Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Vorlage)
Wer personenbezogene Daten im Auftrag eines anderen verarbeitet, braucht dafür einen Vertrag nach Art. 28 Abs. 3 DSGVO. Das gilt für fast jeden externen Dienstleister, der mit Kundendaten in Berührung kommt — Hosting, Newsletter-Versand, Lohnbuchhaltung, IT-Support.
Die DSGVO verlangt Schriftform, lässt aber ausdrücklich das elektronische Format zu. Der Vertrag kann deshalb hier elektronisch unterschrieben werden.
Ausfüllen und mit dem Personalausweis unterschreiben
Füllen Sie die Felder unten aus, tragen Sie ein, wer unterschreiben soll, und schließen Sie die Zahlung ab. Alles passiert hier — Sie müssen nichts herunterladen.
PNG oder JPG, maximal 1,5 MB. Erscheint oben im Dokument anstelle des esigner-Logos.
Schritt 1 von 4
1. Vertragsparteien
Verantwortlicher
Auftragsverarbeiter
Kostenlos · ohne Konto · wird erst beim Herunterladen gespeichert
So sieht das Dokument aus
Auftragsverarbeitungsvertrag
Vertrag nach Art. 28 Abs. 3 DSGVO
1. Vertragsparteien
Verantwortlicher
Firma
Anschrift
Vertreten durch
Datenschutzbeauftragter
Auftragsverarbeiter
Firma
Anschrift
Vertreten durch
Datenschutzbeauftragter
2. Gegenstand und Dauer
Zugrunde liegender Hauptvertrag
Gegenstand der Verarbeitung
Dauer der Verarbeitung
3. Art, Umfang und Zweck
Art und Zweck der Verarbeitung
Kategorien betroffener Personen (z. B. Kunden, Beschäftigte, Interessenten)
Kategorien personenbezogener Daten (z. B. Kontaktdaten, Vertragsdaten, Nutzungsdaten)
Besondere Kategorien nach Art. 9 DSGVO, sofern betroffen
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Hält er eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
Weisungsberechtigte Personen beim Verantwortlichen
5. Vertraulichkeit
Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
6. Technische und organisatorische Maßnahmen
Die Maßnahmen nach Art. 32 DSGVO sind in einer Anlage beschrieben und werden regelmäßig überprüft.
Bezeichnung und Stand der Anlage TOM
7. Unterauftragnehmer
[ ] Allgemeine Genehmigung — Liste als Anlage, Änderungen sind vorab anzukündigen
[ ] Einzelgenehmigung im Voraus erforderlich
Aktuell eingesetzte Unterauftragnehmer und Ankündigungsfrist
8. Drittlandtransfer
Verarbeitung außerhalb der EU/des EWR und Grundlage der Übermittlung
9. Unterstützung und Meldepflichten
• Unterstützung bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO)
• Unterstützung bei Datenschutz-Folgenabschätzung und Meldepflichten (Art. 32 bis 36 DSGVO)
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten
Meldefrist an den Verantwortlichen
10. Löschung und Rückgabe
[ ] Rückgabe der Daten nach Vertragsende
[ ] Löschung nach Vertragsende
Frist und gesetzliche Aufbewahrungspflichten
11. Nachweise und Kontrollen
Vereinbarte Nachweise (Zertifikate, Auditbericht) und Kontrollrechte
12. Unterschriften
Ort und Datum
Verantwortlicher (Unterschrift)
Ort und Datum
Auftragsverarbeiter (Unterschrift)
Lieber von Hand ausfüllen?
Vorlage kostenlos herunterladen
PDF zum Ausdrucken · bearbeitbares Word (.docx)
Was die Vorlage enthält
- Verantwortlicher und Auftragsverarbeiter
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Kategorien betroffener Personen und Datenarten
- Weisungsrecht und Meldepflichten
- Technische und organisatorische Maßnahmen (TOM)
- Unterauftragnehmer und Drittlandtransfers
- Unterstützungspflichten, Löschung und Kontrollrechte
So unterschreiben Sie sie mit dem Personalausweis
- 1
Vorlage herunterladen. Laden Sie auftragsverarbeitungsvertrag (avv) als PDF oder Word herunter.
- 2
Ausfüllen. Tragen Sie die Angaben auf Ihrem eigenen Rechner in das Dokument ein.
- 3
Hochladen und unterschreiben. Laden Sie das ausgefüllte PDF auf esigner.de hoch, tragen Sie die E-Mail-Adressen ein und unterschreiben Sie mit dem Personalausweis.
Quelle und Rechtsgrundlage
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet.
Art. 28 DSGVO — Auftragsverarbeiter (öffnet in einem neuen Tab)Häufige Fragen
- Wann brauche ich einen AVV?
- Sobald ein Dienstleister personenbezogene Daten für Sie verarbeitet und dabei weisungsgebunden ist — also nicht selbst über Zwecke und Mittel entscheidet. Typische Fälle sind Hosting, Cloud-Software, Newsletter-Tools, externe Lohnbuchhaltung und IT-Wartung mit Datenzugriff. Ein Steuerberater oder Rechtsanwalt ist dagegen in der Regel eigener Verantwortlicher.
- Darf ein AVV elektronisch unterschrieben werden?
- Ja. Art. 28 Abs. 9 DSGVO verlangt Schriftform, lässt dafür aber ausdrücklich auch das elektronische Format zu. Eine elektronisch unterschriebene Fassung erfüllt diese Anforderung.
- Was sind TOM?
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung, Zugangs- und Zugriffskontrolle, Protokollierung, Backup- und Wiederherstellungskonzepte, Verpflichtung der Mitarbeiter auf Vertraulichkeit. Sie gehören als Anlage zum Vertrag und sollten den konkreten Dienst beschreiben, nicht nur Schlagworte aufzählen.
- Was gilt für Unterauftragnehmer?
- Der Auftragsverarbeiter darf weitere Auftragsverarbeiter nur mit vorheriger Genehmigung des Verantwortlichen einsetzen. Üblich ist eine allgemeine Genehmigung mit einer Liste im Anhang und einer Pflicht, Änderungen rechtzeitig anzukündigen, damit der Verantwortliche widersprechen kann.
Sie fragen sich, ob eine elektronische Signatur rechtlich hält? Zur elektronischen Signatur →
Weitere Vorlagen
Alle Vorlagen ansehenDiese Vorlage ist ein allgemeiner Ausgangspunkt und stellt keine Rechtsberatung dar. Prüfen Sie, ob der Inhalt zu Ihrer Situation passt, und holen Sie im Zweifel rechtlichen Rat ein.