AVV 2026: Auftragsverarbeitungsvertrag nach DSGVO + AI Act

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO muss vor jeder Auftragsverarbeitung personenbezogener Daten zwischen Verantwortlichem und Auftragsverarbeiter geschlossen werden — das ist seit dem 25. Mai 2018 unveraendert geltendes Recht. „AVV 2026“ bezeichnet keinen neuen Gesetzestyp, sondern den aktualisierten Kontext, in dem der Vertrag heute steht: Der EU AI Act (Regulation 2024/1689) ist ab dem 2. August 2026 voll durchsetzbar, die NIS2-Richtlinie (EU) 2022/2555 ueberlappt Sicherheit und Incident-Handling, und die EDPB Guidelines 07/2020 in der finalen Fassung v2.1 vom 20. September 2022 sind der massgebliche Auslegungsmassstab. Peter Fürsicht, zertifizierter Datenschutzbeauftragter, erstellt und prueft AVV 2026 inklusive AI-Act-spezifischer Klauselerweiterungen, einer risikobasierten TOMs-Pruefung nach Art. 32 DSGVO und einer durchgehenden Sub-Auftragsverarbeiter-Kontrolle in einer Dienstleistung. Fehlt der AVV oder ist er fehlerhaft, droht nach Art. 83 Abs. 4 DSGVO ein Bussgeld bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes — wobei der hoehere Wert massgeblich ist.

Ein AVV ist ein Vertrag oder eine andere Rechtsakte zwischen dem Verantwortlichen (Art. 4 Abs. 7 DSGVO) und dem Auftragsverarbeiter (Art. 4 Abs. 8 DSGVO), der die Verarbeitung personenbezogener Daten im Auftrag regelt. Die Pflicht ergibt sich aus Art. 28 Abs. 1 und Abs. 3 DSGVO und gilt seit dem 25. Mai 2018 unveraendert. „AVV 2026“ ist kein neues Gesetz: Art. 28 DSGVO wird 2026 nicht geaendert. Das „2026“ bezeichnet vielmehr den Kontext, in dem derselbe Artikel heute ausgelegt und angewendet wird. Der EU AI Act (Regulation 2024/1689) tritt gestaffelt in Kraft — die Pflichten fuer Hochrisiko-KI-Systeme gelten ab dem 2. August 2026, die Vollanwendung erfolgt bis zum 2. August 2027. Die NIS2-Richtlinie (EU) 2022/2555 ueberlappt die Anforderungen an Sicherheit und Incident-Handling und erhoeht fuer wesentliche und gewichtige Entitaeten den erwarteten TOM-Standard. Die EDPB Guidelines 07/2020 (final v2.1, 20. September 2022) sind der anerkannte Auslegungsmassstab fuer die Abgrenzung von Verantwortlichem und Auftragsverarbeiter. Eine von der EU-Kommission angestiegene Vereinfachungsinitiative hat bislang nicht zu einer formellen Aenderung von Art. 28 gefuehrt. Eine separate Enforcement-Verordnung gilt ab April 2027 und aendert nur Verfahren, nicht die inhaltlichen Pflichten des Art. 28.

Die AVV-Pflicht greift immer dann, wenn eine Stelle als Verantwortlicher eine andere Stelle als Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragt. Klassische Beispiele sind Cloud-Provider, Lohnabrechnungsdienste, Newsletter-Tools, Hosting, CRM-Systeme, Ticket-Systeme und Backup-Dienste. Nach Art. 28 Abs. 1 DSGVO darf der Verantwortliche nur Auftragsverarbeiter einsetzen, die ausreichende Garantien fuer geeignete technische und organisatorische Massnahmen bieten — die Auswahlpruefung ist also eine eigene Pflicht und keine Formalie. Nach Art. 28 Abs. 2 DSGVO darf der Auftragsverarbeiter einen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen einsetzen, wobei die Genehmigung generell oder speziell erteilt werden kann. Kein AVV erforderlich ist bei rein eigenverantwortlicher Verarbeitung, bei gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO, bei reinen Datenempfaengern und im Beschaedftigungsverhaeltnis. Die EDPB Guidelines 07/2020 machen deutlich: Controller und Processor sind funktionale Konzepte — massgeblich ist die tatsaechliche Rolle in der konkreten Verarbeitung, nicht die Bezeichnung im Vertrag.

