AVV prüfen: Die Punkte, an denen es in der Praxis klemmt

Wichtige Erkenntnisse

• Ein fehlender oder mangelhafter AVV kann Bußgelder nach sich ziehen, im gesetzlichen Rahmen bis zu 10 Mio. Euro.
• Du brauchst bei neuen Subdienstleistern des Anbieters ein echtes Widerspruchsrecht im Vertrag.
• Um die 72-Stunden-Meldefrist bei Datenpannen zu halten, muss der AVV den Dienstleister zu schnellen Infos zwingen.
• Nach Vertragsende muss klar geregelt sein, wie und wann deine Daten vollständig gelöscht werden.

Warum die AVV-Prüfung oft im Alltag klemmt

Wenn du Software für dein Unternehmen buchst, verarbeiten externe Werkzeuge fast immer personenbezogene Daten deiner Kundschaft. Nach Artikel 28 DSGVO ist ein Auftragsverarbeitungsvertrag rechtliche Pflicht. Fehlt dieser Vertrag oder weist er Lücken auf, drohen Bußgelder nach Artikel 83 Absatz 4 DSGVO von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes¹. Dass auch kleine Verstöße geahndet werden, zeigt ein Hamburger Fall: Ein Versandunternehmen erhielt 5.000 Euro Bußgeld zuzüglich 250 Euro Gebühren, weil es mit einem beauftragten Dienstleister keinen Auftragsverarbeitungsvertrag geschlossen hatte².

Das Papierchaos im Unternehmensalltag.

Die Realität in kleinen und mittleren Unternehmen sieht meist anders aus als im Lehrbuch. Standardverträge von Softwareanbietern umfassen oft dutzende Seiten juristischer Klauseln. Ohne eine eigene Rechtsabteilung geht im Alltag wertvolle Zeit verloren. Geschäftsführer und Teamleiter stehen vor der Herausforderung, Risiken einzuschätzen, ohne stundenlang Gesetzestexte zu wälzen.

Eine strukturierte Prüfung schützt dein Unternehmen vor bösen Überraschungen. Statt jeden Satz mit dem Anwalt zu verhandeln, konzentrierst du dich auf die kritischen Punkte, bei denen Verträge in der Praxis scheitern. Dieser Leitfaden stellt keine Rechtsberatung dar, sondern dient als betriebliche Orientierung. Wenn bei einer Klausel Unklarheiten bestehen, solltest du im Zweifel auf eine anwaltliche Prüfung verweisen.

• Subdienstleister: Wer verarbeitet deine Daten im Hintergrund?
• Weisungsrecht: Behältst du die volle Kontrolle über die Software?
• Auditrechte: Wie nachweisbar sind die Schutzmaßnahmen?
• Meldefristen: Erhältst du im Ernstfall rechtzeitig Bescheid?
• Löschung: Was passiert mit deinen Daten nach der Kündigung?

Die Subprozessorenliste: Wer liest eigentlich mit?

Kein moderner Cloud-Dienst betreibt seine gesamte Infrastruktur alleine. SaaS-Anbieter nutzen externe Rechenzentren für das Hosting, Drittanbieter für den E-Mail-Versand oder spezialisierte Suchmaschinen für Datenanalysen. Diese Dienstleister heißen im Datenschutzrecht Subprozessoren oder Unterauftragsverarbeiter.

Transparenz schlägt Pauschalversprechen.

Ein tragfähiger Vertrag nennt alle eingesetzten Subdienstleister mit Namen, Funktion und Unternehmenssitz. Der kritische Punkt liegt bei Änderungen dieser Liste. Erlaubt der Vertrag dem Anbieter, neue Subdienstleister ohne deine ausdrückliche Zustimmung hinzuzuziehen, verlierst du die Kontrolle über den Datenweg.

Du benötigst eine vertraglich zugesicherte Benachrichtigung vor jedem Wechsel. Der Vertrag muss dir ein angemessenes Zeitfenster von mindestens 14 Tagen einräumen, um der Einbindung eines neuen Subdienstleisters zu widersprechen. Ist kein Widerspruchsrecht enthalten oder erfolgt die Information nur über eine versteckte Website, entspricht die Regelung nicht den Anforderungen an eine sichere Datenverarbeitung.

