Auftragsverarbeitungsvertrag für Kleinunternehmen: Praxisleitfaden

Ein Auftragsverarbeitungsvertrag für Kleinunternehmen beginnt mit dem realen Dienst, nicht mit einer Unterschriftsseite. Wenn ein Anbieter personenbezogene Daten nur nach dokumentierten Weisungen verarbeitet, verlangt Artikel 28 ein bindendes Instrument. Die kostenlosen offiziellen Standardvertragsklauseln der Europäischen Kommission aus dem Durchführungsbeschluss (EU) 2021/915 bieten dafür eine vollständige Ausgangsbasis ².

Kurzantwort: Ein Auftragsverarbeitungsvertrag für Kleinunternehmen muss die tatsächliche Verarbeitung vollständig und verbindlich abbilden. Prüfen Sie zuerst die Rollen, erfassen Sie Dienst und Lieferkette, vergleichen Sie alle Anbieterbedingungen und schließen Sie Lücken. Die kostenlosen EU-Standardklauseln 2021/915 sind eine offizielle Grundlage; Anhänge, Verantwortliche, Tests und Änderungen müssen dennoch konkret gepflegt werden.

Zuletzt aktualisiert: 26. August 2026

Die Unterschriftsseite ist nicht der Ausgangspunkt

Zuerst muss feststehen, ob der Anbieter für die konkrete Tätigkeit Auftragsverarbeiter ist. Das ist der Fall, wenn Ihr Unternehmen Zweck und wesentliche Mittel bestimmt und der Anbieter personenbezogene Daten ausschließlich in Ihrem Auftrag und nach dokumentierten Weisungen verarbeitet. Bestimmt der Anbieter für einen abgrenzbaren Vorgang einen eigenen Zweck, ist dafür eine gesonderte Verantwortlichenprüfung nötig. Gemeinsame Grundentscheidungen können stattdessen Artikel 26 auslösen. Ein Formular mit der Überschrift „AVV“ kann die Tatsachen nicht verändern ¹.

Liegt Auftragsverarbeitung vor, ist das Instrument gesetzlich erforderlich und keine freiwillige Absicherung. Es kann ein individuell unterzeichneter Vertrag, ein wirksam einbezogener Datenschutzanhang oder ein anderes nach Unionsrecht oder dem Recht eines Mitgliedstaats bindendes Rechtsinstrument sein. Vollständige Anbieterbedingungen können daher genügen. Entscheidend ist, dass sie verbindlich sind, den richtigen Dienst und die richtigen Parteien erfassen und sämtliche Pflichtinhalte abdecken.

Die Europäische Kommission stellt mit dem Durchführungsbeschluss (EU) 2021/915 kostenlose offizielle Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter im EU-/EWR-Kontext bereit ³. Sie sollten früh geprüft werden, nicht erst nach einer kostenpflichtigen Vertragsrunde. Die Klauseln sind jedoch kein automatisch fertiges Dokument: Auswahlfelder, Anhänge, Beschreibung der Verarbeitung, Sicherheitsmaßnahmen und Unterauftragsverarbeiter müssen mit Tatsachen gefüllt werden; individuelle Gestaltung ist erst angezeigt, wenn ein konkreter Sonderfall, eine echte Lücke oder ein Konflikt mit bestehenden Bedingungen nachgewiesen ist.

Zuerst wird der tatsächliche Dienst kartiert

Eine belastbare Vereinbarung beschreibt, was wirklich geschieht. Produktnamen und allgemeine Aussagen wie „Hosting und Support“ sind zu ungenau, wenn sie unterschiedliche Zugriffe, Standorte und Löschwege verdecken. Sprechen Sie mit der Person, die den Dienst administriert, und gleichen Sie Vertrag, technische Konfiguration, Rechnungsumfang und tatsächlich genutzte Funktionen ab.

Die Karte darf Unsicherheiten zeigen. „Supportzugriff laut Anbieter unklar“ ist ein Arbeitsauftrag; eine erfundene Annahme wäre eine falsche Vertragsgrundlage. Trennen Sie ebenfalls aktivierte von nur angebotenen Funktionen. Eine nicht genutzte Analysefunktion gehört nicht automatisch in den aktuellen Umfang, braucht aber einen Änderungsweg, falls sie später eingeschaltet wird.

