Auftragsverarbeitungsvertrag nach Art. 28 DSGVO richtig gestalten

01. Aug. 2026

Artikel teilen

Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gehört zu den am häufigsten unterschätzten Dokumenten in der betrieblichen Datenschutzorganisation. Sobald ein Unternehmen personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, etwa einen Cloud-Anbieter, ein Newsletter-Tool oder einen IT-Support-Dienstleister, entsteht die gesetzliche Pflicht, diese Verarbeitung vertraglich in genau definierter Form zu regeln. Fehlt ein solcher Vertrag oder ist er unvollständig, haftet der Verantwortliche gegenüber der Aufsichtsbehörde unabhängig davon, ob der Dienstleister selbst datenschutzkonform gearbeitet hat. Der folgende Beitrag erläutert, welche Inhalte Art. 28 DSGVO zwingend vorschreibt, wie ein Auftragsverarbeitungsvertrag im Unternehmensalltag praktisch verwaltet wird und welche Fehler in der Praxis am häufigsten zu Beanstandungen führen. Er richtet sich an Geschäftsführungen, Datenschutzbeauftragte und IT-Verantwortliche im Mittelstand, die ihre Dienstleisterbeziehungen datenschutzrechtlich absichern wollen.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Wann ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich ist

Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister (Auftragsverarbeiter) personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet, ohne selbst über Zweck und Mittel der Verarbeitung zu entscheiden. Typische Beispiele im Mittelstand sind das Hosting der Unternehmenswebsite, die Nutzung eines externen Newsletter-Tools, die Auslagerung der Lohnbuchhaltung an einen Steuerberater ohne eigene Entscheidungsbefugnis über die Verarbeitungszwecke, oder der Einsatz eines Cloud-Speichers für Kundendaten. Abzugrenzen ist die Auftragsverarbeitung von der gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO, bei der zwei Parteien gemeinsam über Zwecke und Mittel entscheiden und ein anderer Vertragstyp erforderlich ist.

Die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags trifft den Verantwortlichen, also in der Regel das beauftragende Unternehmen. Es reicht dabei nicht aus, sich auf mündliche Zusicherungen oder allgemeine Geschäftsbedingungen des Dienstleisters zu verlassen. Der Vertrag muss gemäß Art. 28 Abs. 9 DSGVO schriftlich oder in einem elektronischen Format abgeschlossen werden, das eine Dokumentation gewährleistet.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO listet abschließend auf, welche Regelungen ein Auftragsverarbeitungsvertrag mindestens enthalten muss. Diese Liste ist in der Praxis der zentrale Prüfmaßstab, an dem Aufsichtsbehörden und Datenschutzbeauftragte bestehende Verträge messen.

Pflichtinhalt	Kurzbeschreibung
Gegenstand und Dauer der Verarbeitung	Konkrete Beschreibung, welche Datenverarbeitung im Rahmen des Auftrags erfolgt und für welchen Zeitraum
Art und Zweck der Verarbeitung	Nachvollziehbare Darstellung, wozu die Daten verarbeitet werden
Art der personenbezogenen Daten	Auflistung der Datenkategorien, z.B. Kontaktdaten, Vertragsdaten, Gesundheitsdaten
Kategorien betroffener Personen	Z.B. Kunden, Beschäftigte, Interessenten
Pflichten und Rechte des Verantwortlichen	Weisungsrecht, Kontrollrechte, Informationspflichten
Technische und organisatorische Maßnahmen	Konkrete TOM gemäß Art. 32 DSGVO, meist als Anlage beigefügt
Regelungen zu Unterauftragsverarbeitern	Genehmigungspflicht, Informationspflicht bei Änderungen
Löschung oder Rückgabe nach Vertragsende	Klare Regelung, was mit den Daten nach Beendigung des Auftrags geschieht

Ergänzend muss der Vertrag Regelungen zur Unterstützung des Verantwortlichen bei Betroffenenanfragen, bei der Meldung von Datenschutzverletzungen sowie bei der Durchführung von Datenschutz-Folgenabschätzungen enthalten. Der Auftragsverarbeiter ist außerdem verpflichtet, dem Verantwortlichen alle für den Nachweis der Einhaltung erforderlichen Informationen zur Verfügung zu stellen und Kontrollen einschließlich Inspektionen zu ermöglichen.

