Art. 28 DSGVO: Was der Auftragsverarbeitungsvertrag wirklich bedeutet — und warum er allein nicht reicht

Wenn Sie heute einen KI-Dienst, eine Cloud-Plattform oder ein SaaS-Tool einsetzen, verarbeiten Sie in den meisten Fällen personenbezogene Daten im Auftrag anderer — oder lassen diese durch Dritte verarbeiten. Genau das ist der Kern der Auftragsverarbeitung. Und genau dafür verlangt die DSGVO einen Vertrag: den Auftragsverarbeitungsvertrag, kurz AVV.

Was viele unterschätzen: Ein AVV ist kein Freifahrtschein. Er ist eine notwendige Bedingung — aber längst keine hinreichende. Wer glaubt, mit einem signierten PDF sei die DSGVO-Geschichte erledigt, liegt falsch. Und das kann teuer werden.

Was ist ein AVV — und wann brauchen Sie einen?

Ein Auftragsverarbeitungsvertrag ist ein Vertrag zwischen dem Verantwortlichen (also Ihnen als Unternehmen) und dem Auftragsverarbeiter (also dem Dienstleister, der in Ihrem Auftrag Daten verarbeitet). Er regelt, was mit den Daten passieren darf, wie sie geschützt werden und wer welche Pflichten trägt.

Die Pflicht entsteht immer dann, wenn ein externer Dienstleister personenbezogene Daten für Sie verarbeitet — und das ist heute fast überall der Fall. Ein paar Beispiele aus dem Alltag:

• Sie nutzen ein KI-Tool, dem Sie Kundenmails oder Meeting-Protokolle übergeben
• Ihr Analyse-Dienst verarbeitet Nutzerdaten Ihrer Website
• Ein externer Buchhaltungsdienstleister sieht Mitarbeiterdaten
• Eine HR-Software speichert Bewerbungsunterlagen in der Cloud

In all diesen Fällen: AVV Pflicht. Ohne Vertrag ist die Verarbeitung rechtswidrig — unabhängig davon, wie gut der Dienstleister technisch gesichert ist.

Was muss ein AVV laut Art. 28 DSGVO enthalten?

Art. 28 Abs. 3 DSGVO gibt vor, welche Mindestinhalte ein AVV haben muss. Viele Dienstleister liefern Verträge, die formal vollständig wirken — beim genauen Hinschauen aber an entscheidenden Stellen vage bleiben. Prüfen Sie deshalb jeden AVV systematisch auf diese Punkte:

Fehlt auch nur einer dieser Punkte oder ist er zu unbestimmt formuliert, ist der AVV angreifbar. Besonders kritisch: die Regelungen zu Unterauftragsverarbeitern. Hier verstecken sich oft die eigentlichen Probleme.

Der häufige Fehler: AVV mit US-Anbieter ≠ DSGVO-Konformität

Hier liegt das größte Missverständnis in der Praxis. Viele Unternehmen haben einen AVV mit großen amerikanischen Anbietern — Microsoft, Google, Salesforce, OpenAI — und gehen davon aus, dass damit alles geregelt ist. Das stimmt nicht.

Ein AVV regelt das Verhältnis zwischen Ihnen und dem Dienstleister. Was er nicht regeln kann: das Verhältnis zwischen dem Dienstleister und dem US-Geheimdienst. Wenn ein US-amerikanisches Unternehmen per behördlicher Anordnung verpflichtet wird, Daten herauszugeben, gilt das auch für Daten auf europäischen Servern — solange das Unternehmen US-amerikanischem Recht unterliegt.

Praxisbeispiel: Sie nutzen ein KI-Tool eines US-Anbieters. Der Anbieter hat Rechenzentren in Frankfurt und einen AVV nach Art. 28 DSGVO. Klingt gut. Aber das Mutterunternehmen sitzt in den USA und ist dem CLOUD Act unterworfen. Die US-Behörden können theoretisch Zugriff auf die Daten anfordern — auch wenn sie auf deutschen Servern liegen. Ihr AVV schützt Sie davor nicht.

