AVV vs. DPA: Die Nuancen von Datenverarbeitungsverträgen verstehen

7. Juli 2026 · 15 Min. Lesezeit

Kurzantwort: AVV (Auftragsverarbeitungsvertrag) und DPA (Data Processing Agreement) beziehen sich auf denselben gesetzlich vorgeschriebenen Vertrag gemäß Artikel 28 DSGVO. Der deutsche Begriff AVV wird in den DACH-Regionen verwendet, während DPA das englischsprachige Äquivalent ist, das in den meisten anderen EU-Mitgliedstaaten und international verwendet wird. Beide regeln, wie ein Datenverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet. Die Wahl der falschen Bezeichnung oder das gänzliche Weglassen der Vereinbarung kann Ihre Organisation erheblichen behördlichen Strafen aussetzen.

Wichtigste Erkenntnisse

AVV ist die deutsche Abkürzung für Auftragsverarbeitungsvertrag; DPA steht für Data Processing Agreement. Sie sind funktional dasselbe Instrument unter der DSGVO.
Beide Vereinbarungen sind gemäß Artikel 28 DSGVO obligatorisch, wann immer ein Verantwortlicher einen Auftragsverarbeiter zur Verarbeitung personenbezogener Daten beauftragt.
Der Terminologieunterschied ist regional: AVV ist in Deutschland, Österreich und der Schweiz Standard; DPA wird in englischsprachigen und den meisten anderen EU-Kontexten verwendet.
Eine gültige Vereinbarung muss den Gegenstand, die Dauer der Verarbeitung, die Datenkategorien, die Rechte der betroffenen Personen, die Bedingungen für Unterauftragsverarbeiter, Sicherheitsmaßnahmen und Prüfungsbestimmungen umfassen. [1]
Das Fehlen der korrekten Vereinbarung kann zu Untersuchungen durch Aufsichtsbehörden, Bußgeldern und Vertragsstreitigkeiten führen.
Die Implementierungskosten reichen von null (Verwendung einer Standardvorlage des Anbieters) bis zu mehreren tausend Euro für die kundenspezifische rechtliche Ausarbeitung.
Einige Unternehmen, die in DACH- und Nicht-DACH-Märkten tätig sind, verwenden beide Begriffe in derselben Vereinbarung zur Klarheit.
Eine Consent Management Platform wie Biscotti CMP kann Ihre umfassendere DSGVO-Compliance-Haltung unterstützen, ersetzt jedoch keinen ordnungsgemäß ausgeführten AVV oder DPA.

Wofür steht AVV im Datenschutz, und ist es dasselbe wie ein DPA?

AVV steht für Auftragsverarbeitungsvertrag, der deutschsprachige Begriff für ein Data Processing Agreement. In praktischer rechtlicher Hinsicht sind ein AVV und ein DPA dasselbe Dokument; beide erfüllen die Anforderung gemäß Artikel 28 der DSGVO für einen schriftlichen Vertrag zwischen einem Datenverantwortlichen und einem Datenverarbeiter. [1]

Der Unterschied ist rein sprachlicher und jurisdiktioneller Natur. Deutsche, österreichische und schweizerische Datenschutzpraktiker verwenden AVV als Standardbegriff in Verträgen, Datenschutzerklärungen und behördlicher Korrespondenz. Englischsprachige Praktiker und die meisten anderen EU-Mitgliedstaaten verwenden DPA. Wenn ein deutscher SaaS-Anbieter Ihnen einen "AVV" anbietet, bietet er dasselbe Rechtsinstrument an, das ein in Großbritannien ansässiger Anbieter als "DPA" bezeichnen würde.

Wichtige Klarstellung: Keiner der Begriffe impliziert einen anderen Rechtsstandard. Beide müssen dieselben Inhaltsanforderungen gemäß Artikel 28 Absatz 3 DSGVO erfüllen, um gültig zu sein. [1]

Was ist der Unterschied zwischen AVV und DPA?

