Konzeptkarte

Auftragsverarbeitungsvertrag (AVV)

Stand 2026-07-24T14:00:00Z

Redaktion: Cédric-Olivier Mâry, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist Auftragsverarbeitungsvertrag (AVV)?

Ein AVV ist eine rechtliche Voraussetzung, keine Option – wer 2026 ohne einen solchen arbeitet, setzt beide Parteien Bußgeldern von bis zu 4 % des weltweiten Umsatzes oder 20 Mio. € aus.

Worum es geht

Ein Auftragsverarbeitungsvertrag ist der Vertrag, der einen SAP-Analytics-Auftrag von einem Datenschutzrisiko in eine dokumentierte, verteidigungsfähige Vereinbarung verwandelt. Nach Artikel 28 der DSGVO ist jeder Berater, der im Auftrag eines Kunden auf personenbezogene Daten zugreift oder sie verarbeitet – und personenbezogene Daten sind in SAP-Analytics-Arbeit weit umfassender, als die meisten Berater annehmen; sie umfassen Mitarbeiterstammdaten, Kundendatensätze, Vertriebspipeline-Einträge, Support-Tickets, im Wesentlichen jedes Feld, das eine natürliche Person identifizieren könnte – rechtlich ein Auftragsverarbeiter, und ein Auftragsverarbeiter, der ohne unterzeichneten AVV arbeitet, handelt außerhalb des Gesetzes. Das Risiko ist nicht theoretisch: Verwaltungsbußgelder nach der DSGVO erreichen vier Prozent des weltweiten Jahresumsatzes oder zwanzig Millionen Euro, je nachdem, was höher ist, und diese Obergrenze gilt für den Verantwortlichen – genau deshalb weigern sich Verantwortliche inzwischen, einen Berater einzubinden, der vor Beginn des Datenzugriffs keinen AVV vorlegen kann.

Artikel 28 legt acht zwingende Inhalte fest, und ein wirklich brauchbarer AVV geht auf alle ein, statt Textbausteine zu verwenden, die jeden nur oberflächlich streifen: Gegenstand und Dauer der Verarbeitung; Art und Zweck der Verarbeitung; die betroffenen Kategorien personenbezogener Daten und betroffener Personen; die Pflichten und Rechte des Verantwortlichen; die Pflichten des Auftragsverarbeiters, einschließlich Sicherheitsmaßnahmen, Vertraulichkeit, Kontrolle der Unterauftragsverarbeiter, Unterstützung bei Anfragen zu Betroffenenrechten, Meldung von Verstößen und Umgang mit den Daten nach Ende der Verarbeitung; Prüfungsrechte für den Verantwortlichen; Bedingungen für die Genehmigung von Unterauftragsverarbeitern; und den Rechtsmechanismus, der jede internationale Übermittlung der Daten regelt.

Warum es zählt

Artikel 28 schreibt acht spezifische Inhalte für jeden AVV vor, vom Verarbeitungsumfang über die Genehmigung von Unterauftragsverarbeitern bis zur Einhaltung bei internationalen Übermittlungen.
Der Zeitrahmen der Verstoßmeldung wird rückwärts aus der 72-Stunden-Regel der DSGVO für die Behördenmeldung konstruiert – B2B-Verträge verlangen vom Auftragsverarbeiter meist eine Meldung innerhalb von 24-48 Stunden.
Der Umfang der Unterauftragsverarbeiter ist ein aktueller Streitpunkt – Tier-1-Firmen zählen Junior-Berater meist als Unterauftragsverarbeiter, Einzelberater oft nicht, sollten dies aber klären.

Kernpunkte

DSGVO Art. 28 schreibt einen AVV für alle Verantwortlicher-Auftragsverarbeiter-Beziehungen vor, die EU-personenbezogene Daten betreffen.
Acht zwingende Inhalte: Gegenstand/Dauer · Art/Zweck · Datenarten · Pflichten des Verantwortlichen · Pflichten des Auftragsverarbeiters · Prüfungsrechte · Genehmigung von Unterauftragsverarbeitern · Einhaltung bei Übermittlungen.
Fünf am häufigsten umstrittene Klauseln: Umfang der Unterauftragsverarbeiter · Prüfungsrechte · Verstoßmeldung · Schrems-II · Beendigung.
Schrems-II erfordert SCCs 2021 + TIA + ergänzende technische Maßnahmen für Übermittlungen außerhalb des EWR.
Meldekette bei Verstößen: Auftragsverarbeiter → Verantwortlicher 24-48h, ermöglicht die 72h-Pflicht des Verantwortlichen nach Art. 33.
Übliche Prüfungsrechte: 3-5 Tage Ankündigung vor Ort / 24h remote; vollständige Verweigerung scheitert an der Beschaffung.
FR-Kunden > 100.000 € erwarten zweisprachig FR/EN + an CNIL-Vokabular angelehnte Begriffe (responsable / sous-traitant).
Eine eigene wiederverwendbare Vorlage (500-1.000 € Anwaltskosten) spart pro Auftrag 4-6 Wochen gegenüber einer Individualerstellung.
Der Auftragsverarbeitungsvertrag (AVV) ist erst dann beherrscht, wenn er eine konkret benannte Entscheidung des Auftraggebers verändert.
Zuerst das semantische Vertrags- und Kontrollmodell klären, bevor das Tool demonstriert wird.

Begriffe auf dieser Seite

Auftragsverarbeitungsvertrag (AVV): Vertrag, der regelt, wie ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Vorgeschrieben durch DSGVO Art. 28.
Verantwortlicher / Responsable du traitement: Stelle, die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. In der Regel der Kunde.
Auftragsverarbeiter / Sous-traitant: Stelle, die Daten im Auftrag des Verantwortlichen verarbeitet. In der Regel der Berater.
Unterauftragsverarbeiter: Stelle, die vom Auftragsverarbeiter zur Durchführung von Verarbeitungstätigkeiten eingesetzt wird. Erfordert die Genehmigung des Verantwortlichen.
Schrems-II: EuGH-Urteil von 2020, das den EU-US Privacy Shield für ungültig erklärt; erfordert eine fallbezogene TIA + SCCs für Übermittlungen außerhalb des EWR.
SCCs (Standardvertragsklauseln): Von der EU-Kommission genehmigter Vertragsmechanismus für Übermittlungen personenbezogener Daten außerhalb des EWR. Aktuell die Fassung von 2021.
TIA (Transfer Impact Assessment): Durch Schrems-II vorgeschriebene fallbezogene Bewertung, ob das Bestimmungsland der Übermittlung ein im Wesentlichen gleichwertiges EU-Datenschutzniveau bietet.
TOMs (Technische und organisatorische Maßnahmen): Anlage der Sicherheitsmaßnahmen nach DSGVO Art. 32; typischerweise an ISO 27001:2022 angelehnt.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →