Was ist eine AVV? Auftragsverarbeitungsvertrag einfach erklärt
AVV steht für Auftragsverarbeitungsvertrag (englisch: Data Processing Agreement). Was das Dokument ist, wann du eine AVV brauchst, was drinstehen muss und was ohne AVV droht — verständlich erklärt für Selbstständige.
- AVV ist die Abkürzung für Auftragsverarbeitungsvertrag (englisch: Data Processing Agreement, DPA).
- Du brauchst eine AVV, sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet — z. B. Cloud-Software, Newsletter-Tool oder Buchhaltungssoftware.
- Rechtsgrundlage ist Artikel 28 DSGVO; der Vertrag muss bestimmte Pflichtinhalte haben.
- Ohne AVV drohen Bußgelder von bis zu 10 Mio. € oder 2 % des Jahresumsatzes.
- Eine AVV in Text- bzw. elektronischer Form (z. B. online akzeptiert) genügt — sie muss nicht auf Papier unterschrieben sein.
AVV ist die Abkürzung für Auftragsverarbeitungsvertrag (manchmal auch „AV-Vertrag“ oder „ADV“ für Auftragsdatenverarbeitung genannt). Auf Englisch heißt das Dokument Data Processing Agreement (DPA). Es regelt, wie ein Dienstleister mit personenbezogenen Daten umgeht, die er in deinem Auftrag verarbeitet — und ist für die meisten Selbstständigen Pflicht, ohne dass sie es wissen.
Was bedeutet AVV genau?
Sobald du einen externen Dienst nutzt, der personenbezogene Daten für dich verarbeitet, wirst du im Sinne der DSGVO zum Verantwortlichen und der Dienstleister zum Auftragsverarbeiter. Der Auftragsverarbeitungsvertrag ist die schriftliche Vereinbarung zwischen euch beiden — er stellt sicher, dass der Dienstleister die Daten nur so verwendet, wie du es anweist, und angemessen schützt. Die gesetzliche Grundlage dafür ist Artikel 28 der DSGVO.
Die AVV ist der Vertrag, mit dem du einen Dienstleister vertraglich an den Datenschutz bindest, wenn er Daten in deinem Auftrag verarbeitet. Sie ist keine freiwillige Kür, sondern eine gesetzliche Pflicht aus Art. 28 DSGVO.
Wann brauche ich eine AVV?
Immer dann, wenn ein externer Anbieter in deinem Auftrag personenbezogene Daten verarbeitet — also Daten deiner Kund:innen, Interessent:innen oder Mitarbeitenden. Typische Fälle bei Selbstständigen:
- Cloud- und Hosting-Anbieter (Speicherung von Kundendaten, Website-Hosting)
- Buchhaltungs-, Rechnungs- und CRM-Software, in der Kundendaten liegen
- Newsletter- und E-Mail-Marketing-Tools (Mailadressen deiner Empfänger:innen)
- Web-Analyse und Tracking (z. B. Nutzungsdaten von Website-Besucher:innen)
- Kundensupport-, Termin- oder Formular-Tools, die Kontaktdaten erfassen
Faustregel: Verarbeitet ein Dienstleister weisungsgebunden Daten, die eigentlich dir „gehören“, brauchst du mit ihm eine AVV. Verarbeitet er die Daten dagegen eigenverantwortlich für eigene Zwecke, ist es keine Auftragsverarbeitung — dann ist keine AVV nötig, sondern ggf. eine andere Regelung.
Wann brauchst du keine AVV?
Nicht jeder Dienstleister ist Auftragsverarbeiter. Bei Berufen, die von Gesetzes wegen eigenverantwortlich handeln und eigene Berufspflichten haben — etwa Steuerberatung, Rechtsberatung oder Banken — liegt in der Regel keine Auftragsverarbeitung vor. Im Zweifel entscheidet, wer über Zweck und Mittel der Verarbeitung bestimmt: bleibt das bei dir, ist es Auftragsverarbeitung.
Was muss in einer AVV stehen?
Artikel 28 Abs. 3 DSGVO gibt die Pflichtinhalte vor. Eine saubere AVV beschreibt zunächst Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen. Dazu kommen die konkreten Pflichten des Auftragsverarbeiters:
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
- Vertraulichkeit — alle mit den Daten befassten Personen sind zur Verschwiegenheit verpflichtet.
- Technische und organisatorische Maßnahmen (TOM) zum Schutz der Daten nach Art. 32 DSGVO.
- Klare Regeln für den Einsatz von Unterauftragsverarbeitern (Sub-Dienstleistern).
