{
  "topic_slug": "dsgvo-auftragsverarbeitung-art-28",
  "title": "DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder",
  "topic_url": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.html",
  "topic_json": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.json",
  "short_answer": "Immer wenn ein Unternehmen personenbezogene Daten nicht selbst, sondern durch einen externen Dienstleister verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine Auftragsverarbeitung im Sinne von Art. 28 der Datenschutz-Grundverordnung (VO (EU) 2016/679, DSGVO) vor. Der Auftraggeber bleibt „Verantwortlicher\" (Art. 4 Nr. 7 DSGVO), der Dienstleister ist „Auftragsverarbeiter\" (Art. 4 Nr. 8 DSGVO).",
  "key_facts": [
    {
      "label": "EU-Rechtsakt",
      "value": "Verordnung (EU) 2016/679 (DSGVO), Art. 28",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Rechtsnatur",
      "value": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Geltung seit",
      "value": "25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Kernpflicht",
      "value": "schriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Form",
      "value": "schriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Rollen",
      "value": "Verantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "Pflicht-Inhalte AVV",
      "value": "Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    },
    {
      "label": "8 Mindestklauseln",
      "value": "Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)",
      "unit": "text",
      "source_authority": "A",
      "locator": null,
      "trust_score": null
    }
  ],
  "answer_template": "Immer wenn ein Unternehmen personenbezogene Daten nicht selbst, sondern durch einen externen Dienstleister verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine Auftragsverarbeitung im Sinne von Art.\n- EU-Rechtsakt: {eu_rechtsakt_value}\n- Rechtsnatur: {rechtsnatur_value}\n- Geltung seit: {geltung_seit_value}\n- Kernpflicht: {kernpflicht_value}\n- Form: {form_value}",
  "answer_slots": {
    "eu_rechtsakt": {
      "label": "EU-Rechtsakt",
      "value": "Verordnung (EU) 2016/679 (DSGVO), Art. 28",
      "unit": "text"
    },
    "rechtsnatur": {
      "label": "Rechtsnatur",
      "value": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
      "unit": "text"
    },
    "geltung_seit": {
      "label": "Geltung seit",
      "value": "25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
      "unit": "text"
    },
    "kernpflicht": {
      "label": "Kernpflicht",
      "value": "schriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)",
      "unit": "text"
    },
    "form": {
      "label": "Form",
      "value": "schriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)",
      "unit": "text"
    },
    "rollen": {
      "label": "Rollen",
      "value": "Verantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)",
      "unit": "text"
    },
    "pflicht_inhalte_avv": {
      "label": "Pflicht-Inhalte AVV",
      "value": "Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)",
      "unit": "text"
    },
    "8_mindestklauseln": {
      "label": "8 Mindestklauseln",
      "value": "Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)",
      "unit": "text"
    }
  },
  "legal_status": "in_force",
  "valid_from": "2018-05-25",
  "valid_to": null,
  "last_reviewed": "2026-07-21",
  "jurisdiction": "DE",
  "language": "de",
  "primary_source": {
    "label": null,
    "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
    "authority": "A"
  },
  "alternative_sources": [
    {
      "label": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
      "authority": "A"
    },
    {
      "label": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915",
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915",
      "authority": "A"
    },
    {
      "label": "https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf",
      "url": "https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf",
      "authority": "C"
    },
    {
      "label": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de",
      "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de",
      "authority": "D"
    }
  ],
  "warnings": [],
  "recommended_citation": "Nexvyra (https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.html), Stand 2026-07-21, Topic „DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder\".",
  "license": "CC-BY-4.0",
  "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de",
  "generated_at": "2026-09-05T14:55:00+00:00"
}