{
  "slug": "auftragsverarbeitung-art-28",
  "title": "DSGVO Art. 28 – Auftragsverarbeitungs-Vertrag (AVV)",
  "topic_area": "datenschutz",
  "topic_label": "Datenschutz",
  "language": "de",
  "legal_status": "in_force",
  "valid_from": "2018-05-25",
  "valid_to": null,
  "last_reviewed": "2026-05-28",
  "factcheck_status": "ok",
  "authority_level": "A",
  "license": "CC-BY-4.0",
  "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de",
  "attribution": "Nexvyra (https://nexvyra.de, Wikidata Q139919900)",
  "wikidata_subjects": [
    "Q1172506",
    "Q3933473"
  ],
  "summary": "Wenn ein Verantwortlicher personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt, muss nach Art. 28 Abs. 3 DSGVO ein **schriftlicher oder elektronischer Vertrag** (Auftragsverarbeitungs-Vertrag, AVV) geschlossen…",
  "urls": {
    "html": "https://nexvyra.de/fakten/auftragsverarbeitung-art-28.html",
    "markdown": "https://nexvyra.de/fakten/auftragsverarbeitung-art-28.md",
    "json": "https://nexvyra.de/fakten/auftragsverarbeitung-art-28.json"
  },
  "sources": [
    {
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "authority": "A"
    },
    {
      "url": "https://www.bfdi.bund.de/SharedDocs/Downloads/DE/Muster/Muster_zur_Auftragsverarbeitung.pdf?__blob=publicationFile&v=2",
      "authority": "B"
    },
    {
      "url": "https://www.bfdi.bund.de/DE/Service/Inhalte/Flyer/Postdienstleister/6-Auftragsverarbeiter.html",
      "authority": "B"
    },
    {
      "url": "https://www.datenschutzkonferenz-online.de/media/kp/dsk_kpnr_13.pdf",
      "authority": "C"
    },
    {
      "url": "https://www.lfd.niedersachsen.de/startseite/themen/auftragsverarbeitung_nach_art_28_ds_gvo/auftragsverarbeitung-nach-art-28-dsgvo-179673.html",
      "authority": "C"
    },
    {
      "url": "https://www.lfd.niedersachsen.de/download/156382/FAQ_zur_Auftragsverarbeitung_nach_Art._28_DS-GVO_PDF_-_nicht_vollstaendig_barrierefrei_.pdf",
      "authority": "C"
    },
    {
      "url": "https://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2020/04/200429_AVV-Muster_DE.pdf",
      "authority": "C"
    }
  ],
  "facts": [
    {
      "claim": "Rechtsgrundlage: Verordnung (EU) 2016/679, Artikel 28",
      "label": "Rechtsgrundlage",
      "value": "Verordnung (EU) 2016/679, Artikel 28",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Pflicht zum Vertragsabschluss: Art. 28 Abs. 3 Satz 1 DSGVO",
      "label": "Pflicht zum Vertragsabschluss",
      "value": "Art. 28 Abs. 3 Satz 1 DSGVO",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Form: schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9)",
      "label": "Form",
      "value": "schriftlich oder in einem elektronischen Format (Art. 28 Abs. 9)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Auftragsverarbeiter (Legaldefinition): Art. 4 Nr. 8 DSGVO – natürliche oder juristische Person, die Daten im Auftrag verarbeitet",
      "label": "Auftragsverarbeiter (Legaldefinition)",
      "value": "Art. 4 Nr. 8 DSGVO – natürliche oder juristische Person, die Daten im Auftrag verarbeitet",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Garantienpflicht des Auftragsverarbeiters: Art. 28 Abs. 1 – nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-Konformität",
      "label": "Garantienpflicht des Auftragsverarbeiters",
      "value": "Art. 28 Abs. 1 – nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-Konformität",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Pflichtinhalte: Art. 28 Abs. 3 lit. a–h DSGVO (acht Buchstaben)",
      "label": "Pflichtinhalte",
      "value": "Art. 28 Abs. 3 lit. a–h DSGVO (acht Buchstaben)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Mindest-Festlegungen (Art. 28 Abs. 3 S. 1): Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Rechte und Pflichten des Verantwortlichen",
      "label": "Mindest-Festlegungen (Art. 28 Abs. 3 S. 1)",
      "value": "Gegenstand, Dauer, Art und Zweck der Verarbeitung, Art der Daten, Kategorien Betroffener, Rechte und Pflichten des Verantwortlichen",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Subunternehmer (Art. 28 Abs. 2 und Abs. 4): nur mit vorheriger, gesonderter oder allgemeiner schriftlicher Genehmigung; gleiche Pflichten weiterzugeben",
      "label": "Subunternehmer (Art. 28 Abs. 2 und Abs. 4)",
      "value": "nur mit vorheriger, gesonderter oder allgemeiner schriftlicher Genehmigung; gleiche Pflichten weiterzugeben",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Standardvertragsklauseln (Art. 28 Abs. 7 und Abs. 8): EU-Kommission und Aufsichtsbehörden dürfen Klauseln festlegen",
      "label": "Standardvertragsklauseln (Art. 28 Abs. 7 und Abs. 8)",
      "value": "EU-Kommission und Aufsichtsbehörden dürfen Klauseln festlegen",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Bußgeldrahmen (Art. 83 Abs. 4 lit. a): bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes",
      "label": "Bußgeldrahmen (Art. 83 Abs. 4 lit. a)",
      "value": "bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    },
    {
      "claim": "Eigenständige Haftung des Auftragsverarbeiters (Art. 82 Abs. 2): bei Verstoß gegen speziell ihn treffende Pflichten",
      "label": "Eigenständige Haftung des Auftragsverarbeiters (Art. 82 Abs. 2)",
      "value": "bei Verstoß gegen speziell ihn treffende Pflichten",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-05-28"
    }
  ],
  "generated_at": "2026-07-15T05:15:16Z"
}