Das Weisungsrecht: Grenzen der Kontrolle im SaaS-Alltag

Als Auftraggeber bleibst du der rechtliche Eigentümer und Verantwortliche für die verarbeiteten Daten. Der Dienstleister darf deine Daten nur genau so verarbeiten, wie du es ihm vorgebst. Dieses Weisungsrecht ist der Kern der Auftragsverarbeitung nach Artikel 28 DSGVO.

Wie Weisungen in der Praxis funktionieren.

Bei standardisierter Software erteilst du Weisungen selten per Brief oder E-Mail. Die Konfiguration der Anwendung, das Aktivieren von Funktionen oder das Einstellen von Löschfristen in der Benutzeroberfläche gelten als technische Weisung. Der Vertrag muss festhalten, dass die Nutzung der Software als deine Weisung gilt.

Ein oft übersehener Punkt ist die Warnpflicht des Anbieters. Der Vertrag muss den Dienstleister verpflichten, dich unverzüglich zu informieren, wenn eine von dir erteilte Weisung gegen Datenschutzrecht verstößt. Fehlt diese Klausel, trägst du das volle Risiko rechtswidriger Konfigurationen alleine.

• Eindeutige Bestimmung: Software-Einstellungen gelten als rechtsgültige Weisung.
• Dokumentierte Form: Textform per E-Mail oder Ticket-System ist ausreichend.
• Aktive Warnpflicht: Der Anbieter informiert dich bei rechtswidrigen Weisungen.
• Grenzen der Änderung: Der Anbieter darf Weisungen nicht eigenmächtig anpassen.

Auditrechte: Zwischen Papierform und echten Prüfungen

Die DSGVO verpflichtet dich dazu, die Einhaltung der technischen und organisatorischen Maßnahmen beim Dienstleister regelmäßig zu kontrollieren. Ein persönliches Audit vor Ort im Rechenzentrum des Anbieters ist bei Cloud-Diensten jedoch praktisch unmöglich. Kein Rechenzentrum gewährt fremden Besuchern freien Zutritt zu Serverräumen.

Zertifikate als pragmatischer Prüfweg.

Der Vertrag muss daher klare Ersatzmaßnahmen für physische Audits festlegen. Anerkannte Prüfberichte nach ISO 27001, SOC 2 oder BSI C5 belegen die Sicherheit der Infrastruktur durch unabhängige Dritte. Wichtig ist, dass dir der Anbieter diese Nachweise kostenlos und ohne lange Verzögerung bereitstellt.

Ein Vertrag, der Prüfrechte an hohe Gebühren knüpft oder Audits pauschal ausschließt, ist nicht akzeptabel. Du musst das Recht behalten, bei berechtigten Zweifeln oder nach Sicherheitsvorfällen zusätzliche Auskünfte einzufordern.

In der Praxis stehen dir drei Prüfwege offen. Ein Vor-Ort-Audit liefert den direktesten Einblick, setzt aber Reise, Terminabstimmung und eigenes Fachpersonal voraus und wird von großen Cloud-Anbietern in der Regel gar nicht gewährt. Anerkannte Zertifikate und Prüfberichte nach ISO 27001, SOC 2 oder BSI C5 sind von unabhängigen Auditoren erstellt und lassen sich meist sofort anfordern, du liest sie nur noch gegen deine eigenen Anforderungen. Fragebögen liegen dazwischen: Sie beantworten deine spezifischen Fragen, verlangen aber, dass du die Fragen selbst formulierst und die Antworten bewertest, und der Anbieter braucht Zeit für die Rückmeldung.

Meldefristen: Wenn jede Stunde zählt

Tritt beim Dienstleister eine Sicherheitspanne auf, läuft die Uhr. Nach Artikel 33 DSGVO musst du eine Datenpanne innerhalb von 72 Stunden an die zuständige Datenschutzbehörde melden, sobald du Kenntnis davon hast³. Diese Frist läuft ununterbrochen, auch an Wochenenden und Feiertagen³.

Unverzüglich reicht als Wort nicht aus.