Der Unterschied zwischen AVV und DPA ist terminologischer, nicht substanzieller Natur. Beide beschreiben den durch Artikel 28 DSGVO vorgeschriebenen Vertrag zwischen einem Datenverantwortlichen (der Entität, die den Zweck und die Mittel der Verarbeitung bestimmt) und einem Datenverarbeiter (der Entität, die Daten im Auftrag des Verantwortlichen verarbeitet).

Echte Unterschiede können sich jedoch im Entwurfsstil und in den lokalen behördlichen Leitlinien ergeben:

Deutsche Aufsichtsbehörden (Datenschutzbehörden) haben spezifische Musterklauseln und Leitfäden veröffentlicht, die AVV-Dokumente oft enthalten.
Englischsprachige DPAs, die für britische oder irische Gerichtsbarkeiten entworfen wurden, können neben der DSGVO auch nationale Umsetzungsgesetze referenzieren.
Schweizer AVVs müssen auch das revidierte Bundesgesetz über den Datenschutz (revDSG) berücksichtigen, das in bestimmten Aspekten von der DSGVO abweicht.

Fazit: Wenn ein Anbieter Ihnen einen AVV sendet und Sie einen DPA benötigen, haben Sie das erhalten, was Sie brauchen, vorausgesetzt, der Inhalt erfüllt die Anforderungen von Artikel 28 Absatz 3. [1]

Wann benötigen Sie einen AVV oder einen DPA?

Sie benötigen eine dieser Vereinbarungen immer dann, wenn Ihre Organisation personenbezogene Daten an einen Drittanbieter weitergibt, der diese Daten nach Ihren Anweisungen verarbeitet. Der Auslöser ist die Verantwortlicher-Auftragsverarbeiter-Beziehung, nicht die Sprache des Vertrags.

Verwenden Sie einen AVV, wenn:

Ihr Vertragspartner in Deutschland, Österreich oder der Schweiz ansässig ist und dessen Standardvertrag diese Terminologie verwendet.
Ihre eigene Organisation dem deutschen Datenschutzrecht unterliegt und Ihre internen Vorlagen den BfDI- oder Landes-DPA-Richtlinien folgen.

Verwenden Sie einen DPA, wenn:

Ihr Vertragspartner in einer englischsprachigen Gerichtsbarkeit tätig ist oder Englisch als Vertragssprache verwendet.
Sie einen Vertrag mit einem US-amerikanischen Cloud-Anbieter, einem britischen SaaS-Anbieter oder einem anderen internationalen Verarbeiter abschließen, dessen Vorlagen standardmäßig "DPA" verwenden.

Häufiger Fehler: Die Annahme, dass, weil ein Anbieter sein Dokument AVV statt DPA nennt, andere rechtliche Regeln gelten. Die Inhaltsanforderungen sind unter der DSGVO identisch. Es kommt auf den Inhalt an, nicht auf die Bezeichnung auf dem Deckblatt.

Wer benötigt einen AVV und wer einen DPA?

Jede Organisation, die unter der DSGVO als Datenverantwortlicher gilt und einen Dritten beauftragt, personenbezogene Daten in ihrem Namen zu verarbeiten, benötigt eine dieser Vereinbarungen. Dies gilt für:

E-Commerce-Unternehmen, die Drittanbieter für Zahlungsabwicklungen oder E-Mail-Marketing-Plattformen nutzen.
Unternehmen, die Cloud-Infrastruktur-Anbieter (IaaS, PaaS, SaaS) nutzen.
Online-Marketing-Agenturen, die Kundendaten verarbeiten.
Entwickler, die Anwendungen erstellen, die personenbezogene Daten von Endnutzern über externe APIs verarbeiten.
Website-Betreiber, die Analysetools, CDNs oder CRM-Systeme verwenden, die Besucherdaten verarbeiten.

Organisationen in DACH-Märkten werden typischerweise das AVV-Label antreffen; international tätige Organisationen werden häufiger mit DPAs zu tun haben. Beide Kategorien von Organisationen haben dieselbe rechtliche Verpflichtung.

Was sollte in einem AVV oder DPA enthalten sein?