Das Ergebnis ist eine gemeinsame Tatsachenbasis für Vertragsprüfung und Anlagen. Ohne sie bleibt selbst eine juristisch vollständige Vorlage leer: Die Parteien könnten ihre Pflichten nicht auf Systeme, Personen und Verantwortliche übertragen.

Alle Anbieterbedingungen und Anlagen werden gemeinsam gelesen

Anbieter verteilen die Regelungen häufig auf Hauptvertrag, Datenschutzanhang, Sicherheitsanlage, Unterauftragsliste und online verlinkte Bedingungen. Erstellen Sie ein Inventar mit Dokumenttitel, Fassung, Datum, Abrufort und Bindungsmechanismus. Prüfen Sie, welche juristischen Personen Vertragsparteien sind und ob die leistende oder abrechnende Einheit mit der im Datenschutzanhang benannten Einheit übereinstimmt.

Danach folgt eine Lückenliste, in der jede Artikel-28-Pflicht und jede benötigte Anlage eine von vier Bewertungen erhält. Vollständig bedeutet, dass eine bindende Regel den realen Dienst abdeckt und der zugehörige Nachweis auffindbar ist. Unvollständig bezeichnet eine konkret benannte fehlende Pflicht, Tatsache oder Anlage. Widersprüchlich liegt etwa vor, wenn Hauptbedingungen eine freie Datennutzung erlauben, während der Datenschutzanhang Weisungsbindung verspricht. Fehlend heißt, dass keine bindende Regel gefunden wurde. Zu jedem anderen Ergebnis als „vollständig“ gehören Eigentümer, vorgesehener Vertragsweg und Entscheidungstermin; sonst bleibt die Liste eine Diagnose ohne Schließung der Lücke.

Rangfolge- und Einbeziehungsklauseln entscheiden, welche Fassung im Konflikt gilt. Ein Sicherheitsbericht auf einer Webseite kann nützliche Evidenz sein, wird aber nicht allein durch seine Existenz Vertragsbestandteil; ebenso kann eine Unterauftragsliste aktuell sein, ohne einen ausreichenden Vorankündigungs- und Einwandsweg zu schaffen. Vermerken Sie deshalb neben dem Inhalt immer seine rechtliche Funktion.

Auffindbarkeit schafft keine Bindung.

Online-Bedingungen brauchen besondere Aufmerksamkeit: Darf der Anbieter sie einseitig ändern, wie werden Kunden informiert und welche archivierte Fassung gilt? Speichern Sie den maßgeblichen Stand oder einen belastbaren Versionsnachweis im Vertragsdatensatz. So bleibt später nachvollziehbar, welchen Regeln Sie zugestimmt haben und wann eine Änderung die erneute Prüfung ausgelöst hat.

Drei Vertragswege decken den Bedarf ab

Die beste Route ist die kleinste, die alle nachgewiesenen Anforderungen verbindlich erfüllt. Ein zusätzliches Dokument kann mehr Konflikte als Schutz erzeugen, wenn vollständige Anbieterbedingungen bereits bestehen. Umgekehrt darf ein bekanntes Loch nicht mit der Behauptung geschlossen werden, der Anbieter sei allgemein „DSGVO-konform“.

Kartieren Sie zuerst den Dienst und vergleichen Sie alle bindenden Dokumente. Sind die Bedingungen vollständig, sichern Sie die Fassung; andernfalls wählen Sie geeignete Klauseln 2021/915 und füllen die Anlagen aus oder erstellen eine begrenzte Ergänzung ². Weisen Sie danach Eigentümer zu und testen Sie den Vertrag.

Die Kommissionsklauseln nach 2021/915 sind nicht mit Standardvertragsklauseln für internationale Datenübermittlungen gleichzusetzen. Sie dienen dem Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter im EU-/EWR-Kontext. Die Kommission erläutert ihren Anwendungsbereich und das Zusammenspiel mit anderen Klauselwerken gesondert ⁴.