Was neben dem AVV wirklich zählt

Für DSGVO-Konformität beim Einsatz externer Dienste — insbesondere KI-Tools — brauchen Sie mehr als einen Vertrag. Diese vier Punkte sind mindestens genauso wichtig:

1. Serverstandort in der EU oder im EWR

Daten dürfen die EU grundsätzlich nicht verlassen, ohne dass angemessener Schutz nachgewiesen wird. Ein Serverstandort in der EU ist kein Selbstzweck, aber er ist die praktischste Grundlage dafür, dass keine Drittlandübermittlung stattfindet. Lassen Sie sich den Serverstandort schriftlich bestätigen — nicht nur als Marketingaussage auf der Website.

2. Kein US-Mutterunternehmen ohne zusätzliche Garantien

Wie oben beschrieben reicht ein EU-Serverstandort nicht, wenn das Unternehmen US-amerikanischem Recht unterliegt. Entscheidend ist die Rechtsform und Ansässigkeit des Unternehmens, das die Daten kontrolliert. Rein europäische Anbieter oder europäische Tochtergesellschaften mit echter rechtlicher Eigenständigkeit bieten hier mehr Sicherheit.

3. Transparenz über Unterauftragnehmer

Art. 28 Abs. 2 DSGVO verlangt, dass der Auftragsverarbeiter Unterauftragnehmer nur mit Ihrer Genehmigung einsetzen darf — entweder konkret oder über eine allgemeine Genehmigung mit Widerspruchsrecht. Prüfen Sie, welche Unterauftragnehmer im AVV genannt sind. Befinden sich darunter US-Unternehmen (z. B. Amazon Web Services US, Google LLC, Microsoft Corporation), gilt das oben Gesagte entsprechend.

4. Löschkonzept und Datensparsamkeit

Ein vollständiger AVV enthält Regelungen zur Löschung nach Vertragsende. Aber: Wurden die Daten auch wirklich gelöscht? Werden Trainingsdaten zurückgehalten? Prüfen Sie, ob der Anbieter explizit zusichert, dass Ihre Eingaben nicht für das Training von Modellen genutzt werden — und ob das vertraglich durchsetzbar ist.

Wie Sie einen AVV korrekt prüfen — praktische Tipps

Die meisten AVVs sind lang, juristisch formuliert und sehen auf den ersten Blick vollständig aus. Hier ist ein pragmatisches Prüfschema für die Praxis:

1. Unterauftragnehmer-Liste lesen: Sind alle Sub-Verarbeiter genannt? Wo sitzen sie? Befinden sich US-Unternehmen darunter?
2. Serverstandort im Vertrag suchen: Nicht auf der Marketingseite — im Vertrag selbst oder in den technischen Anhängen.
3. Training-Ausschluss prüfen: Wird ausdrücklich erklärt, dass Eingaben nicht für das Modelltraining genutzt werden?
4. Löschfristen und -mechanismen checken: Was passiert nach Vertragsende? Gibt es eine schriftliche Löschbestätigung?
5. Audit-Rechte realistisch bewerten: Ein Audit-Recht, das nur auf Anfrage und gegen Gebühr gewährt wird, ist auf dem Papier vollständig — in der Praxis aber meist nicht ausübbar.
6. Verantwortlichkeit für Datenpannen klären: Welche Meldepflichten hat der Anbieter Ihnen gegenüber? Innerhalb welcher Fristen?

Fazit: Der AVV ist die Basis — nicht die Lösung

Ein sorgfältig ausgearbeiteter AVV nach Art. 28 DSGVO ist unverzichtbar. Aber er ist nur der erste Schritt. Wer allein darauf vertraut, übersieht die strukturellen Risiken: den Einfluss des US-Rechts auf amerikanische Konzerne, intransparente Unterauftragsverhältnisse und fehlende Löschkonzepte.

Echte DSGVO-Konformität beim Einsatz von KI-Diensten erfordert: einen vollständigen AVV + EU-Serverstandort + europäisches Unternehmen als Vertragspartner + transparente Sub-Verarbeiter + klares Lösch- und Trainingsregime. Nur wenn alle diese Bausteine zusammenpassen, stehen Sie auf sicherem Boden.