Sowohl ein AVV als auch ein DPA müssen dieselben obligatorischen Elemente gemäß Artikel 28 Absatz 3 DSGVO enthalten. Das Fehlen einer dieser Klauseln macht die Vereinbarung nicht konform. [1]

Erforderliche Klausel	Beschreibung
Gegenstand und Dauer	Welche Daten verarbeitet werden und wie lange
Art und Zweck	Warum und wie die Verarbeitung erfolgt
Datenarten und betroffene Personen	Kategorien personenbezogener Daten und betroffene Personen
Rechte und Pflichten des Verantwortlichen	Anweisungen, denen der Verarbeiter folgen muss
Sicherheitsmaßnahmen	Technische und organisatorische Maßnahmen (TOMs)
Bedingungen für Unterauftragsverarbeiter	Regeln für die Beauftragung nachgeschalteter Verarbeiter
Unterstützung bei Rechten betroffener Personen	Unterstützung bei Anfragen zu Auskunft, Löschung, Datenübertragbarkeit
Benachrichtigung bei Datenschutzverletzungen	Pflicht des Verarbeiters, den Verantwortlichen über Vorfälle zu informieren
Datenrückgabe oder -löschung	Was mit den Daten am Vertragsende geschieht
Prüfungsrechte	Recht des Verantwortlichen zur Überprüfung der Einhaltung

Sonderfall: Wenn eine Vorlage eines Anbieters Prüfungsrechte oder Bedingungen für Unterauftragsverarbeiter weglässt, unterschreiben Sie sie nicht unverändert. Diese sind gemäß Artikel 28 Absatz 3 nicht verhandelbar. [1]

Wie viel kostet die Einrichtung eines AVV oder DPA?

Die Kosten hängen vollständig davon ab, ob Sie eine Standardvorlage eines Anbieters verwenden oder eine kundenspezifische rechtliche Ausarbeitung in Auftrag geben.

Vom Anbieter bereitgestellte Vorlage (am häufigsten): Kostenlos. Die meisten großen SaaS- und Cloud-Anbieter veröffentlichen einen Standard-AVV oder DPA, den Verantwortliche online oder über einen Click-Through-Prozess akzeptieren können.
Verhandelter individueller Vertrag: Die Anwaltskosten liegen typischerweise zwischen 500 und 5.000 Euro, abhängig von Komplexität, Gerichtsbarkeit und Anwaltshonoraren. Unternehmensverträge mit erheblichen Datenmengen oder sensiblen Datenkategorien liegen am oberen Ende.
Interne Vorlagenentwicklung: Eine einmalige Investition von Rechtsberatungszeit zur Erstellung einer wiederverwendbaren Vorlage; die laufenden Kosten sind minimal.

Praktischer Hinweis: Für die meisten KMU und Website-Betreiber ist die Standardvorlage des Anbieters ausreichend. Eine individuelle Verhandlung ist gerechtfertigt, wenn die Verarbeitung besondere Kategorien von Daten (Gesundheits-, biometrische, finanzielle) umfasst oder wenn der Verantwortliche einem erheblichen Haftungsrisiko ausgesetzt ist.

Wie unterscheiden sich die AVV- und DPA-Anforderungen je nach Land?

Unter der DSGVO sind die materiellen Anforderungen in allen EU-Mitgliedstaaten harmonisiert, sodass der Kerninhalt eines AVV und eines DPA identisch ist, egal ob Sie in Berlin, Paris oder Warschau sind. Es gibt jedoch nationale Nuancen:

Deutschland: Der BfDI und die Landesdatenschutzbehörden haben detaillierte Leitlinien und Musterklauseln herausgegeben. Deutsche AVVs enthalten oft detailliertere Dokumentationen zu technischen und organisatorischen Maßnahmen (TOMs).
Schweiz: Das revDSG (in Kraft seit September 2023) stellt zusätzliche Anforderungen über die DSGVO hinaus, einschließlich spezifischer Bestimmungen für grenzüberschreitende Datenübermittlungen und Fristen für die Meldung von Datenschutzverletzungen.
UK (nach dem Brexit): Die UK DSGVO gilt; DPAs müssen sich auf die Leitlinien des UK ICO und nicht auf die EU-Aufsichtsbehörden beziehen. Standardvertragsklauseln unterscheiden sich von den EU-SCCs.
Andere EU-Mitgliedstaaten: Artikel 28 DSGVO gilt direkt; lokale DPA-Leitlinien können die Mindestanforderungen ergänzen, aber nicht reduzieren.