Dokumentieren Sie die Auswahlentscheidung in wenigen Sätzen: welche Unterlagen geprüft wurden, welche Lücke bestand und warum die gewählte Route sie schließt. Diese Begründung verhindert, dass bei einer Verlängerung wieder von vorne begonnen oder ein vollständiges Instrument versehentlich durch ein schwächeres ersetzt wird.

Artikel 28 wird in arbeitsfähige Klauseln übersetzt

Ein vollständiger Vertrag benennt zuerst Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien personenbezogener Daten, betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen. Diese Beschreibung gehört nicht nur in eine abstrakte Klausel; sie muss mit der Dienstkarte und den Anlagen übereinstimmen. Danach werden die gesetzlichen Pflichten so formuliert, dass beide Seiten wissen, wer über welchen Kanal innerhalb welcher operativen Grenze handelt ¹.

Die letzte Pflicht enthält einen häufig verlorenen Schritt: Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen Datenschutzrecht der Union oder eines Mitgliedstaats, muss er den Verantwortlichen unverzüglich informieren. Die Klausel sollte nicht bei der Meldung enden. Sie braucht einen Eskalationsweg, zuständige Rollen und eine Regel dafür, wie die betroffene Verarbeitung bis zur Klärung sicher begrenzt wird, ohne eine gesetzlich nicht vorgesehene Entscheidungskompetenz zu erfinden.

Auch „Unterstützung“ darf kein leeres Wort bleiben. Für Artikel 32 bis 36 muss feststehen, welche technischen Informationen, Protokolle, Ansprechpartner und Reaktionswege der Anbieter bereitstellt. Dazu zählen Sicherheitsmaßnahmen, Verletzungen des Schutzes personenbezogener Daten, Benachrichtigungen, Datenschutz-Folgenabschätzungen und eine gegebenenfalls erforderliche vorherige Konsultation. Umfang und Kosten können angemessen geregelt werden; die gesetzlich erforderliche Hilfe darf dadurch nicht praktisch unerreichbar werden.

Anlagen brauchen Tatsachen statt Standardformulierungen

Die Anlagen verbinden die rechtlichen Pflichten mit dem Dienst. Beschreiben Sie konkrete Vorgänge, Systeme, Kategorien personenbezogener Daten und Personengruppen. „Alle zur Leistungserbringung nötigen Daten“ ist zu offen. Besser ist eine begrenzte Aufzählung aus der Dienstkarte, ergänzt um die aktivierten Funktionen und den tatsächlich benötigten Zugriff.

Sicherheitsmaßnahmen sollten überprüfbar sein. Statt nur „branchenübliche Verschlüsselung“ zu versprechen, nennt die Anlage die geschützten Übertragungs- und Speicherbereiche, Zugriffsrollen, Authentisierung, Protokollierung, Wiederherstellung, Prüfung und Änderungsverantwortung. Der Vertrag muss nicht jedes technische Detail unveränderlich machen. Er sollte aber festlegen, welches Schutzniveau nicht unterschritten wird und wie wesentliche Änderungen bewertet und mitgeteilt werden.

Der Endzustand verdient eine eigene Beschreibung. Legen Sie Exportformat, Rückgabeweg, Löschfrist, Löschbestätigung und den Umgang mit Sicherungskopien fest. Wenn Kopien technisch erst im Rotationszyklus verschwinden oder eine gesetzliche Aufbewahrung greift, werden Zugriffsbeschränkung, Zweck, Dauer und endgültige Löschung dokumentiert. Eine pauschale Ausnahme „soweit technisch möglich“ ist kein Exit-Plan.

Anlagen müssen gemeinsam mit dem Haupttext gebunden und versioniert werden. Eine unterschriebene Klausel mit leeren oder später lose per E-Mail ergänzten Anhängen ist nicht der gleiche Nachweis wie ein vollständiges Instrument zum maßgeblichen Zeitpunkt.