Technische und organisatorische Maßnahmen als Kernstück

Die technischen und organisatorischen Maßnahmen (TOM) werden in der Praxis häufig unterschätzt, obwohl sie den eigentlichen Sicherheitsstandard der Verarbeitung dokumentieren. Eine reine Verweisformulierung wie „der Auftragsverarbeiter trifft geeignete Maßnahmen“ genügt den gesetzlichen Anforderungen nicht. Erforderlich ist eine konkrete, nachprüfbare Beschreibung, etwa zu Zugriffskontrollen, Verschlüsselung, Backup-Konzepten und Protokollierung. Diese Maßnahmen sollten als eigenständige Anlage zum Hauptvertrag geführt und bei technischen Änderungen aktuell gehalten werden.

Unterauftragsverarbeiter richtig einbinden

Viele Dienstleister setzen ihrerseits weitere Subunternehmer ein, etwa Rechenzentrumsbetreiber oder Support-Dienstleister im Ausland. Der Hauptauftragsverarbeiter darf solche Unterauftragsverarbeiter nur mit vorheriger, gesondert dokumentierter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen einsetzen. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung der Unterauftragsverarbeiter informieren und ihm die Möglichkeit geben, gegen diese Änderung Einspruch zu erheben.

In der Praxis empfiehlt sich, vom Dienstleister eine aktuelle Liste aller eingesetzten Unterauftragsverarbeiter anzufordern und diese im Verzeichnis von Verarbeitungstätigkeiten zu dokumentieren. Werden Daten dabei in Drittländer außerhalb der EU oder des Europäischen Wirtschaftsraums übermittelt, ist zusätzlich ein geeignetes Übermittlungsinstrument erforderlich, etwa Standardvertragsklauseln der EU-Kommission oder ein Angemessenheitsbeschluss für das jeweilige Land.

Ein häufig übersehener Aspekt ist, dass sich die Prüfpflicht des Verantwortlichen nicht nur auf den unmittelbaren Vertragspartner erstreckt, sondern mittelbar auch auf dessen Unterauftragsverarbeiter. Zwar besteht in der Regel kein direktes Vertragsverhältnis zum Unterauftragsverarbeiter, der Verantwortliche sollte sich aber vom Hauptauftragsverarbeiter bestätigen lassen, dass dieser mit jedem eingesetzten Unterauftragsverarbeiter ebenfalls einen Vertrag mit den Mindestinhalten nach Art. 28 Abs. 3 DSGVO geschlossen hat. Diese sogenannte Kettenverpflichtung stellt sicher, dass der Schutzstandard über die gesamte Verarbeitungskette hinweg gleich bleibt und nicht bei der ersten Weiterbeauftragung verwässert wird.

In der Vertragsgestaltung hat sich zudem eine gestaffelte Genehmigungsregelung bewährt: Für den erstmaligen Einsatz neuer Unterauftragsverarbeiter wird eine Widerspruchsfrist von in der Praxis häufig zwei bis vier Wochen vereinbart, innerhalb derer der Verantwortliche die Zusammenarbeit ablehnen kann, wenn berechtigte Zweifel an der Eignung des Subunternehmers bestehen.