Art. 28 Abs. 3 DSGVO legt fest, dass der Vertrag oder eine andere Rechtsakte die Verarbeitung in allen relevanten Aspekten regeln muss. Die Rahmen-Pflichtangaben nach Art. 28 Abs. 3 Satz 1 umfassen Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen.

Tabelle 1: Art. 28(3) Satz 1 — Rahmen-Pflichtangaben

Darueber hinaus regelt Art. 28 Abs. 3 Satz 1 Buchstaben a bis h acht ausdrueckliche Pflichten des Auftragsverarbeiters. Diese acht Pflichten sind nicht optional und sollten im AVV als eigene Klauselbloecke oder zumindest eindeutig zugeordnet abgebildet werden.

Tabelle 2: Art. 28(3) Buchstaben a bis h — 8 Processor-Pflichten

Zusaetzlich verlangt Art. 28 Abs. 3 Satz 2, dass der Auftragsverarbeiter den Verantwortlichen unverzueglich informiert, wenn eine Weisung seiner Meinung nach gegen die DSGVO oder andere Union- oder Mitgliedsstaaten-Datenschutzvorschriften verstoesst. Diese Weisungswarn-Pflicht ist in der Praxis haeufig untererfasst — ihr Fehlen im AVV ist ein Mangel.

Art. 28 Abs. 3 Buchstabe c DSGVO verweist auf Art. 32 DSGVO. Der AVV muss die TOMs entweder konkret benennen oder als Anlage referenzieren, die die Vertragspartner fuehrt. Art. 32 Abs. 1 DSGVO fordert Massnahmen nach dem Stand der Technik unter Beruecksichtigung der Eintrittswahrscheinlichkeit und der Schwere fuer die Rechte und Freiheiten natuerlicher Personen. Die Kataloge in Art. 32 Abs. 1 Buchstaben a bis d nennen Pseudonymisierung, Verschluesselung, Vertraulichkeit, Integritaet, Verfuegbarkeit, Resilienz der Systeme sowie Verfahren zur regelmässigen Pruefung und Evaluierung der Wirksamkeit. In der AVV-Praxis haben sich TOM-Kategorien etabliert: Zutrittskontrolle (physisch), Zugriffskontrolle (logisch), Datentraegerkontrolle, Uebertragungskontrolle, Eingabekontrolle, Auftragskontrolle, Verfuegbarkeitskontrolle und Trennungsverfahren. Das DSK-Kurzpapier Nr. 13 bietet das in Deutschland gaengige TOM-Schema und ist ein bewaehrter Orientierungsrahmen. Im 2026-Kontext erhoehen die NIS2-Pflichten fuer wesentliche und gewichtige Entitaeten den erwarteten TOM-Standard — was fuer den Verantwortlichen bedeutet, dass er bei der Auswahlpruefung nach Art. 28 Abs. 1 den erhoehten Standard beruecksichtigen muss, wenn sein Auftragsverarbeiter einer NIS2-betroffenen Branche angehoert.

Art. 28 Abs. 2 DSGVO beschraenkt den Einsatz von Unterauftragsverarbeitern auf die vorherige schriftliche — generelle oder spezielle — Genehmigung des Verantwortlichen. Art. 28 Abs. 4 DSGVO verlangt, dass der Unterauftragsverarbeiter die gleichen Datenschutz-Pflichten uebernimmt wie der urspruengliche Auftragsverarbeiter; der urspruengliche Auftragsverarbeiter haftet gegenueber dem Verantwortlichen voll fuer die Erfuellung dieser Pflichten. In der Praxis bedeutet das: Jede weitere Ebene in der Unterauftragskette muss vertraglich durchgeleitet werden, und der Verantwortliche braucht Transparenz darueber, wer ueberhaupt auf seine Daten zugreift. Bei Drittlanduebermittlungen — also Uebermittlungen an Stellen ausserhalb der EU oder des EWR — verlangt Art. 28 Abs. 3 Buchstabe a, dass solche Uebermittlungen von den Weisungen erfasst sind. Die Art. 44 bis 49 DSGVO fordern zusaetzliche Garantien: Angemessenheitsbeschluss nach Art. 45, Standardvertragsklauseln (SCCs) nach Art. 46 Abs. 2 Buchstabe c oder verbindliche interne Datenschutzvorschriften (BCRs) nach Art. 47. Nach der Schrems-II-Entscheidung des EuGH (C-311/18) reichen SCCs allein nicht aus — der Verantwortliche muss ein Transfer Impact Assessment durchfuehren und gegebenenfalls ergaenzende Massnahmen treffen, um ein dem Unionsrechtiveau gleichwertiges Schutzniveau sicherzustellen. Der AVV sollte diese Pruefpflichten klar zwischen Verantwortlichem und Auftragsverarbeiter verteilen.