- Unterstützung bei Anfragen betroffener Personen (Auskunft, Löschung usw.).
- Unterstützung bei Datenpannen, Meldepflichten und Datenschutz-Folgenabschätzungen.
- Löschung oder Rückgabe aller Daten nach Ende der Leistung.
- Nachweise und Kontrollmöglichkeiten (Audit-Rechte) für den Verantwortlichen.
In welcher Form muss eine AVV geschlossen werden?
Die AVV muss schriftlich vorliegen — und „schriftlich“ schließt laut Art. 28 Abs. 9 DSGVO ausdrücklich das elektronische Format ein. Eine handschriftliche Unterschrift auf Papier ist also nicht nötig. In der Praxis stellen seriöse Anbieter ihre AVV online bereit, und du akzeptierst sie z. B. im Kundenkonto oder per Klick. Wichtig ist nur, dass der Abschluss dokumentiert und abrufbar ist.
Was passiert ohne AVV?
Fehlt eine erforderliche AVV, verstößt du gegen Art. 28 DSGVO — und zwar als Verantwortlicher, nicht der Dienstleister. Verstöße gegen die Auftragsverarbeitungs-Pflichten können mit Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Unabhängig vom Bußgeldrisiko ist die AVV auch ein Vertrauenssignal: Sie zeigt deinen Kund:innen, dass du ihre Daten ernst nimmst.
Führe eine einfache Liste aller Tools, die für dich personenbezogene Daten verarbeiten, und lege die jeweilige AVV als PDF ab. So hast du bei einer Prüfung oder Kundenanfrage sofort alles beisammen — und siehst auf einen Blick, wo noch eine AVV fehlt.
AVV bei Lunabook
Wenn du Lunabook nutzt, verarbeiten wir personenbezogene Daten (z. B. deine Kundendaten und Belege) in deinem Auftrag — wir sind also dein Auftragsverarbeiter. Deshalb stellen wir dir eine Auftragsverarbeitungsvereinbarung bereit, die die Anforderungen aus Art. 28 DSGVO abdeckt. Deine Daten liegen dabei DSGVO-konform in der EU.
Lunabook ist von Grund auf auf Datenschutz ausgelegt: EU-Hosting, AVV inklusive, deine Daten gehören dir.
Datenschutz & Funktionen ansehenDieser Artikel erklärt das Thema allgemein verständlich und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deines konkreten Falls wende dich an eine:n Datenschutzbeauftragte:n oder eine auf Datenschutz spezialisierte Kanzlei.
Häufige Fragen
AVV steht für Auftragsverarbeitungsvertrag. Das ist die vertragliche Vereinbarung nach Art. 28 DSGVO zwischen einem Verantwortlichen und einem Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Sie legt fest, wie der Dienstleister mit den Daten umgehen darf und wie er sie schützt.
AVV ist die Abkürzung für „Auftragsverarbeitungsvertrag“. Gelegentlich wird auch von „AV-Vertrag“ oder — nach altem Recht — von „ADV“ (Auftragsdatenverarbeitung) gesprochen. Gemeint ist immer dasselbe Dokument nach Art. 28 DSGVO.
Auf Englisch heißt die AVV „Data Processing Agreement“, kurz DPA. Internationale Anbieter stellen ihre AVV daher oft unter dem Titel „DPA“ bereit.
Immer dann, wenn ein externer Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet — etwa Cloud-Software, Buchhaltungs- oder CRM-Tools, Newsletter-Dienste oder Web-Analyse. Verarbeitet der Anbieter die Daten dagegen eigenverantwortlich für eigene Zwecke, ist keine AVV nötig.
Nach Art. 28 Abs. 3 DSGVO gehören dazu Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kategorien Betroffener sowie Pflichten wie Weisungsbindung, Vertraulichkeit, technische und organisatorische Schutzmaßnahmen, Regeln zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe der Daten und Kontrollrechte.
Fehlt eine erforderliche AVV, verstößt du als Verantwortlicher gegen die DSGVO. Solche Verstöße können mit Bußgeldern von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO).
Nein, eine handschriftliche Unterschrift ist nicht zwingend. Art. 28 Abs. 9 DSGVO erlaubt ausdrücklich die elektronische Form. In der Praxis werden AVVs online bereitgestellt und per Klick oder im Kundenkonto akzeptiert — wichtig ist nur, dass der Abschluss dokumentiert ist.
Stand: 15. Juli 2026 · Lunabook Redaktion. Allgemeine Informationen, keine Steuer- oder Rechtsberatung — im Zweifel die Steuerberatung fragen.