Wählen Sie die Klausel zum anwendbaren Recht sorgfältig. Ein AVV nach deutschem Recht und ein DPA nach irischem Recht mögen ähnlich aussehen, werden aber von verschiedenen Gerichten und Aufsichtsbehörden interpretiert.

Können Sie einen AVV anstelle eines DPA verwenden oder beide gleichzeitig nutzen?

Ja, ein AVV kann einen DPA ersetzen, da sie rechtlich gleichwertige Instrumente sind. Ein Unternehmen, das in DACH- und Nicht-DACH-Märkten tätig ist, kann beide Begriffe in derselben Vertragsüberschrift (z. B. "Data Processing Agreement / Auftragsverarbeitungsvertrag") verwenden, um Verwirrung zu vermeiden. Dies ist in zweisprachigen Unternehmensverträgen gängige Praxis und ist vollkommen zulässig.

Die gleichzeitige Verwendung beider Bezeichnungen schafft keine zwei separaten rechtlichen Verpflichtungen. Sie stellt lediglich sicher, dass deutsch- und englischsprachige Parteien verstehen, dass sie dasselbe Dokument betrachten.

Was sind häufige Fehler bei der Wahl zwischen AVV und DPA?

Die schwerwiegendsten Fehler betreffen nicht die Wahl des Begriffs, sondern den Inhalt der Vereinbarung und ob sie überhaupt existiert.

Das gänzliche Weglassen der Vereinbarung, weil eine Anbieterbeziehung informell oder risikoarm erscheint. Unter der DSGVO wird die Verpflichtung durch den Akt der Verarbeitung ausgelöst, nicht durch das wahrgenommene Risikoniveau.
Das Akzeptieren einer unvollständigen Vorlage, die Unterauftragsverarbeiterklauseln oder Prüfungsrechte weglässt, in der Annahme, dass die Version des Anbieters automatisch konform ist.
Die Verwechslung eines DPA mit einer Datenfreigabevereinbarung. Ein DPA regelt Auftragsverarbeiterbeziehungen; eine Datenfreigabevereinbarung regelt gemeinsame Verantwortliche oder Verantwortlicher-zu-Verantwortlicher-Datenaustausch. Dies sind unterschiedliche Instrumente.
Das Versäumnis, Vereinbarungen zu aktualisieren, wenn ein Verarbeiter neue Unterauftragsverarbeiter beauftragt oder die Art der Verarbeitung ändert.
Die Annahme, dass die DSGVO-Konformität das Schweizer Recht abdeckt. Organisationen mit Schweizer Betroffenen müssen sicherstellen, dass ihr AVV auch die Anforderungen des revDSG erfüllt.

Welche rechtlichen Konsequenzen hat es, wenn AVV vs. DPA falsch gehandhabt wird?

Das Fehlen einer gültigen, vollständigen Vereinbarung setzt sowohl Verantwortliche als auch Verarbeiter regulatorischen und zivilrechtlichen Haftungsrisiken aus.

Gemäß Artikel 83 Absatz 4 DSGVO können Verstöße gegen Artikel 28 (die DPA/AVV-Anforderung) zu Verwaltungsbußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes führen, je nachdem, welcher Betrag höher ist. Aufsichtsbehörden in Deutschland haben ihre Bereitschaft gezeigt, Organisationen wegen fehlender oder mangelhafter Verarbeitungsverträge zu untersuchen und zu bestrafen.

Neben Bußgeldern gehören zu den Konsequenzen:

Prüfungen durch Aufsichtsbehörden und Korrekturmaßnahmen.
Unfähigkeit, vertragliche Bedingungen gegenüber einem nicht konformen Verarbeiter durchzusetzen.
Zivilrechtliche Haftung, wenn eine Datenschutzverletzung ohne eine gültige Vereinbarung zur Dokumentation von Sicherheitsverpflichtungen auftritt.
Reputationsschaden in B2B-Kontexten, in denen Unternehmenskunden eine Due Diligence bei Anbietern durchführen.