Der EU AI Act (Regulation 2024/1689) aendert Art. 28 DSGVO nicht. Er ist aber additiv anwendbar: Wenn ein KI-Provider als Auftragsverarbeiter im Sinne der DSGVO agiert, laufen beide Regime parallel. Die Timeline des AI Act ist gestaffelt: Verbotene KI-Praktiken gelten seit Februar 2025, Pflichten fuer GPAI-Modelle seit dem 2. August 2025, die Pflichten fuer Hochrisiko-KI-Systeme gelten ab dem 2. August 2026, die Vollanwendung erfolgt bis zum 2. August 2027. AVV-relevante Artikel sind insbesondere Art. 13 (Gebrauchsanweisung fuer den Betreiber), Art. 14 (Human Oversight als Design-Anforderung an den Anbieter), Art. 26 (Pflichten des Betreibers hochriskanter KI — u. a. Verwendung gemaess Gebrauchsanweisung, kompetentes Human Oversight, Relevanz der Input-Daten, Aufbewahrung von Logs fuer mindestens sechs Monate, Incident-Meldung), Art. 27 (Folgerechts-Folgenabschaetzung FRIA), Art. 50 (Transparenzpflichten fuer KI-generierte Inhalte) und Art. 86 (Recht auf Erlaeuterung einer individuellen Entscheidung). Als Best Practice sollte der AVV bei einem KI-Dienstleister Klauselerweiterungen aufnehmen: eine Zweck- und Weisungsbegrenzung auf AI-Act-konformen Einsatz, TOMs einschließlich Risiko-Management (Art. 9), Data-Governance (Art. 10), Logging (Art. 12) und technischer Dokumentation (Art. 11) sowie eine koordinierte Incident-Reporting-Regelung (Art. 26 und 73). So wird der AVV 2026 zum Bindeglied zwischen der DSGVO-Controller-Processor-Struktur und den AI-Act-Pflichten.

Ein fehlender oder fehlerhafter AVV ist ein Verstoss gegen Art. 28 DSGVO und wird nach Art. 83 Abs. 4 DSGVO sanktioniert: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, wobei der hoehere Wert gilt. Die obere Bussgeldstufe nach Art. 83 Abs. 5 DSGVO — bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes — greift nicht fuer reine AVV-Maengel, sondern fuer Verstoesse gegen die Grundsaetze in Art. 5 bis 9, gegen Betroffenenrechte oder gegen Anordnungen der Aufsichtsbehoerden. Ein AVV-Mangel kann aber als aggravierender Faktor ins Gewicht fallen, wenn ein gleichzeitig untersuchter Verstoss nach Art. 83 Abs. 5 geahndet wird. Art. 83 Abs. 2 DSGVO verlangt, dass die Aufsichtsbehoerde die Art, die Schwere und die Dauer des Verstosses, die Vorsaetzlichkeit, die ergriffenen Massnahmen und die Zusammenarbeit beruecksichtigt — ein nachtraeglich nachgeholter AVV ist also kein Freibrief, sondern allenfalls ein Milderungsfaktor. Im 2026-Kontext kommt hinzu: Das nationale AI-Act-Bussgeldregime kann bei Einsatz hochriskanter KI ohne angemessenen AVV parallel zur DSGVO-Sanktion greifen. Die Aufsichtsbehoerden pruefen zunehmend AVV-Bestaende systematisch.

