oder fahrlässige Ignorieren der AVV-Pflicht ist kein Kavaliersdelikt, sondern ein teures unternehmerisches Risiko.

Ab 20 Mitarbeitern: Wann Ihr Betrieb zwingend einen Datenschutzbeauftragten benennen muss

Neben der vertraglichen Absicherung Ihrer Dienstleister gibt es auch interne organisatorische Pflichten. Eine der wichtigsten in Deutschland ist die Benennung eines Datenschutzbeauftragten (DSB). Während die DSGVO die Benennungspflicht primär an die Art und den Umfang der Datenverarbeitung knüpft (z.B. bei umfangreicher Verarbeitung besonderer Datenkategorien), hat der deutsche Gesetzgeber im Bundesdatenschutzgesetz (BDSG) eine konkrete, zahlenbasierte Schwelle eingeführt.

Gemäss § 38 BDSG muss ein Unternehmen in Deutschland zwingend einen Datenschutzbeauftragten benennen, sobald in der Regel mindestens 20 Mitarbeiter ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Dies umfasst praktisch jeden Mitarbeiter mit einem Computerarbeitsplatz, der auf Kunden-, Personal- oder Lieferantendaten zugreift. Diese Schwelle ist in vielen kleinen und mittleren Unternehmen schnell erreicht. Die Pflicht besteht unabhängig von der Rechtsform des Unternehmens.

Steht die Notwendigkeit fest, haben Sie als Unternehmer die Wahl: Benennen Sie einen internen Mitarbeiter oder beauftragen Sie einen externen Dienstleister? Beide Optionen haben spezifische Vor- und Nachteile, die sorgfältig abgewogen werden müssen. Ein interner DSB kennt die Betriebsabläufe, unterliegt aber einem starken Kündigungsschutz und kann in einen Interessenkonflikt geraten (z.B. wenn der IT-Leiter gleichzeitig DSB sein soll). Ein externer DSB bringt spezialisierte Fachkunde und eine neutrale Perspektive mit, ist aber weniger tief in die täglichen Prozesse involviert.

Die folgende Gegenüberstellung hilft bei der strategischen Entscheidung, welche Lösung für Ihr Unternehmen die passende ist.

Die Nichtbenennung eines Datenschutzbeauftragten trotz bestehender Pflicht stellt ebenfalls einen bussgeldbewährten Verstoss dar. Es ist daher unerlässlich, die Mitarbeiterzahl und deren Tätigkeiten regelmässig zu überprüfen, um die Benennungspflicht rechtzeitig zu erkennen und zu erfüllen.

Dropbox privat genutzt: Wie Sie verhindern, dass Mitarbeiter Firmendaten in private Clouds hochladen

Eine der grössten unkontrollierten Risiken in Unternehmen ist die sogenannte « Schatten-IT ». Damit ist die Nutzung von Hard- und Software durch Mitarbeiter gemeint, die nicht von der IT-Abteilung freigegeben und administriert wird. Ein klassisches Beispiel: Ein Mitarbeiter lädt eine Präsentation mit Kundendaten in seinen privaten Dropbox-Account, um von zu Hause aus weiterzuarbeiten. In diesem Moment haben Sie als Unternehmen die Kontrolle über diese Daten vollständig verloren. Es existiert kein AVV mit dem privaten Account des Mitarbeiters, die Sicherheitsstandards sind unklar und im Falle einer Kündigung ist der Zugriff auf die Daten nicht mehr gewährleistet.

Dieses Vorgehen stellt einen massiven Verstoss gegen die Grundsätze der DSGVO dar. Die Datenverarbeitung erfolgt ohne Rechtsgrundlage und ohne die erforderlichen technischen und organisatorischen Massnahmen. Für Sie als Unternehmer bedeutet dies ein hohes Haftungsrisiko. Um die Entstehung von Schatten-IT zu verhindern, sind proaktive und klare Massnahmen erforderlich, die sowohl technischer als auch organisatorischer Natur sind. Das blosse Verbot reicht oft nicht aus; es müssen praktikable und sichere Alternativen angeboten werden.

