Auftragsverarbeitungsvertrag (AVV)

Worum es geht

Ein Auftragsverarbeitungsvertrag ist der Vertrag, der einen SAP-Analytics-Auftrag von einem Datenschutzrisiko in eine dokumentierte, verteidigungsfähige Vereinbarung verwandelt. Nach Artikel 28 der DSGVO ist jeder Berater, der im Auftrag eines Kunden auf personenbezogene Daten zugreift oder sie verarbeitet – und personenbezogene Daten sind in SAP-Analytics-Arbeit weit umfassender, als die meisten Berater annehmen; sie umfassen Mitarbeiterstammdaten, Kundendatensätze, Vertriebspipeline-Einträge, Support-Tickets, im Wesentlichen jedes Feld, das eine natürliche Person identifizieren könnte – rechtlich ein Auftragsverarbeiter, und ein Auftragsverarbeiter, der ohne unterzeichneten AVV arbeitet, handelt außerhalb des Gesetzes. Das Risiko ist nicht theoretisch: Verwaltungsbußgelder nach der DSGVO erreichen vier Prozent des weltweiten Jahresumsatzes oder zwanzig Millionen Euro, je nachdem, was höher ist, bei Verstößen gegen die Grundprinzipien und die Regeln zur Drittlandübermittlung, und zwei Prozent oder zehn Millionen Euro bei Verstößen gegen die Pflichten von Verantwortlichen und Auftragsverarbeitern nach den Artikeln 25 bis 39, einschließlich Artikel 28 selbst (Art. 83 Abs. 4 und 5); beide Stufen können Verantwortliche wie Auftragsverarbeiter treffen – genau deshalb weigern sich Verantwortliche inzwischen, einen Berater einzubinden, der vor Beginn des Datenzugriffs keinen AVV vorlegen kann.

Warum es zählt

• Artikel 28 schreibt acht spezifische Inhalte für jeden AVV vor, vom Verarbeitungsumfang über die Genehmigung von Unterauftragsverarbeitern bis zur Einhaltung bei internationalen Übermittlungen.
• Der Zeitrahmen der Verstoßmeldung wird rückwärts aus der 72-Stunden-Regel der DSGVO für die Behördenmeldung konstruiert – B2B-Verträge verlangen vom Auftragsverarbeiter meist eine Meldung innerhalb von 24-48 Stunden.
• Der Umfang der Unterauftragsverarbeiter ist ein aktueller Streitpunkt – Tier-1-Firmen zählen Junior-Berater meist als Unterauftragsverarbeiter, Einzelberater oft nicht, sollten dies aber klären.

Kernpunkte

• DSGVO Art. 28 schreibt einen AVV für alle Verantwortlicher-Auftragsverarbeiter-Beziehungen vor, die EU-personenbezogene Daten betreffen.
• Acht zwingende Inhalte: Gegenstand/Dauer · Art/Zweck · Datenarten · Pflichten des Verantwortlichen · Pflichten des Auftragsverarbeiters · Prüfungsrechte · Genehmigung von Unterauftragsverarbeitern · Einhaltung bei Übermittlungen.
• Fünf am häufigsten umstrittene Klauseln: Umfang der Unterauftragsverarbeiter · Prüfungsrechte · Verstoßmeldung · Schrems-II · Beendigung.
• Schrems-II erfordert SCCs 2021 + TIA + ergänzende technische Maßnahmen für Übermittlungen außerhalb des EWR.
• Meldekette bei Verstößen: Auftragsverarbeiter → Verantwortlicher 24-48h, ermöglicht die 72h-Pflicht des Verantwortlichen nach Art. 33.
• Übliche Prüfungsrechte: 3-5 Tage Ankündigung vor Ort / 24h remote; vollständige Verweigerung scheitert an der Beschaffung.
• FR-Kunden > 100.000 € erwarten zweisprachig FR/EN + an CNIL-Vokabular angelehnte Begriffe (responsable / sous-traitant).
• Eine eigene wiederverwendbare Vorlage (500-1.000 € Anwaltskosten) spart pro Auftrag 4-6 Wochen gegenüber einer Individualerstellung.

Begriffe auf dieser Seite

Auftragsverarbeitungsvertrag (AVV)

Vertrag, der regelt, wie ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Vorgeschrieben durch DSGVO Art. 28.

Verantwortlicher / Responsable du traitement

Stelle, die Zwecke und Mittel der Verarbeitung personenbezogener Daten festlegt. In der Regel der Kunde.

Auftragsverarbeiter / Sous-traitant

Stelle, die Daten im Auftrag des Verantwortlichen verarbeitet. In der Regel der Berater.

Unterauftragsverarbeiter

Stelle, die vom Auftragsverarbeiter zur Durchführung von Verarbeitungstätigkeiten eingesetzt wird. Erfordert die Genehmigung des Verantwortlichen.

Schrems-II

EuGH-Urteil von 2020, das den EU-US Privacy Shield für ungültig erklärt; erfordert eine fallbezogene TIA + SCCs für Übermittlungen außerhalb des EWR.

SCCs (Standardvertragsklauseln)

Von der EU-Kommission genehmigter Vertragsmechanismus für Übermittlungen personenbezogener Daten außerhalb des EWR. Aktuell die Fassung von 2021.

TIA (Transfer Impact Assessment)

Durch Schrems-II vorgeschriebene fallbezogene Bewertung, ob das Bestimmungsland der Übermittlung ein im Wesentlichen gleichwertiges EU-Datenschutzniveau bietet.

TOMs (Technische und organisatorische Maßnahmen)

Anlage der Sicherheitsmaßnahmen nach DSGVO Art. 32; typischerweise an ISO 27001:2022 angelehnt.

Quellen

1. GDPR Article 28 (eur-lex)
2. EUR-Lex — Regulation (EU) 2016/679 (GDPR), Article 28 processor requirements
3. SAP Help Portal — generative AI hub orchestration service (data masking, content filtering, grounding pipeline)
4. AWS — AWS and SAP expand collaboration for SAP Business AI Platform, new regions (2026-09-18)
5. EDPB — Guidelines 07/2020 on the concepts of controller and processor in the GDPR (what makes a consultant a processor; Art. 28 contract content)
6. European Commission — Implementing Decision (EU) 2021/915 on standard contractual clauses between controllers and processors (ready-made Art. 28 DPA text)
7. European Commission — Standard Contractual Clauses (SCC) hub (controller-processor and transfer SCCs)
8. EDPB — Opinion 22/2024 on certain obligations following from reliance on processor(s) and sub-processor(s) (sub-processor chain duties)
9. GDPR Article 28 — Processor (text of the eight mandatory contract elements; unofficial reproduction of the Regulation)
10. GDPR Article 83 — Administrative fines (two-tier ceilings: 2 %/EUR 10m for Art. 28, 4 %/EUR 20m for principles and transfers; unofficial reproduction)
11. GDPR Article 33 — Notification of a personal data breach (72-hour rule and processor duty to notify the controller)
12. ICO — Contracts and liabilities between controllers and processors (UK GDPR guidance on required contract terms)
13. European Commission — Implementing Decision (EU) 2023/1795 on the EU-US Data Privacy Framework adequacy (transfers to certified US importers)
14. CNIL — RGPD chapitre IV: responsable de traitement et sous-traitant (French regulator reading of processor obligations)