Unterauftragsverarbeitung braucht Kette und Nachweise

Der Verantwortliche muss wissen, welche Unterauftragsverarbeiter für die vereinbarte Verarbeitung eingesetzt werden und wie Änderungen kontrolliert werden. Bei einer spezifischen vorherigen Genehmigung wird jeder Einsatz einzeln freigegeben. Bei einer allgemeinen schriftlichen Genehmigung muss der erste Auftragsverarbeiter beabsichtigte Hinzufügungen oder Ersetzungen vorab mitteilen, damit der Verantwortliche widersprechen kann ¹.

Eine Liste allein reicht nicht, wenn Änderungen unbemerkt bleiben oder kein Einwand möglich ist; ein Newsletter an ein unüberwachtes Konto ist kein belastbarer Mitteilungsweg, selbst wenn der Anbieter ihn formal als Benachrichtigung bezeichnet. Ordnen Sie deshalb eine aktive Empfängeradresse, einen Vertreter und eine Frist für die interne Risikoentscheidung zu.

Die Nachweistiefe folgt dem Risiko. Kritische Verarbeitung kann detaillierte Sicherheits- und Prüfunterlagen verlangen; bei einer begrenzten Standardleistung kann eine sachgerechte Bestätigung ausreichen. Es besteht keine systematische Pflicht, jede nachgelagerte Vereinbarung vollständig einzusammeln. Der Verantwortliche muss jedoch genügend Informationen besitzen, um Auswahl, Garantien und Kette beurteilen zu können. Das EDPB betont die Verantwortung des Verantwortlichen für die eingesetzte Verarbeitungskette ⁶.

Gibt der erste Auftragsverarbeiter Pflichten weiter, bleibt er dem Verantwortlichen gegenüber nach Artikel 28 Absatz 4 voll dafür haftbar, dass der Unterauftragsverarbeiter seine Datenschutzpflichten erfüllt. Diese fortbestehende Verantwortung darf weder durch die Liste noch durch einen direkten Kontakt zum Unterauftragnehmer verwischt werden.

Übermittlungen bleiben eine getrennte Prüfung

Artikel 28 und Kapitel V beantworten verschiedene Fragen: Der Auftragsverarbeitungsvertrag regelt, wie ein Anbieter im Auftrag handelt, während die Übermittlungsprüfung klärt, ob personenbezogene Daten außerhalb des EWR übermittelt oder von dort zugänglich werden und welcher Übermittlungsmechanismus dafür trägt. Ein vollständiger AVV ist deshalb notwendig, aber kein Ersatz für eine erforderliche Kapitel-V-Lösung. Erfassen Sie Speicherort, Supportzugriff, Fernadministration und die Standorte der Unterauftragsverarbeiter; prüfen Sie danach getrennt Angemessenheitsbeschlüsse oder geeignete Garantien und gegebenenfalls ergänzende Maßnahmen. Der bloße Satz „Daten werden in Europa gespeichert“ beantwortet nicht, ob ein externer Supportzugriff möglich ist.

Verknüpfen Sie beide Prüfungen über dieselbe Datenflusskarte und denselben Änderungsprozess. So löst ein neuer Standort sowohl die Vertrags- als auch die Übermittlungsprüfung aus. Halten Sie die Rechtsinstrumente dennoch auseinander, damit eine Klausel nicht fälschlich als Lösung für die andere Frage behandelt wird.

Das Instrument wird bindend und bekommt Eigentümer

Prüfen Sie vor Abschluss die vollständigen Firmierungen und Vertretungsbefugnisse. Bei Konzern- oder Plattformangeboten muss klar sein, welche juristische Person die Leistung erbringt, wer Verantwortlicher ist und welche verbundenen Unternehmen einbezogen werden. Eine Markenbezeichnung allein benennt keine Vertragspartei.

Der Vertrag sollte ausdrücklich auf die maßgeblichen Anlagen und Fassungen verweisen. Regeln Sie Einbeziehung, Vorrang und Änderungsmechanismus so, dass widersprüchliche Online-Bedingungen den Artikel-28-Kern nicht unbemerkt verdrängen. Bewahren Sie die vereinbarte Fassung mit Abschlussdatum und Nachweis der Zustimmung auf.

Ordnen Sie Service-, Datenschutz- und Sicherheitskontakte zu und verwenden Sie überwachte Kanäle. Ein Postfach ohne Vertretung kann eine Rechteanfrage, Vorfallmeldung oder Unterauftragsänderung verlieren. Benennen Sie intern Eigentümer für Vertragsstand, technische Anlage, Kettenliste und offene Maßnahmen. Für eine gewöhnliche private Organisation führt der offizielle Finder zur zuständigen Landesdatenschutzaufsichtsbehörde nach ihrem Sitz; der BfDI ist nicht pauschal die zuständige Unternehmensaufsicht.

Nach der Unterschrift folgt ein Funktionstest

Ein Vertrag ist nur belastbar, wenn die vorgesehenen Wege im Alltag funktionieren. Testen Sie ausgewählte Szenarien mit realistischen, aber geschützten Testdaten. Es genügt nicht, dass eine Kontaktadresse existiert; die Anfrage muss die zuständige Person erreichen und die benötigten Informationen müssen rechtzeitig zurückkommen.

Ein Test darf eine Lücke zeigen. Der Wert liegt gerade darin, dass ein unklarer Kontakt oder fehlender Export vor einem echten Ereignis sichtbar wird. Ordnen Sie jede Feststellung einer Person und einem Termin zu und aktualisieren Sie bei Bedarf Vertrag, Anlage oder Prozess.

Wiederholen Sie nicht zwangsläufig jedes Szenario in starren kurzen Abständen. Wählen Sie risikobasiert und testen Sie erneut, wenn sich Systeme, Ansprechpartner oder Leistungsumfang wesentlich ändern.

Bei Ablehnung gilt eine feste Eskalationsleiter

„Wir unterschreiben keine AVV“ ist keine ausreichende Schlussfolgerung. Manchmal existieren bereits wirksam einbezogene Anbieterbedingungen; manchmal ist die Tätigkeit falsch eingeordnet; manchmal bleibt tatsächlich eine nicht vertretbare Lücke. Eine feste Reihenfolge verhindert sowohl unnötige Verhandlungen als auch die ungeprüfte Nutzung.

Die Eskalation sollte Fakten statt pauschaler Risikowörter enthalten: betroffene Daten und Personen, fehlende Klausel, möglicher Schaden, verfügbare Alternativen und spätester Entscheidungstermin. So kann die zuständige Leitung eine nachvollziehbare Entscheidung treffen.

Eine geschäftliche Dringlichkeit macht einen unvollständigen Vertrag nicht vollständig. Wenn eine sichere Umgestaltung möglich ist, kann der übrige Dienst weiter genutzt werden. Ist sie es nicht, bleibt das Stoppen der konkreten Verarbeitung der letzte kontrollierte Schritt, nicht eine Drohung am Anfang der Verhandlung.

Der Vertrag bleibt Teil des Betriebs

Änderungen an Zweck, Funktionen, Daten, Personen, Standorten, Unterauftragsverarbeitern, Sicherheitsmaßnahmen oder Löschwegen lösen eine Überprüfung aus. Zusätzlich kann eine begrenzte periodische Kontrolle zeigen, ob Online-Bedingungen, Kontakte und Nachweise noch aktuell sind. Der Kalender ersetzt aber keinen Ereignisweg: Eine neue Funktion muss vor ihrer Nutzung bewertet werden.

Führen Sie einen Betriebsdatensatz, der Dienstkarte, bindende Bedingungen, Anlagen, Verarbeitungskette, Sicherheits- und sonstige Nachweise, Eigentümer, Testergebnisse und offene Maßnahmen verbindet. Er muss nicht in einem einzigen Dokument stehen; eindeutige Verweise und Versionen müssen jedoch verhindern, dass unterschiedliche Teams mit verschiedenen Vertragsständen arbeiten.

Schließen Sie Maßnahmen sichtbar ab und bewahren Sie die Begründung für akzeptierte Grenzen auf. So bleibt der Auftragsverarbeitungsvertrag kein abgelegtes PDF, sondern eine belastbare Steuerung des realen Dienstes, die bei einer Rechteanfrage, einem Vorfall oder einer Änderung tatsächlich trägt.