Die Implementierung einer robusten Strategie gegen Schatten-IT schützt nicht nur vor DSGVO-Bussgeldern, sondern sichert auch Ihr geistiges Eigentum und Ihre Geschäftsgeheimnisse. Die folgenden Schritte sind entscheidend, um die Kontrolle über Ihre Unternehmensdaten zurückzugewinnen und zu behalten.

Ein proaktives Management der IT-Landschaft ist unerlässlich. Nur wenn Sie die Kontrolle über die verwendeten Tools behalten, können Sie Ihrer Verantwortung als datenschutzrechtlich Verantwortlicher gerecht werden.

Vereinsfotos auf Facebook: Braucht der Fussballverein von jedem Mitglied eine Einwilligung nach DSGVO?

Die Prinzipien der Datenverarbeitung enden nicht an der Bürotür. Auch Vereine, die Fotos von Veranstaltungen oder Spielen auf Social-Media-Plattformen wie Facebook veröffentlichen, bewegen sich im Geltungsbereich der DSGVO. Das Veröffentlichen eines Fotos, auf dem Personen erkennbar sind, stellt eine Verarbeitung personenbezogener Daten dar. Die Frage nach der Rechtsgrundlage ist hier komplex, da neben der DSGVO auch das deutsche Kunsturhebergesetz (KUG) mit seinem « Recht am eigenen Bild » eine Rolle spielt.

Grundsätzlich gilt: Für die Veröffentlichung von Einzel- oder Gruppenfotos, auf denen Personen klar identifizierbar sind, ist eine freiwillige und informierte Einwilligung der abgebildeten Personen die sicherste Rechtsgrundlage. Insbesondere bei Mannschaftsfotos oder Porträts einzelner Spieler ist dies unumgänglich. Bei Minderjährigen muss die Einwilligung zwingend von den Erziehungsberechtigten eingeholt werden. Eine pauschale Klausel in der Vereinssatzung reicht in der Regel nicht aus, da die Einwilligung für einen bestimmten Zweck erteilt und jederzeit widerrufbar sein muss.

Durch die Veröffentlichung auf Facebook entsteht zudem eine gemeinsame Verantwortlichkeit zwischen dem Verein und Meta, ähnlich wie beim Betreiben einer Fanpage. Der Verein ist dafür verantwortlich, die Daten (die Fotos) rechtmässig zu erheben und an Facebook zu übermitteln (d.h. eine gültige Rechtsgrundlage für das Hochladen zu haben), während Facebook für die weitere Verarbeitung auf seiner Plattform verantwortlich ist. Wie der EuGH in seiner Rechtsprechung zum « Gefällt-mir »-Button feststellte, wird der Website- bzw. Seitenbetreiber zum Mitverantwortlichen für die Erhebung und Übermittlung der Daten an den Drittanbieter. Dies macht die Situation für Vereine besonders heikel, da sie nur begrenzte Kontrolle über die anschliessende Nutzung der Bilder durch den Plattformbetreiber haben.

Für die Vereinspraxis bedeutet dies: Holen Sie für geplante Veröffentlichungen, insbesondere auf Social Media, proaktiv und dokumentiert Einwilligungen ein. Informieren Sie die Mitglieder transparent darüber, wo und zu welchem Zweck die Bilder veröffentlicht werden sollen. Für Übersichtsaufnahmen von öffentlichen Veranstaltungen, bei denen Einzelpersonen nur als « Beiwerk » zur Landschaft oder zum Geschehen erscheinen, können die Regeln des KUG eventuell eine Veröffentlichung ohne Einwilligung erlauben, doch die Rechtslage ist hier oft unsicher und eine anwaltliche Beratung oder die Konsultation eines Datenschutzbeauftragten ist dringend zu empfehlen.

Die konsequente Umsetzung dieser Datenschutzprinzipien in Ihrem gesamten unternehmerischen Handeln ist kein Hindernis, sondern ein Qualitätsmerkmal und ein Akt der Risikominimierung. Um Ihre spezifische Situation zu analysieren und eine lückenlose Vertragslandschaft mit all Ihren Dienstleistern sicherzustellen, ist eine professionelle Prüfung der nächste logische Schritt.