Eine offizielle EU-weite AVV-Musterschablone gibt es nicht. Der BfDI, die Landesdatenschutzbeauftragten und die DSK veroeffentlichen jedoch Orientierungshilfen und Kurzpapiere, unter denen das DSK-Kurzpapier Nr. 13 der in Deutschland gaengige Orientierungsrahmen ist. Eine typische AVV-Muster-Struktur umfasst zwoelf bis fuenfzehn Klauselbloecke: Praeambel, Definitionen, Gegenstand/Dauer/Art/Zweck/Datenart/Betroffene, Weisungen (Buchst. a), Vertraulichkeit (Buchst. b), TOMs/Art. 32 (Buchst. c mit Anlage), Unterauftragsverarbeiter (Buchst. d), Unterstuetzung bei Betroffenenrechten (Buchst. e), Unterstuetzung bei Art. 32 bis 36 (Buchst. f), Loeschung/Rueckgabe (Buchst. g), Kontrollrechte/Audit (Buchst. h), Drittlanduebermittlung (Art. 44 bis 49 mit SCC-Anlage), Haftung nach Art. 82, Laufzeit/Beendigung und Schlussbestimmungen. Bei Einsatz eines KI-Dienstleisters ist 2026 ein Zusatzblock AI-Act-Compliance sinnvoll. Vorsicht bei kostenlosen AVV-Mustern aus dem Netz: Viele sind vor Schrems II entstanden und erfassen weder die Transfer-Impact-Pflichten noch den AI Act. Ein Muster ist immer ein Startpunkt, kein fertiger Vertrag — es muss auf die konkrete Verarbeitung, die konkreten TOMs und die konkrete Unterauftragsstruktur angepasst werden.

1. Verarbeitungs-Taetigkeit dokumentieren: Welche Daten, welche Personen, welcher Zweck, welche Systeme? (Art. 28 Abs. 3 Satz 1)
2. Rolle klaeren: Verantwortlicher, Auftragsverarbeiter, Joint-Controller nach Art. 26 oder eigenverantwortlich? (EDPB 07/2020)
3. Auftragsverarbeiter sorgfaeltig auswaehlen: Due Diligence, Referenzen, Zertifizierungen (Art. 28 Abs. 1, Art. 42).
4. AVV mit allen acht Buchstaben a bis h (Art. 28 Abs. 3) und den Rahmenangaben ausarbeiten — DSB-Vorlage nutzen.
5. TOMs als Anlage konkretisieren (Art. 32) — risikobasiert und auf Stand der Technik.
6. Unterauftragsverarbeiter-Struktur pruefen und vertraglich absichern (Art. 28 Abs. 2 und 4).
7. Drittland-Uebermittlung identifizieren, SCCs/TIA/BCR pruefen (Art. 44 bis 49, Schrems II).
8. Bei KI-Dienstleister: AI-Act-Erweiterungsblock (Art. 9, 10, 11, 12, 13, 14, 26, 27, 50, 86) in den AVV integrieren.
9. Bei NIS2-betroffenem Verarbeiter: Incident-Reporting-Abstimmung und TOM-Referenz aufnehmen.
10. Audit-Recht ausueben (Art. 28 Abs. 3 Buchst. h) — jaehrlich oder bei Anlass — und den AVV regelmäßig aktualisieren.

Was ist ein AVV und wann ist er Pflicht?

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO muss geschlossen werden, wenn eine Stelle eine andere Stelle mit der Verarbeitung personenbezogener Daten im Auftrag beauftragt — etwa Cloud-Provider, Newsletter-Tools, Lohnabrechnungsdienste oder CRM-Systeme. Die Pflicht gilt seit dem 25. Mai 2018 unveraendert. Art. 28 DSGVO wird 2026 nicht geaendert.

Muss der AVV 2026 wegen eines neuen Gesetzes angepasst werden?

Art. 28 DSGVO selbst wird 2026 nicht geaendert. „AVV 2026“ bezeichnet den aktualisierten Kontext: Der EU AI Act (Regulation 2024/1689) ist ab dem 2. August 2026 voll durchsetzbar, NIS2 ueberlappt Sicherheit und Incident-Handling, und die EDPB Guidelines 07/2020 (final v2.1) sind der Auslegungsmassstab. Bei Einsatz eines KI-Dienstleisters als Auftragsverarbeiter sollten AI-Act-Klauseln ergaenzt werden.

