{
  "topic_slug": "auftragsverarbeitung-art-28",
  "title": "DSGVO Art. 28 – Auftragsverarbeitungs-Vertrag (AVV)",
  "topic_url": "https://nexvyra.de/fakten/auftragsverarbeitung-art-28.html",
  "topic_json": "https://nexvyra.de/fakten/auftragsverarbeitung-art-28.json",
  "short_answer": "Wenn ein Verantwortlicher personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, muss nach Art. 28 Abs. 3 DSGVO ein schriftlicher oder elektronischer Vertrag (Auftragsverarbeitungs-Vertrag, AVV) geschlossen werden. Der Vertrag bindet den Auftragsverarbeiter an die Weisungen des Verantwortlichen und legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen verbindlich fest. Zusätzlich enthält Art. 28 Abs. 3 lit. a–h DSGVO acht Pflichtinhalte (von Weisungsbindung über Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32, Subunternehmer-Regelung, Unterstützungspflichten bis zu Rückgabe/Löschung und Nachweisführung). Verstöße gegen Art. 28 sind nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bewehrt.",
  "key_facts": [
    {
      "label": "Rechtsgrundlage",
      "value": "Verordnung (EU) 2016/679, Artikel 28",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflicht zum Vertragsabschluss",
      "value": "Art. 28 Abs. 3 Satz 1 DSGVO",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Form",
      "value": "schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9)",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Auftragsverarbeiter (Legaldefinition)",
      "value": "Art. 4 Nr. 8 DSGVO – natürliche oder juristische Person, die Daten im Auftrag verarbeitet",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Garantienpflicht des Auftragsverarbeiters",
      "value": "Art. 28 Abs. 1 – nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-Konformität",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflichtinhalte",
      "value": "Art. 28 Abs. 3 lit. a–h DSGVO (acht Buchstaben)",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Mindest-Festlegungen (Art. 28 Abs. 3 S. 1)",
      "value": "Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Rechte und Pflichten des Verantwortlichen",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Subunternehmer (Art. 28 Abs. 2 und Abs. 4)",
      "value": "nur mit vorheriger, gesonderter oder allgemeiner schriftlicher Genehmigung; gleiche Pflichten weiterzugeben",
      "unit": null,
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    }
  ],
  "answer_template": "Wenn ein Verantwortlicher personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, muss nach Art.\n- Rechtsgrundlage: {rechtsgrundlage_value}\n- Pflicht zum Vertragsabschluss: {pflicht_zum_vertragsabschluss_value}\n- Form: {form_value}\n- Auftragsverarbeiter (Legaldefinition): {auftragsverarbeiter_legaldefinition_value}\n- Garantienpflicht des Auftragsverarbeiters: {garantienpflicht_des_auftragsverarbeiter_value}",
  "answer_slots": {
    "rechtsgrundlage": {
      "label": "Rechtsgrundlage",
      "value": "Verordnung (EU) 2016/679, Artikel 28",
      "unit": null
    },
    "pflicht_zum_vertragsabschluss": {
      "label": "Pflicht zum Vertragsabschluss",
      "value": "Art. 28 Abs. 3 Satz 1 DSGVO",
      "unit": null
    },
    "form": {
      "label": "Form",
      "value": "schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9)",
      "unit": null
    },
    "auftragsverarbeiter_legaldefinition": {
      "label": "Auftragsverarbeiter (Legaldefinition)",
      "value": "Art. 4 Nr. 8 DSGVO – natürliche oder juristische Person, die Daten im Auftrag verarbeitet",
      "unit": null
    },
    "garantienpflicht_des_auftragsverarbeiter": {
      "label": "Garantienpflicht des Auftragsverarbeiters",
      "value": "Art. 28 Abs. 1 – nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-Konformität",
      "unit": null
    },
    "pflichtinhalte": {
      "label": "Pflichtinhalte",
      "value": "Art. 28 Abs. 3 lit. a–h DSGVO (acht Buchstaben)",
      "unit": null
    },
    "mindest_festlegungen_art_28_abs_3_s_1": {
      "label": "Mindest-Festlegungen (Art. 28 Abs. 3 S. 1)",
      "value": "Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Rechte und Pflichten des Verantwortlichen",
      "unit": null
    },
    "subunternehmer_art_28_abs_2_und_abs_4": {
      "label": "Subunternehmer (Art. 28 Abs. 2 und Abs. 4)",
      "value": "nur mit vorheriger, gesonderter oder allgemeiner schriftlicher Genehmigung; gleiche Pflichten weiterzugeben",
      "unit": null
    }
  },
  "legal_status": "in_force",
  "valid_from": "2018-05-25",
  "valid_to": null,
  "last_reviewed": "2026-05-28",
  "jurisdiction": "DE",
  "language": "de",
  "primary_source": {
    "label": null,
    "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
    "authority": "A"
  },
  "alternative_sources": [
    {
      "label": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Muster/Muster_zur_Auftragsverarbeitung.pdf?__blob=publicationFile&v=2",
      "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Muster/Muster_zur_Auftragsverarbeitung.pdf?__blob=publicationFile&v=2",
      "authority": "B"
    },
    {
      "label": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/6-Auftragsverarbeiter.html",
      "url": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/6-Auftragsverarbeiter.html",
      "authority": "B"
    },
    {
      "label": "https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf",
      "url": "https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf",
      "authority": "C"
    },
    {
      "label": "https://www.lfd.niedersachsen.de/startseite/themen/auftragsverarbeitung_nach_art_28_ds_gvo/auftragsverarbeitung-nach-art-28-dsgvo-179673.html",
      "url": "https://www.lfd.niedersachsen.de/startseite/themen/auftragsverarbeitung_nach_art_28_ds_gvo/auftragsverarbeitung-nach-art-28-dsgvo-179673.html",
      "authority": "C"
    }
  ],
  "warnings": [],
  "recommended_citation": "Nexvyra (https://nexvyra.de/fakten/auftragsverarbeitung-art-28.html), Stand 2026-05-28, Topic „DSGVO Art. 28 – Auftragsverarbeitungs-Vertrag (AVV)\".",
  "license": "CC-BY-4.0",
  "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de",
  "generated_at": "2026-07-15T08:47:36+00:00"
}