Schritt-für-Schritt-Vorgehen bei der Umsetzung

Dienstleisterlandschaft erfassen: Systematische Bestandsaufnahme, welche externen Dienstleister Zugriff auf personenbezogene Daten haben.
Abgrenzung prüfen: Für jeden Dienstleister klären, ob eine Auftragsverarbeitung, eine gemeinsame Verantwortlichkeit oder gar keine datenschutzrechtliche Beziehung vorliegt.
Bestehende Verträge sichten: Vorhandene Auftragsverarbeitungsverträge auf Vollständigkeit gemäß Art. 28 Abs. 3 DSGVO prüfen.
Fehlende Verträge nachfordern: Bei fehlendem oder unvollständigem Vertrag den Dienstleister aktiv zur Nachbesserung auffordern.
TOM-Anlagen aktualisieren: Sicherstellen, dass die technischen und organisatorischen Maßnahmen aktuell und konkret beschrieben sind.
Verzeichnis von Verarbeitungstätigkeiten pflegen: Alle Auftragsverarbeitungsverhältnisse im Verzeichnis dokumentieren und mit Fundstelle des jeweiligen Vertrags verknüpfen.
Regelmäßige Überprüfung einplanen: Jährliche Kontrolle, ob sich Dienstleisterlandschaft oder gesetzliche Anforderungen verändert haben.

Typische Fehler in der Vertragspraxis

Ein wiederkehrender Fehler ist die Verwendung veralteter Vertragsmuster, die noch auf das frühere Bundesdatenschutzgesetz zugeschnitten sind und die seit 2018 geltenden DSGVO-Anforderungen nicht vollständig abbilden. Ebenso häufig fehlt die konkrete Auflistung der Unterauftragsverarbeiter oder es existiert lediglich eine pauschale Klausel ohne tatsächliche Informationspflicht bei Änderungen. Ein weiterer verbreiteter Mangel ist das Fehlen einer klaren Löschungs- oder Rückgaberegelung für den Fall der Vertragsbeendigung, wodurch unklar bleibt, wann und wie personenbezogene Daten nach Auftragsende tatsächlich gelöscht werden.

In der Beratungspraxis zeigt sich zudem regelmäßig, dass kleinere IT-Dienstleister und Software-as-a-Service-Anbieter zwar allgemeine Geschäftsbedingungen bereitstellen, aber keinen eigenständigen, unterschriftsfähigen Auftragsverarbeitungsvertrag anbieten. In solchen Fällen sollte das beauftragende Unternehmen aktiv einen eigenen Vertragsentwurf vorlegen oder die Zusammenarbeit von der Bereitstellung eines konformen Vertrags abhängig machen, bevor personenbezogene Daten übermittelt werden.

„Ein Auftragsverarbeitungsvertrag ist kein Formalismus, sondern die vertragliche Grundlage, auf der die gesamte Auslagerung von Datenverarbeitung ruht. Fehlt er, fehlt die Rechtsgrundlage für die gesamte Verarbeitung durch den Dienstleister.“ (Grundsatz aus der praktischen Datenschutzberatung im Mittelstand)

Haftung und Kontrollpflichten des Verantwortlichen

Der Verantwortliche bleibt auch nach Abschluss eines Auftragsverarbeitungsvertrags datenschutzrechtlich in der Verantwortung. Art. 28 Abs. 1 DSGVO verpflichtet ihn, ausschließlich Auftragsverarbeiter einzusetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Diese Prüfpflicht darf nicht nur bei Vertragsschluss, sondern muss fortlaufend während der Vertragslaufzeit wahrgenommen werden. In der Praxis empfiehlt sich eine dokumentierte Erstprüfung, etwa anhand eines Fragebogens oder vorhandener Zertifizierungen wie ISO 27001, sowie eine regelmäßige Folgeprüfung im Turnus von ein bis zwei Jahren.

Verstößt der Auftragsverarbeiter gegen die vertraglichen Vorgaben oder verarbeitet er Daten außerhalb der erteilten Weisungen, wird er datenschutzrechtlich selbst zum Verantwortlichen für diesen Teil der Verarbeitung und haftet entsprechend eigenständig. Für den ursprünglichen Verantwortlichen ändert dies jedoch nichts an seiner grundsätzlichen Pflicht, geeignete Kontrollmechanismen vertraglich zu verankern und im Streitfall nachweisen zu können, dass er seiner Auswahl- und Kontrollpflicht nachgekommen ist.

