AV-Vertrag bei SaaS-Tools: Was wirklich drinstehen muss

Ein AV-Vertrag (Auftragsverarbeitungsvertrag, oft auch AVV oder DPA genannt) ist der Vertrag nach Art. 28 DSGVO zwischen Ihnen als Verantwortlichem und einem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Bei SaaS-Tools ist er praktisch immer erforderlich — und sein Inhalt ist nicht Verhandlungssache, sondern in Art. 28 Abs. 3 DSGVO weitgehend vorgegeben. Dieser Beitrag zeigt, welche Punkte hineingehören, woran Sie einen brauchbaren Vertrag erkennen und wo die typischen Lücken liegen.

Hinweis: Dieser Beitrag informiert allgemein und ersetzt keine Rechtsberatung im Einzelfall.

Wann brauchen Sie einen AV-Vertrag?

Immer dann, wenn ein externer Dienst personenbezogene Daten nach Ihrer Weisung verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden. Das ist bei SaaS die Regel: Das CRM speichert Ihre Kundendaten, das Newsletter-Tool Ihre Empfängerliste, die Automatisierungsplattform alles, was durch Ihre Abläufe fließt. In all diesen Fällen liegt eine Auftragsverarbeitung vor — und ohne Vertrag nach Art. 28 DSGVO fehlt ihr die rechtliche Grundlage.

Die Abgrenzung ist nur dort anders, wo der Dienstleister eigenverantwortlich handelt. Ein Zahlungsdienstleister etwa, der als eigenständiger Verantwortlicher auftritt, schließt keinen AV-Vertrag mit Ihnen, sondern verarbeitet die Zahlungsdaten in eigener Verantwortung. Gute Anbieter legen diese Rollenverteilung offen, statt sie im Kleingedruckten zu verstecken.

Wichtig für die Praxis: Der AV-Vertrag ist keine Kür für Konzerne. Auch ein Drei-Personen-Unternehmen, das ein Formular-Tool mit einem CRM verbindet, braucht ihn. Die DSGVO kennt hier keine Bagatellgrenze nach Unternehmensgröße.

Was muss nach Art. 28 DSGVO drinstehen?

Art. 28 Abs. 3 DSGVO zählt die Pflichtinhalte auf. Ein Vertrag, dem einer dieser Punkte fehlt, ist kein wirksamer AV-Vertrag — unabhängig davon, wie professionell er aussieht.

Gegenstand, Dauer, Art und Zweck der Verarbeitung

Der Vertrag muss beschreiben, was verarbeitet wird: die Art der personenbezogenen Daten, die Kategorien betroffener Personen, Zweck und Dauer. Bei einer Automatisierungsplattform ist das naturgemäß breit gefasst — durch Abläufe können sehr unterschiedliche Daten fließen. Ein guter Vertrag benennt das ehrlich, statt eine Scheinpräzision vorzutäuschen.

Weisungsbindung und Vertraulichkeit

Der Auftragsverarbeiter darf Daten nur auf Ihre dokumentierte Weisung verarbeiten. Bei SaaS gilt die Nutzung des Produkts selbst als Weisung: Was Sie konfigurieren, ist angewiesen. Zusätzlich muss der Anbieter zusichern, dass alle Personen mit Datenzugriff zur Vertraulichkeit verpflichtet sind.

Technische und organisatorische Maßnahmen (TOM)

Der Vertrag muss die Sicherheitsmaßnahmen nach Art. 32 DSGVO beschreiben: Verschlüsselung, Zugriffskontrollen, Backup-Konzept, Umgang mit Sicherheitsvorfällen. Die TOM stehen meist in einem Anhang. Prüfen Sie, ob dieser Anhang konkret ist — „angemessene Maßnahmen nach Stand der Technik" ohne jede Ausführung ist ein Warnsignal.

Unterauftragsverarbeiter

Der Anbieter darf weitere Verarbeiter nur mit Ihrer Genehmigung einsetzen. Üblich und zulässig ist die allgemeine Genehmigung: Der Vertrag verweist auf eine Liste der eingesetzten Unterauftragsverarbeiter, und der Anbieter informiert Sie vor Änderungen, sodass Sie widersprechen können. Entscheidend ist, dass diese Liste existiert, öffentlich ist und gepflegt wird — wie Sie sie inhaltlich bewerten, zeigt die Checkliste zum Prüfen von Unterauftragsverarbeitern.

Unterstützungspflichten

Der Anbieter muss Sie bei Ihren eigenen Pflichten unterstützen: bei Auskunfts- und Löschersuchen betroffener Personen, bei der Meldung von Datenschutzverletzungen und, falls nötig, bei einer Datenschutz-Folgenabschätzung. Bei SaaS heißt das praktisch: Sie müssen Daten einzelner Personen finden, exportieren und löschen können, und der Anbieter muss Sicherheitsvorfälle unverzüglich an Sie melden.

Löschung, Rückgabe und Nachweise

Nach Vertragsende muss der Anbieter die Daten löschen oder zurückgeben — nach Ihrer Wahl. Außerdem muss er Nachweise über die Einhaltung der Pflichten ermöglichen, einschließlich Prüfungen. Bei SaaS-Anbietern läuft das üblicherweise über Dokumentation und Berichte statt über Vor-Ort-Audits; der Vertrag sollte beides vorsehen.

Woran erkennen Sie einen guten AV-Vertrag in der Praxis?

Jenseits der Pflichtinhalte gibt es Unterschiede, die im Alltag zählen.

