Nexvyra

DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-07-21 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Immer wenn ein Unternehmen personenbezogene Daten nicht selbst, sondern durch einen externen Dienstleister verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine Auftragsverarbeitung im Sinne von Art. 28 der Datenschutz-Grundverordnung (VO (EU) 2016/679, DSGVO) vor. Der Auftraggeber bleibt „Verantwortlicher" (Art. 4 Nr. 7 DSGVO), der Dienstleister ist „Auftragsverarbeiter" (Art. 4 Nr. 8 DSGVO).

Nach Art. 28 Abs. 3 DSGVO muss die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen – dem Auftragsverarbeitungsvertrag (AVV), auch „Data Processing Agreement" (DPA) genannt. Dieser Vertrag ist gesetzlich vorgeschrieben und muss schriftlich, auch in elektronischem Format, geschlossen werden. Fehlt der AVV oder ist er unvollständig, ist die Verarbeitung rechtswidrig – und zwar für beide Seiten.

Die DSGVO gilt als EU-Verordnung unmittelbar in Deutschland; ein nationales Umsetzungsgesetz ist nicht erforderlich. Verstöße gegen Art. 28 werden nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) geahndet.

Kernfakten

PunktWert
EU-RechtsaktVerordnung (EU) 2016/679 (DSGVO), Art. 28 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung seit25. Mai 2018 (Art. 99 Abs. 2 DSGVO)
Kernpflichtschriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)
Formschriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)
RollenVerantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)
Pflicht-Inhalte AVVGegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)
8 MindestklauselnWeisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)
Auswahlpflichtnur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-konforme Verarbeitung (Art. 28 Abs. 1)
Sub-Auftragsverarbeiternur mit vorheriger schriftlicher Genehmigung des Verantwortlichen (spezifisch oder allgemein), Art. 28 Abs. 2
Weiterreichung an Sub-AVSub-AV muss dieselben Datenschutzpflichten auferlegt bekommen (Art. 28 Abs. 4)
HinweispflichtAuftragsverarbeiter muss melden, wenn eine Weisung gegen die DSGVO verstößt (Art. 28 Abs. 3 Satz 2 lit. h a. E.)
„Exzess"-FolgeÜberschreitet der AV die Weisungen und bestimmt Zwecke/Mittel selbst, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10)
Standardvertragsklauselnvorab genehmigte SCC der EU-Kommission: Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021
Bußgeldrahmenbis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)
AuslegungshilfeEDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher" und „Auftragsverarbeiter" (final 2021)
Betroffener Nutzerkreisalle Unternehmen, Vereine, Behörden, die Datenverarbeitung auslagern (Cloud, IT, Marketing, Payroll, Hosting) – und deren Dienstleister

Geltungsbereich

Art. 28 DSGVO greift, sobald ein Verantwortlicher einen externen Dienstleister weisungsgebunden personenbezogene Daten verarbeiten lässt. Typische Fälle sind Cloud- und Hosting-Anbieter, Rechenzentren, Software-as-a-Service (SaaS), Newsletter- und E-Mail-Dienste, Lohn- und Gehaltsabrechnung, externe IT-Wartung und Fernwartung, Webanalyse-Dienstleister, Callcenter sowie Akten- und Datenträgervernichter. Entscheidend ist, dass der Dienstleister keine eigene Entscheidungsmacht über Zwecke und wesentliche Mittel der Verarbeitung hat – diese liegen beim Verantwortlichen.

Kein Fall der Auftragsverarbeitung – und damit kein AVV nach Art. 28 – liegt vor, wenn ein Dienstleister die Daten eigenverantwortlich zu eigenen Zwecken verarbeitet (z. B. Steuerberater, Rechtsanwälte, Banken, Postdienste im Rahmen ihrer gesetzlichen Aufgaben). Nach den EDSA-Leitlinien 07/2020 richtet sich die Einordnung funktional und faktisch nach der tatsächlichen Entscheidungsmacht, nicht nach der Bezeichnung im Vertrag: Eine Partei wird nicht schon dadurch zum Auftragsverarbeiter, dass ein Vertrag sie so nennt, wenn sie in Wahrheit selbst über die Zwecke der Verarbeitung entscheidet.

Da die DSGVO als Verordnung unmittelbar gilt, ist Art. 28 in Deutschland ohne Umsetzungsgesetz anwendbar. Ergänzende nationale Regelungen bestehen für öffentliche Stellen (z. B. § 62 BDSG), verdrängen die unmittelbar geltenden Vorgaben des Art. 28 aber nicht.

