Auftragsverarbeitung (AVV)

Rechtsstand: 14.10.2026 · Aktualisiert: 14.10.2026

Kurz gesagt

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag oder anderes Rechtsinstrument, mit dem ein Shopbetreiber einen Dienstleister bindet, der personenbezogene Daten nur nach seinen Weisungen verarbeitet (Art. 28 Abs. 3 DSGVO). Er ist nötig, sobald ein Dienstleister solche Daten im Auftrag verarbeitet, in Deutschland und Österreich seit 25. Mai 2018. Beispiele im Shop sind Hosting, Newsletter-Versand, Fulfillment und Kundenservice.

Das Wichtigste

Rechtsgrundlage ist Art. 28 DSGVO; der Vertrag ist schriftlich zu fassen, elektronisch genügt (Art. 28 Abs. 9 DSGVO).
Nötig nur bei Verarbeitung im Auftrag; wer über Zwecke und Mittel selbst entscheidet, ist Verantwortlicher (Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO).
Der Vertrag muss die Angaben und Pflichten nach Art. 28 Abs. 3 Buchst. a bis h DSGVO enthalten.
Unterauftragsverarbeiter nur mit vorheriger schriftlicher Genehmigung (Art. 28 Abs. 2 DSGVO).
In Deutschland und Österreich gilt die DSGVO seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO).
In der Schweiz gilt Art. 9 DSG (SR 235.1); die DSGVO ist dort kein Landesrecht, kann aber nach Art. 3 DSGVO gelten.

Definition

Der Auftragsverarbeitungsvertrag (AVV) ist das Rechtsinstrument, das Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO) verlangt, sobald ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet; es bindet ihn an dessen Weisungen und legt Gegenstand, Zweck und Datenarten fest.

Wann ein AVV nötig ist

Ein AVV hängt daran, dass ein Dienstleister personenbezogene Daten im Auftrag verarbeitet; eine Größenschwelle enthält Art. 28 DSGVO nicht. Beispiel: Ein Shop lässt Server hosten, verschickt Newsletter über einen Dienst und lagert den Versand aus.

Dienst	Verarbeitung im Auftrag
Webhosting und Serverbetrieb	Speicherung und Auslieferung
Shopsystem als Mietlösung	Betrieb und Administratorenzugriffe
E-Mail-Versand und Kundenservice	Newsletter, Bestellbestätigungen, Kundendaten
Fulfillment: Lager und Versand	Bestell- und Adressdaten
Zahlungsdienstleister	nur bei Abwicklung nach Ihren Weisungen

Die Einordnung folgt unseren DSGVO-Kriterien. Ein Hosting-Dienst, der nur speichert, handelt im Auftrag; entscheidet ein Dienst selbst über Zwecke und Mittel, ist er insoweit Verantwortlicher (Art. 4 Nr. 7, Art. 28 Abs. 10 DSGVO; Leitlinien 07/2020 des Europäischen Datenschutzausschusses, Rn. 40).

Was der Vertrag regeln muss und seit wann er gilt

Der AVV legt Gegenstand und Dauer, Art und Zweck, die Datenarten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen fest und enthält die Pflichten nach Art. 28 Abs. 3 Buchst. a bis h DSGVO. Schriftlich genügt elektronisch (Art. 28 Abs. 9 DSGVO); Unterauftragsverarbeiter brauchen eine vorherige Genehmigung (Art. 28 Abs. 2 DSGVO). Angewandt wird die Verordnung in Deutschland und Österreich seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO); Verstöße kann die Aufsichtsbehörde nach den Umständen des Einzelfalls mit bis zu 10.000.000 Euro oder, im Fall eines Unternehmens, mit bis zu 2 Prozent seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs ahnden, je nachdem, welcher der Beträge höher ist (Art. 83 Abs. 2 und 4 Buchst. a DSGVO). Einzelheiten: Auftragsverarbeitung mit Dienstleistern.

Nicht zu verwechseln mit

Standardvertragsklauseln (Art. 46 DSGVO): Sie tragen die Übermittlung in ein Drittland und können zugleich als AVV dienen (Art. 28 Abs. 6 DSGVO).
Gemeinsame Verantwortlichkeit (Art. 26 DSGVO): Dort entscheiden zwei Stellen gemeinsam über Zwecke und Mittel.
Auftragsbearbeitung in der Schweiz: Art. 9 DSG (SR 235.1) statt der DSGVO als Landesrecht.

Häufige Fragen

Muss der AVV unterschrieben werden?

Nein, eine Unterschrift verlangt Art. 28 DSGVO nicht; das Rechtsinstrument ist schriftlich abzufassen, was auch elektronisch möglich ist (Art. 28 Abs. 9 DSGVO). Nach den Leitlinien 07/2020 des Europäischen Datenschutzausschusses (Rn. 101) genügt eine rein mündliche Verabredung nicht. Bewahren Sie das Dokument mit Datum auf; es ist der Nachweis nach Art. 28 Abs. 3 Buchst. h DSGVO.

Reicht es, wenn der Dienstleister im Vertrag als Auftragsverarbeiter bezeichnet wird?

Nein. Entscheidend ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Bestimmt der Dienstleister sie selbst, ist er insoweit Verantwortlicher (Art. 4 Nr. 7 DSGVO), auch wenn der Vertrag ihn Auftragsverarbeiter nennt (Art. 28 Abs. 10 DSGVO); für die Weitergabe an ihn brauchen Sie dann eine Rechtsgrundlage nach Art. 6 DSGVO.

Gilt die AVV-Pflicht auch für einen Shop in der Schweiz?

Als Schweizer Landesrecht nicht: Dort richtet sich die Auftragsbearbeitung nach Art. 9 DSG. Die DSGVO kann einen in der Schweiz niedergelassenen Anbieter aber nach Art. 3 Abs. 2 DSGVO erfassen, wenn er Personen in der Union Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet; dann gilt auch Art. 28 DSGVO. Klären Sie den Einzelfall mit Ihrer Datenschutzberatung.