Er ist verfügbar, ohne dass Sie fragen müssen. Ein Anbieter, der seine Auftragsverarbeitung ernst nimmt, veröffentlicht den Vertrag oder stellt ihn im Produkt bereit. Wenn Sie erst den Vertrieb kontaktieren müssen, um ein Pflichtdokument zu erhalten, sagt das etwas über den Stellenwert des Themas.

Er passt zur Realität des Produkts. Der Vertrag sollte zu dem passen, was in der Datenschutzerklärung und der Unterauftragsverarbeiter-Liste steht. Widersprüche zwischen diesen Dokumenten — etwa ein Rechenzentrum im Vertrag, das in der Liste nicht auftaucht — sind ein deutliches Warnsignal.

Drittlandsübermittlungen sind sauber geregelt. Verarbeitet ein Unterauftragsverarbeiter außerhalb der EU, muss der Vertrag die Garantie benennen — in der Regel die Standardvertragsklauseln (SCC). Pauschale Formulierungen wie „unter Einhaltung der anwendbaren Gesetze" ersetzen diese Angabe nicht. Was nach dem Ende des Privacy Shield hier zu beachten ist, behandelt der Beitrag zu Schrems II in der Praxis.

Die Änderungsfrist ist realistisch. Wenn der Anbieter Unterauftragsverarbeiter wechseln kann, brauchen Sie genug Vorlauf, um zu prüfen und gegebenenfalls zu widersprechen. Eine Information erst nach dem Wechsel entwertet Ihr Widerspruchsrecht.

Die Haftungsklauseln höhlen den Vertrag nicht aus. Ein AV-Vertrag, der die Pflichten des Art. 28 DSGVO sauber aufzählt und sie zwei Seiten später durch weitreichende Haftungsausschlüsse praktisch entwertet, verfehlt seinen Zweck. Achten Sie darauf, dass die datenschutzrechtliche Verantwortungsverteilung zwischen Ihnen und dem Anbieter erhalten bleibt — sie ist gesetzlich vorgegeben und nicht beliebig abbedingbar.

Wie läuft der Abschluss bei SaaS-Tools praktisch ab?

Verhandelt wird bei SaaS selten — der Anbieter stellt einen Standardvertrag, den alle Kunden gleichermaßen abschließen. Das ist kein Nachteil: Ein einheitlicher Vertrag, der zu den tatsächlichen Prozessen passt, ist mehr wert als ein individuell verhandelter, den der Anbieter operativ gar nicht erfüllen kann. Üblich sind zwei Wege: Der AV-Vertrag ist Bestandteil der Nutzungsbedingungen und gilt mit der Registrierung, oder er wird als eigenes Dokument abgeschlossen und abgelegt. Wichtig ist nur, dass Sie den Abschluss nachweisen können — bei einer Prüfung ist „der gilt automatisch, irgendwo" keine gute Antwort.

Prüfen Sie vor der Einführung eines Tools also drei Dinge: Gibt es den Vertrag, deckt er die Pflichtinhalte ab, und passt er zur veröffentlichten Unterauftragsverarbeiter-Liste? Diese Prüfung dauert bei einem transparenten Anbieter eine halbe Stunde — worauf Sie insgesamt bei der Tool-Auswahl achten sollten, fasst der Beitrag zur DSGVO-konformen Automatisierung zusammen.

Bei Zauberflow gehört der Auftragsverarbeitungsvertrag zum Produkt: Der Vertragstext ist öffentlich einsehbar, die zugehörige Liste der Unterauftragsverarbeiter ebenfalls, und im Business-Tarif ist der AV-Vertrag zusammen mit Audit-Log und EU-Datenresidenz-SLA enthalten. Die Tarife im Überblick finden Sie unter Preise.

Häufige Fragen

Ist ein AV-Vertrag dasselbe wie ein DPA?

Inhaltlich ja. DPA steht für Data Processing Agreement und ist die englische Bezeichnung desselben Vertrags nach Art. 28 DSGVO. Achten Sie bei internationalen Anbietern darauf, welche Sprachfassung rechtlich verbindlich ist und ob das DPA die Anforderungen der DSGVO — nicht nur anderer Datenschutzgesetze — abdeckt.

Muss ich den AV-Vertrag unterschreiben?

Nicht zwingend auf Papier. Die DSGVO lässt den Abschluss in elektronischer Form zu; üblich ist die Einbeziehung in die Nutzungsbedingungen oder die Bestätigung im Produkt. Entscheidend ist, dass der Abschluss dokumentiert und für Sie nachweisbar ist.

Was passiert, wenn ich ein Tool ohne AV-Vertrag nutze?

Dann verarbeitet der Dienstleister personenbezogene Daten ohne die von Art. 28 DSGVO geforderte Grundlage — ein Verstoß, der Ihnen als Verantwortlichem zugerechnet wird und den Aufsichtsbehörden regelmäßig beanstanden. Die Lösung ist einfach: Vertrag nachholen oder das Tool wechseln.

Die Integrationen in meinen Abläufen — brauchen die auch einen AV-Vertrag mit der Plattform?

Nein. Die Systeme, die Sie in Ihren Abläufen verbinden — Ihr CRM, Ihr E-Mail-Anbieter, Ihre Buchhaltung —, sind keine Unterauftragsverarbeiter der Automatisierungsplattform, denn Sie wählen und steuern sie selbst. Mit jedem dieser Dienste haben Sie ein eigenes Vertragsverhältnis; der AV-Vertrag der Plattform deckt nur deren eigene Verarbeitung ab.