Woher wissen Sie, welche Vereinbarung Ihr Unternehmen tatsächlich benötigt?

Die Entscheidung ist einfach, sobald Sie die Beziehung und die Gerichtsbarkeit identifiziert haben.

Schritt 1: Bestimmen Sie, ob Ihre Organisation der Verantwortliche ist (Sie entscheiden, warum und wie Daten verarbeitet werden) oder der Verarbeiter (Sie verarbeiten Daten nach Anweisungen einer anderen Person).

Schritt 2: Identifizieren Sie die Sprache und Gerichtsbarkeit Ihres Vertragspartners. Wenn sie in der DACH-Region sind, erwarten Sie einen AVV. Wenn sie anderswo sind, erwarten Sie einen DPA.

Schritt 3: Überprüfen Sie, ob das Dokument, das Sie erhalten, alle zehn obligatorischen Elemente gemäß Artikel 28 Absatz 3 DSGVO enthält. [1]

Schritt 4: Wenn Ihre Organisation auch die Benutzereinwilligung für Cookies und Tracking-Technologien verwalten muss, deckt eine Consent Management Platform wie Biscotti CMP diese Ebene der DSGVO-Konformität ab, aber sie funktioniert neben, nicht anstelle eines ordnungsgemäß ausgeführten AVV oder DPA.

Entscheidungsregel: Wenn Sie personenbezogene Daten im Auftrag einer anderen Organisation verarbeiten, benötigen Sie einen DPA oder AVV, unabhängig davon, wie die Beziehung kommerziell genannt wird. Wenn eine andere Organisation Daten in Ihrem Namen verarbeitet, sind Sie dafür verantwortlich, sicherzustellen, dass diese Vereinbarung vor Beginn der Verarbeitung besteht.

FAQ

F: Ist ein AVV außerhalb Deutschlands rechtlich gültig? Ein AVV ist überall dort rechtlich gültig, wo die DSGVO gilt, vorausgesetzt, er erfüllt die Inhaltsanforderungen von Artikel 28 Absatz 3. Die deutsche Terminologie schränkt seine Durchsetzbarkeit in anderen EU-Gerichtsbarkeiten nicht ein.

F: Muss ein DPA von beiden Parteien unterzeichnet werden? Ja. Artikel 28 Absatz 9 DSGVO verlangt, dass die Vereinbarung schriftlich erfolgt, was auch die elektronische Form einschließt. Sowohl der Verantwortliche als auch der Verarbeiter müssen an ihre Bedingungen gebunden sein.

F: Kann ein Online-Click-Through-DPA eines Anbieters die DSGVO-Anforderungen erfüllen? Ja, wenn der Inhalt die Anforderungen von Artikel 28 Absatz 3 erfüllt. Viele große Cloud-Anbieter bieten konforme Click-Through-DPAs an, die von Aufsichtsbehörden geprüft wurden.

F: Was ist ein Unterauftragsverarbeiter, und warum ist er in einem DPA oder AVV wichtig? Ein Unterauftragsverarbeiter ist ein Dritter, der vom Verarbeiter beauftragt wird, Verarbeitungsaktivitäten durchzuführen. Der DPA oder AVV muss die Bedingungen festlegen, unter denen Unterauftragsverarbeiter beauftragt werden können, einschließlich des Widerspruchsrechts des Verantwortlichen. [1]

F: Benötige ich einen neuen AVV oder DPA, jedes Mal wenn ein Verarbeiter seine Unterauftragsverarbeiterliste aktualisiert? Nicht unbedingt. Viele Vereinbarungen enthalten eine allgemeine Genehmigung für Änderungen bei Unterauftragsverarbeitern, vorausgesetzt, der Verarbeiter benachrichtigt den Verantwortlichen und der Verantwortliche behält das Widerspruchsrecht innerhalb einer bestimmten Frist.

F: Deckt ein DPA Datenübermittlungen außerhalb der EU ab? Ein DPA regelt die Verarbeitungsbeziehung, autorisiert aber nicht von sich aus grenzüberschreitende Datenübermittlungen. Für Übermittlungen in Drittländer sind separate Übermittlungsmechanismen (Standardvertragsklauseln, Angemessenheitsbeschlüsse) erforderlich.

