Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Vorlage)
Wer personenbezogene Daten im Auftrag eines anderen verarbeitet, braucht dafür einen Vertrag nach Art. 28 Abs. 3 DSGVO. Das gilt für fast jeden externen Dienstleister, der mit Kundendaten in Berührung kommt — Hosting, Newsletter-Versand, Lohnbuchhaltung, IT-Support.
Ausfüllen und mit dem Personalausweis unterschreiben
PNG oder JPG, maximal 1,5 MB. Erscheint oben im Dokument anstelle des esigner-Logos.
Schritt 1 von 6 · Vertragsparteien
1. Vertragsparteien
Verantwortlicher
Auftragsverarbeiter
Kein Konto · Sie zahlen erst beim Versand
Auftragsverarbeitungsvertrag
Vertrag nach Art. 28 Abs. 3 DSGVO
1. Vertragsparteien
Verantwortlicher
Firma
Anschrift
Vertreten durch
Datenschutzbeauftragter
Auftragsverarbeiter
Firma
Anschrift
Vertreten durch
Datenschutzbeauftragter
2. Gegenstand und Dauer
Zugrunde liegender Hauptvertrag
Gegenstand der Verarbeitung
Dauer der Verarbeitung
3. Art, Umfang und Zweck
Art und Zweck der Verarbeitung
Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Interessenten)
Kategorien personenbezogener Daten (z. B. Kontaktdaten, Vertragsdaten, Nutzungsdaten)
Besondere Kategorien nach Art. 9 DSGVO, sofern betroffen
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation —, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit. Ist er der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 lit. a und Unterabs. 2 DSGVO).
Weisungsberechtigte Personen beim Verantwortlichen
5. Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen
Die Maßnahmen nach Art. 32 DSGVO sind in einer Anlage beschrieben und werden regelmäßig überprüft.
Bezeichnung und Stand der Anlage TOM
7. Unterauftragnehmer
[ ] Allgemeine Genehmigung — Liste als Anlage, Änderungen sind vorab anzukündigen; der Verantwortliche kann ihnen widersprechen (Art. 28 Abs. 2 DSGVO)
[ ] Einzelgenehmigung im Voraus erforderlich
Der Auftragsverarbeiter erlegt jedem Unterauftragnehmer vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragnehmer seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichten (Art. 28 Abs. 4 DSGVO).
Aktuell eingesetzte Unterauftragnehmer und Ankündigungsfrist
8. Drittlandtransfer
Verarbeitung außerhalb der EU/des EWR und Grundlage der Übermittlung
9. Unterstützung und Meldepflichten
• Unterstützung bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO)
• Unterstützung bei Datenschutz-Folgenabschätzung und Meldepflichten (Art. 32 bis 36 DSGVO)
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (Art. 33 Abs. 2 DSGVO)
Meldefrist an den Verantwortlichen
10. Löschung und Rückgabe
Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück und löscht vorhandene Kopien, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht.
[ ] Rückgabe der Daten nach Vertragsende
[ ] Löschung nach Vertragsende
Frist und gesetzliche Aufbewahrungspflichten
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen vor Ort — durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei.
Vereinbarte Nachweise (Zertifikate, Auditbericht), Ankündigungsfrist und Kostentragung
12. Unterschriften
Ort und Datum
Verantwortlicher (Unterschrift)
Ort und Datum
Auftragsverarbeiter (Unterschrift)
Über die Vorlage
Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag schriftlich abgefasst wird, und lässt dafür ausdrücklich ein elektronisches Format zu — das ist nicht die Schriftform des § 126 BGB, und eine qualifizierte Signatur ist nicht erforderlich. Der Vertrag kann deshalb hier elektronisch unterschrieben werden.
Lieber von Hand ausfüllen?
Vorlage kostenlos herunterladen
PDF zum Ausdrucken · bearbeitbares Word (.docx)
Was die Vorlage enthält
- Verantwortlicher und Auftragsverarbeiter
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Datenarten
- Weisungsrecht und Meldepflichten
- Technische und organisatorische Maßnahmen (TOM)
- Unterauftragnehmer und Drittlandtransfers
- Unterstützungspflichten, Löschung und Kontrollrechte
So unterschreiben Sie sie mit dem Personalausweis
- 1
Vorlage herunterladen. Laden Sie auftragsverarbeitungsvertrag (avv) als PDF oder Word herunter.
- 2
Ausfüllen. Tragen Sie die Angaben auf Ihrem eigenen Rechner in das Dokument ein.
- 3
Hochladen und unterschreiben. Laden Sie das ausgefüllte PDF auf esigner.de hoch, tragen Sie die E-Mail-Adressen ein und unterschreiben Sie mit dem Personalausweis.
Quelle und Rechtsgrundlage
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.
Art. 28 DSGVO — Auftragsverarbeiter (öffnet in einem neuen Tab)Offizielle Quellen und Gesetze
- Art. 28 DSGVO — Auftragsverarbeiter (öffnet in einem neuen Tab)
- Art. 32 DSGVO — Sicherheit der Verarbeitung (öffnet in einem neuen Tab)
- Art. 33 DSGVO — Meldung von Verletzungen des Schutzes personenbezogener Daten (öffnet in einem neuen Tab)
- Art. 6 DSGVO — Rechtmäßigkeit der Verarbeitung (öffnet in einem neuen Tab)
Häufige Fragen
- Wann brauche ich einen AVV?
- Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet und dabei weisungsgebunden ist — also nicht selbst über Zwecke und Mittel entscheidet. Typische Fälle sind Hosting, Cloud-Software, Newsletter-Tools, externe Lohnbuchhaltung und IT-Wartung mit Datenzugriff. Ein Steuerberater oder Rechtsanwalt ist dagegen in der Regel eigener Verantwortlicher.
- Darf ein AVV elektronisch unterschrieben werden?
- Ja. Art. 28 Abs. 9 DSGVO verlangt, dass der Vertrag „schriftlich abzufassen“ ist, „was auch in einem elektronischen Format erfolgen kann“. Gemeint ist die Dokumentation, nicht die Schriftform des § 126 BGB — eine elektronisch unterschriebene Fassung erfüllt diese Anforderung.
- Was sind TOM?
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung, Zugangs- und Zugriffskontrolle, Protokollierung, Backup- und Wiederherstellungskonzepte, Verpflichtung der Mitarbeiter auf Vertraulichkeit. Sie gehören als Anlage zum Vertrag und sollten den konkreten Dienst beschreiben, nicht nur Schlagworte aufzählen.
- Was gilt für Unterauftragnehmer?
- Der Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen einsetzen. Üblich ist eine allgemeine Genehmigung mit einer Liste im Anhang und einer Pflicht, Änderungen rechtzeitig anzukündigen, damit der Verantwortliche widersprechen kann.
Sie fragen sich, ob eine elektronische Signatur rechtlich hält? Zur elektronischen Signatur →
Weitere Vorlagen
Alle Vorlagen ansehenDiese Vorlage ist ein allgemeiner Ausgangspunkt und stellt keine Rechtsberatung dar. Prüfen Sie, ob der Inhalt zu Ihrer Situation passt, und holen Sie im Zweifel rechtlichen Rat ein.