Dokumentation und Nachweispflichten im Unternehmensalltag

Neben dem eigentlichen Vertragstext verlangt die praktische Umsetzung ein funktionierendes Dokumentationssystem. Viele Unternehmen führen mittlerweile eine zentrale Übersicht sämtlicher Auftragsverarbeitungsverträge, in der Vertragsdatum, Laufzeit, Ansprechpartner beim Dienstleister sowie das Datum der letzten Kontrollprüfung erfasst werden. Diese Übersicht erleichtert nicht nur die interne Steuerung, sondern dient im Fall einer Anfrage der Aufsichtsbehörde als schneller Nachweis der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Ohne eine solche zentrale Erfassung besteht die Gefahr, dass einzelne Verträge in verschiedenen Fachabteilungen verstreut abgelegt sind und im Ernstfall nicht zeitnah auffindbar sind.

Empfehlenswert ist außerdem eine Verknüpfung der Vertragsübersicht mit dem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Jede im Verzeichnis dokumentierte Verarbeitungstätigkeit, die unter Einbindung eines externen Dienstleisters erfolgt, sollte einen direkten Verweis auf den zugehörigen Auftragsverarbeitungsvertrag enthalten. So lässt sich bei einer internen Revision oder einer externen Prüfung lückenlos nachvollziehen, auf welcher vertraglichen Grundlage die jeweilige Datenverarbeitung erfolgt und ob die dort dokumentierten TOM dem aktuellen Stand entsprechen.

Vorlagen und Musterverträge sinnvoll einsetzen

Zahlreiche Aufsichtsbehörden und Verbände stellen Musterverträge und Prüfhilfen zur Verfügung, die als Ausgangspunkt für die eigene Vertragsgestaltung dienen können. Diese Vorlagen ersetzen jedoch nicht die individuelle Anpassung an die konkrete Verarbeitungssituation. Insbesondere die Beschreibung von Gegenstand, Art und Zweck der Verarbeitung sowie die TOM-Anlage müssen auf den tatsächlichen Einzelfall zugeschnitten werden, da pauschale Formulierungen im Streitfall als unzureichend konkret bewertet werden können. Ein bewährtes Vorgehen besteht darin, eine unternehmensinterne Standardvorlage zu entwickeln, die bei jedem neuen Dienstleisterverhältnis als Grundlage dient und lediglich in den variablen Feldern angepasst wird.

Sonderfälle: Konzernstrukturen und gruppeninterne Datenverarbeitung

Auch innerhalb von Unternehmensgruppen oder Konzernstrukturen kann eine Auftragsverarbeitung vorliegen, etwa wenn eine zentrale IT-Tochtergesellschaft die Datenverarbeitung für mehrere rechtlich selbstständige Konzerngesellschaften übernimmt. Die DSGVO kennt kein generelles Konzernprivileg, das eine vertragliche Regelung entbehrlich machen würde. Zwischen den beteiligten Konzerngesellschaften muss daher grundsätzlich ebenfalls ein Auftragsverarbeitungsvertrag geschlossen werden, sofern die zentrale Einheit im Auftrag und nach Weisung der einzelnen Gesellschaften handelt.

Eine praktikable Lösung für Konzerne mit vielen internen Datenflüssen sind sogenannte konzerninterne Datenschutzrichtlinien in Verbindung mit einem Rahmenvertrag, der die Grundprinzipien der Zusammenarbeit regelt und durch gesellschaftsspezifische Anlagen ergänzt wird. So lässt sich der Verwaltungsaufwand reduzieren, ohne auf die gesetzlich vorgeschriebene vertragliche Grundlage zu verzichten. Bei international tätigen Konzernen mit Datenflüssen in Drittländer ist zusätzlich zu prüfen, ob verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) als übergreifendes Übermittlungsinstrument in Betracht kommen.