F: Wie lange sollte ein DPA oder AVV aufbewahrt werden? Bewahren Sie die Vereinbarung für die Dauer der Verarbeitungsbeziehung und für einen angemessenen Zeitraum danach auf, typischerweise mindestens drei bis fünf Jahre, um die Einhaltung im Falle einer Anfrage der Aufsichtsbehörde nachweisen zu können.

F: Was ist der Unterschied zwischen einem DPA und einer DPIA? Ein DPA (Data Processing Agreement) ist ein Vertrag zwischen Verantwortlichem und Verarbeiter. Eine DPIA (Data Protection Impact Assessment) ist eine interne Risikobewertung, die für hochriskante Verarbeitungsaktivitäten erforderlich ist. Sie dienen unterschiedlichen Zwecken und ersetzen sich gegenseitig nicht.

F: Kann ein Freiberufler oder eine kleine Agentur verpflichtet werden, einen AVV oder DPA zu unterzeichnen? Ja. Die Verpflichtung gilt unabhängig von der Größe des Verarbeiters. Ein freiberuflicher Entwickler, der Kundendaten verarbeitet, ist ein Verarbeiter und muss einen DPA oder AVV mit jedem Kundenverantwortlichen unterzeichnen.

F: Ersetzt Biscotti CMP die Notwendigkeit eines DPA oder AVV? Nein. Biscotti CMP ist eine Consent Management Platform, die bei der Verwaltung der Benutzereinwilligung für Cookies und Tracking hilft, eine separate DSGVO-Compliance-Anforderung. Ein DPA oder AVV ist weiterhin für jede Verarbeiterbeziehung erforderlich, die personenbezogene Daten beinhaltet.

Fazit

Die Frage AVV vs. DPA klärt sich schnell, sobald man erkennt, dass beide Begriffe dasselbe gesetzlich vorgeschriebene Instrument gemäß Artikel 28 DSGVO beschreiben. Die eigentliche Herausforderung besteht nicht darin, zwischen ihnen zu wählen, sondern sicherzustellen, dass das Dokument, das Ihre Verarbeiterbeziehungen regelt, jede obligatorische Klausel enthält, ordnungsgemäß ausgeführt wird und aktuell gehalten wird, wenn sich die Verarbeitungsaktivitäten entwickeln.

Umsetzbare nächste Schritte:

Überprüfen Sie alle aktuellen Anbieterbeziehungen, um zu bestätigen, dass für jeden Verarbeiter, der personenbezogene Daten in Ihrem Namen verarbeitet, ein gültiger DPA oder AVV vorhanden ist.
Überprüfen Sie bestehende Vereinbarungen anhand der zehn obligatorischen Elemente von Artikel 28 Absatz 3 DSGVO und fordern Sie Änderungen für eventuelle Lücken an. [1]
Wenn Sie in der Schweiz tätig sind, überprüfen Sie, ob die Vereinbarungen auch die Anforderungen des revDSG über die DSGVO-Grundlagen hinaus erfüllen.
Etablieren Sie einen internen Prozess für die Einarbeitung neuer Verarbeiter; keine Verarbeitung sollte beginnen, bevor die Vereinbarung unterzeichnet ist.
Für das Einwilligungsmanagement und die Cookie-Konformität auf Ihrer Website oder Anwendung bewerten Sie Biscotti CMP als Teil Ihres umfassenderen DSGVO-Compliance-Frameworks.

Datenschutz-Compliance ist kein einmaliges Projekt. Vereinbarungen müssen überprüft werden, wenn sich die Verarbeitung ändert, wenn Unterauftragsverarbeiter hinzugefügt werden und wenn sich die regulatorischen Leitlinien weiterentwickeln. Die Integration dieses Überprüfungsrhythmus in Ihr Compliance-Programm ist die praktischste Absicherung gegen regulatorische Risiken.

Referenzen

[1] Data Processing Agreement - https://erp-software.org/en/glossary/data-processing-agreement/?utm_source=openai