Der Gesetzgeber verlangt vom Auftragsverarbeiter, dass er den Verantwortlichen unverzüglich über Sicherheitsvorfälle informiert³. Im Vertrag sollte dieses unbestimmte Wort durch eine konkrete Zeitangabe präzisiert werden. Wenn der Anbieter dich erst nach zwei Tagen informiert, verbleiben dir nur wenige Stunden für eigene Analysen.

Vereinbare im Vertrag eine Meldefrist von maximal 24 bis 48 Stunden ab Entdeckung des Vorfalls. Der Anbieter muss dir dabei alle verfügbaren Informationen zum Umfang der Panne, den betroffenen Datenkategorien und den eingeleiteten Gegenmaßnahmen übermitteln.

• Konkreter Zeitrahmen: Meldung an dich innerhalb von maximal 24 bis 48 Stunden.
• Vollständige Angaben: Art des Vorfalls, betroffene Personen und Datenkategorien.
• Ansprechpartner: Nennung eines direkten Kontakts für Notfälle.
• Dokumentationspflicht: Schriftlicher Bericht über die Ursachen und Gegenmaßnahmen.

Löschung nach Vertragsende: Der saubere Schnitt

Nach Beendigung der Zusammenarbeit dürfen deine Daten nicht auf den Servern des Dienstleisters verbleiben. Artikel 28 Absatz 3 Satz 1 Buchstabe g DSGVO schreibt vor, dass alle personenbezogenen Daten nach Wahl des Auftraggebers entweder vollständig gelöscht oder zurückgegeben werden müssen.

Versteckte Hürden bei der Kündigung.

In der Praxis versuchen manche Anbieter, Datenexporte kostenpflichtig zu machen oder lange Aufbewahrungsfristen durchzusetzen. Ein ordentlicher Vertrag stellt sicher, dass der Export deiner Daten in einem gängigen Format wie JSON oder CSV kostenfrei möglich ist.

Achte auf eine schriftliche Löschbestätigung. Der Dienstleister muss die endgültige Löschung aller Kopien, auch in Backups, innerhalb einer definierten Frist schriftlich bestätigen. Gesetzliche Aufbewahrungspflichten des Anbieters bilden die einzige Ausnahme.

• Wahlrecht: Entscheidung zwischen vollständiger Löschung und Datenrückgabe.
• Gängiges Format: Kostenfreier Export aller Datenstrukturen.
• Backup-Löschung: Löschung in Sicherheitskopien innerhalb angemessener Frist.
• Bestätigung: Schriftlicher Nachweis über die durchgeführte Löschung.

Ein Praxisbeispiel: Support ohne AVV-Kopfschmerz

Dass moderne Kundenservice-Software und verlässlicher Datenschutz zusammenpassen, zeigt ComLayer. Als Plattform für KI-gestützten Kundensupport verarbeitet das Tool Anfragen von Kundinnen und Kunden im Auftrag von Unternehmen. Alle Inhalte und Konversationen verbleiben in europäischen Regionen.

Automatisierung ohne rechtliche Grauzonen.

Für die Einhaltung aller Datenschutz-Vorgaben stellt ComLayer einen geprüften Auftragsverarbeitungsvertrag zur Verfügung. Eingesetzte Dienstleister werden offen benannt. Die KI nutzt Kundendaten nicht für eigene Trainingszwecke. So lässt sich DSGVO-konforme KI im Support einsetzen, ohne Rechtsunsicherheiten zu schaffen.

Das flexible Preismodell ermöglicht Teams jeden Typs den Einstieg. Das Angebot startet mit der Free-Variante für 0 Euro im Monat zum Testen. Für produktiven KI-Support steht der Tarif Pro ab 49 Euro pro Monat plus 12 Euro je Platz bereit, während der Scale-Tarif für 199 Euro pro Monat größere Volumen abdeckt.

• Hosting in der EU: Sämtliche Inhalte verbleiben auf europäischen Servern.
• Transparenter AVV: Fertige Vertragsmuster nach Artikel 28 DSGVO abrufbar.
• Kein Modelltraining: Deine Wissensbasis bleibt dein geschütztes Eigentum.
• Offene Kommunikation: Alle Subdienstleister werden transparent aufgeführt.

Häufig gestellte Fragen