Zusammenspiel mit dem Datenschutzbeauftragten

In Unternehmen, die zur Bestellung eines Datenschutzbeauftragten verpflichtet sind oder freiwillig einen solchen benannt haben, sollte die Prüfung und Pflege der Auftragsverarbeitungsverträge fest in dessen Aufgabenbereich verankert sein. Der Datenschutzbeauftragte prüft dabei nicht nur die formale Vollständigkeit nach Art. 28 Abs. 3 DSGVO, sondern bewertet auch, ob die beschriebenen technischen und organisatorischen Maßnahmen dem tatsächlichen Risiko der Verarbeitung angemessen sind. Bei besonders sensiblen Datenkategorien, etwa Gesundheitsdaten oder biometrischen Daten, ist eine vertiefte Prüfung und gegebenenfalls die Einholung zusätzlicher Nachweise wie aktueller Zertifizierungen oder Auditberichte angezeigt.

Fehlt im Unternehmen ein interner oder externer Datenschutzbeauftragter, sollte die Verantwortung für die Vertragspflege eindeutig einer Person oder Funktion zugewiesen werden, etwa der IT-Leitung oder der Compliance-Funktion. Eine unklare Zuständigkeit führt in der Praxis regelmäßig dazu, dass Verträge bei Dienstleisterwechseln oder Vertragsverlängerungen nicht aktualisiert werden und über Jahre veraltete Fassungen im Umlauf bleiben.

Checkliste: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO prüfen

Alle Dienstleister mit Datenzugriff systematisch erfasst
Abgrenzung Auftragsverarbeitung versus gemeinsame Verantwortlichkeit geklärt
Vertrag enthält alle Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
TOM-Anlage konkret, aktuell und nachprüfbar beschrieben
Unterauftragsverarbeiter vollständig gelistet und Informationspflicht geregelt
Drittlandtransfers mit geeignetem Übermittlungsinstrument abgesichert
Löschungs- und Rückgaberegelung für Vertragsende vorhanden
Verzeichnis von Verarbeitungstätigkeiten mit Vertragsfundstelle verknüpft
Regelmäßige Kontrollprüfung des Dienstleisters terminiert

FAQ

Wer muss den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereitstellen?
Grundsätzlich ist der Verantwortliche verpflichtet, den Abschluss sicherzustellen. In der Praxis stellen größere Dienstleister meist eigene Vertragsvorlagen bereit, die der Verantwortliche prüfen und gegebenenfalls verhandeln sollte.

Reicht eine Klausel in den allgemeinen Geschäftsbedingungen aus?
Nein. Art. 28 Abs. 9 DSGVO verlangt einen eigenständigen, dokumentierten Vertrag oder ein elektronisches Format mit vergleichbarer Nachweisfunktion, nicht lediglich eine Erwähnung in den AGB.

Was passiert, wenn kein Auftragsverarbeitungsvertrag besteht?
Der Verantwortliche verstößt gegen Art. 28 DSGVO und riskiert Bußgelder nach Art. 83 DSGVO sowie zivilrechtliche Haftungsrisiken gegenüber betroffenen Personen.

Müssen Unterauftragsverarbeiter im Vertrag namentlich genannt werden?
Der Verantwortliche muss zumindest über eingesetzte Unterauftragsverarbeiter informiert werden und Einspruchsmöglichkeiten bei Änderungen erhalten. Eine namentliche Auflistung in einer Anlage ist gängige und empfehlenswerte Praxis.

Wie oft sollte ein Auftragsverarbeitungsvertrag überprüft werden?
Eine Überprüfung im Turnus von ein bis zwei Jahren sowie bei relevanten Änderungen der Dienstleisterlandschaft oder der gesetzlichen Vorgaben hat sich in der Praxis bewährt.

Gilt die Pflicht auch für kleine Unternehmen?
Ja. Die Pflicht zum Abschluss eines Auftragsverarbeitungsvertrags gilt unabhängig von der Unternehmensgröße, sobald personenbezogene Daten durch einen externen Dienstleister verarbeitet werden.