Welche Pflicht-Inhalte muss ein AVV nach Art. 28 Abs. 3 DSGVO enthalten?

Art. 28 Abs. 3 DSGVO verlangt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Hinzu kommen acht Processor-Pflichten (Buchstaben a bis h): dokumentierte Weisungen, Vertraulichkeit, TOMs nach Art. 32, Unterauftragsverarbeiter-Regelung, Unterstuetzung bei Betroffenenrechten, Unterstuetzung bei Art. 32 bis 36, Loeschung/Rueckgabe und Kontroll-/Audit-Rechte.

Wie hoch ist das Bussgeld bei fehlendem oder fehlerhaftem AVV?

Ein Verstoss gegen Art. 28 DSGVO wird nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet (der hoehere Wert ist massgeblich). Die obere Stufe von 20 Millionen Euro bzw. 4 Prozent (Art. 83 Abs. 5) greift nur bei Verstoesse gegen die Grundsaetze, Betroffenenrechte oder behoerdliche Anordnungen.

Brauchen wir eine AVV-Erweiterung fuer KI-Dienstleister?

Ja, wenn ein KI-Provider als Auftragsverarbeiter im Sinne der DSGVO agiert. Der EU AI Act aendert Art. 28 DSGVO nicht, ist aber additiv anwendbar. Ein sorgfaeltiger AVV 2026 sollte AI-spezifische Klauseln enthalten: Risiko-Management (Art. 9), Data-Governance (Art. 10), technische Dokumentation (Art. 11), Logging (Art. 12), Gebrauchsanweisung (Art. 13), Human Oversight (Art. 14), Deployer-Pflichten-Support (Art. 26), FRIA-Support (Art. 27), Transparenz (Art. 50) und Erklaerbarkeit (Art. 86).

Art. 28 Abs. 1 DSGVO verlangt ausreichende Garantien durch den Auftragsverarbeiter — die Auswahl und Kontrolle liegt beim Verantwortlichen. Ein zertifizierter Datenschutzbeauftragter strukturiert diese Due Diligence, identifiziert Luecken im Bestands-AVV und schliesst sie vertraglich. Peter Fürsicht ist zertifizierter Datenschutzbeauftragter und bringt DSGVO-Auslegung, AI-Act-Kompetenz und NIS2-Kontext in einer Dienstleistung zusammen. Die Leistung umfasst AVV-Erstellung, AVV-Pruefung bestehender Vertraege gegen Art. 28 Abs. 3 Buchstaben a bis h, eine risikobasierte TOMs-Anlage, die Durchleitung der Unterauftragsverarbeiter-Kette, das Drittland-Transfer-Impact-Assessment, ein AI-Act-Erweiterungsmodul, die Audit-Vorbereitung und die Abstimmung des Incident-Prozesses. AVV 2026 von zertifiziertem DSB pruefen lassen.

Weiterfuehrende Artikel: KI-Schulungspflicht nach AI Act Art. 4, DSGVO-Bussgelder 2026, Unsere Leistungen, Aufgaben eines DSB, Warum ein DSB zertifiziert sein muss.

Ueber Peter Fürsicht — Ihr zertifizierter Datenschutzbeauftragter

Peter Fürsicht ist zertifizierter externer Datenschutzbeauftragter nach Art. 37 DSGVO mit Sitz in Muenchen. Er begleitet Unternehmen bei der AVV-Pflicht nach Art. 28 DSGVO, der DSGVO-Gesamtumsetzung und der KI-Schulung nach AI Act Art. 4. Als zertifizierter DSB erstellt Peter Fürsicht Auftragsverarbeitungsvertraege, prueft TOMs und Dokumentationen nach Art. 32 DSGVO und schuetzt Unternehmen vor Bussgeldern bis 10 Mio. Euro nach Art. 83 DSGVO. Peter Fürsicht verfuegt ueber mehrjaehrige Praxis in der DSB-Taetigkeit fuer Mittelstand und Konzern-toechter.

Jetzt AVV pruefen lassen von Peter Fürsicht