Die acht Mindestklauseln des AVV (Art. 28 Abs. 3 lit. a–h)

Der Auftragsverarbeitungsvertrag muss den Auftragsverarbeiter mindestens zu folgenden acht Punkten verpflichten:

a) Weisungsbindung – Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, auch bei Drittlandübermittlungen. b) Vertraulichkeit – zur Vertraulichkeit verpflichtete oder gesetzlich verpflichtete Personen. c) Datensicherheit – Umsetzung aller nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. d) Sub-Auftragsverarbeiter – Einhaltung der Bedingungen der Abs. 2 und 4 (Genehmigung, Weiterreichung der Pflichten). e) Unterstützung bei Betroffenenrechten – Hilfe bei der Erfüllung von Anträgen nach Kapitel III (Art. 15–22, z. B. Auskunft, Löschung). f) Unterstützung bei Sicherheits- und Meldepflichten – Hilfe bei Art. 32–36 (Sicherheit, Datenpannenmeldung, DPIA). g) Löschung oder Rückgabe – nach Ende der Verarbeitung Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen. h) Nachweis und Audits – Bereitstellung aller Nachweise und Ermöglichung von Überprüfungen/Inspektionen; zugleich Hinweispflicht bei rechtswidrigen Weisungen.

Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und 4)

Ein Auftragsverarbeiter darf keinen weiteren Auftragsverarbeiter (Sub-AV) einschalten ohne vorherige schriftliche Genehmigung des Verantwortlichen. Zulässig ist entweder eine spezifische Genehmigung (für einen bestimmten Sub-AV) oder eine allgemeine Genehmigung; im Fall der allgemeinen Genehmigung muss der Auftragsverarbeiter Änderungen der Sub-AV vorab anzeigen und dem Verantwortlichen die Möglichkeit zum Einspruch geben (Art. 28 Abs. 2).

Beauftragt der Auftragsverarbeiter einen Sub-AV, muss er diesem dieselben Datenschutzpflichten auferlegen, die für ihn selbst gelten – insbesondere die Garantien nach Art. 32 (Art. 28 Abs. 4). Erfüllt der Sub-AV diese Pflichten nicht, haftet der ursprüngliche Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung durch den Sub-AV.

Standardvertragsklauseln und „Exzess" des Auftragsverarbeiters

Für den AVV können vorab genehmigte Standardvertragsklauseln (SCC) genutzt werden. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021 eigene Standardvertragsklauseln für das Verhältnis Verantwortlicher–Auftragsverarbeiter nach Art. 28 Abs. 3 und 4 erlassen. Werden diese Klauseln unverändert übernommen, gelten die Pflichtinhalte des Art. 28 als erfüllt (Art. 28 Abs. 6–8). Diese Art.-28-SCC sind zu unterscheiden von den SCC für Drittlandübermittlungen nach Art. 46 (Durchführungsbeschluss (EU) 2021/914) – beide wurden 2021 erlassen, verfolgen aber unterschiedliche Zwecke.

Wichtig: Verletzt ein Auftragsverarbeiter die Vorgaben und bestimmt er Zwecke und Mittel der Verarbeitung selbst, so gilt er in Bezug auf diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10) – mit allen Pflichten und dem vollen Haftungs- und Bußgeldrisiko eines Verantwortlichen.

Bußgelder und Haftung

Verstöße gegen Art. 28 – etwa ein fehlender oder unvollständiger AVV, die Einschaltung nicht genehmigter Sub-Auftragsverarbeiter oder unzureichende Garantien bei der Dienstleisterauswahl – fallen unter den niedrigeren Bußgeldrahmen des Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Mio. € oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Im Außenverhältnis gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach Art. 82 DSGVO auf Schadensersatz; der Auftragsverarbeiter haftet dabei für Schäden, die aus einer nicht DSGVO-konformen Verarbeitung oder aus dem Handeln entgegen rechtmäßiger Weisung entstehen. Für den Verantwortlichen ist zudem die Rechenschaftspflicht nach Art. 5 Abs. 2 zu beachten: Er muss die ordnungsgemäße Auswahl und vertragliche Bindung des Auftragsverarbeiters nachweisen können.

Häufige Fehler

Quellen

Änderungsverlauf

Stand