{
  "slug": "dsgvo-auftragsverarbeitung-art-28",
  "title": "DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder",
  "topic_area": "datenschutz",
  "topic_label": "Datenschutz",
  "language": "de",
  "legal_status": "in_force",
  "valid_from": "2018-05-25",
  "valid_to": null,
  "last_reviewed": "2026-07-21",
  "factcheck_status": "ok",
  "authority_level": "A",
  "license": "CC-BY-4.0",
  "license_url": "https://creativecommons.org/licenses/by/4.0/deed.de",
  "attribution": "Nexvyra (https://nexvyra.de, Wikidata Q139919900)",
  "wikidata_subjects": [
    "Q1172506",
    "Q1172074"
  ],
  "summary": "Immer wenn ein Unternehmen personenbezogene Daten **nicht selbst**, sondern durch einen **externen Dienstleister** verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung…",
  "urls": {
    "html": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.html",
    "markdown": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.md",
    "json": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.json"
  },
  "sources": [
    {
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "authority": "A"
    },
    {
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
      "authority": "A"
    },
    {
      "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915",
      "authority": "A"
    },
    {
      "url": "https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf",
      "authority": "C"
    },
    {
      "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de",
      "authority": "D"
    },
    {
      "url": "https://www.gesetze-im-internet.de/bdsg_2018/__62.html",
      "authority": "A"
    }
  ],
  "facts": [
    {
      "claim": "EU-Rechtsakt: Verordnung (EU) 2016/679 (DSGVO), Art. 28",
      "label": "EU-Rechtsakt",
      "value": "Verordnung (EU) 2016/679 (DSGVO), Art. 28",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "inline_source_label": "EUR-Lex, CELEX:32016R0679",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Rechtsnatur: EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
      "label": "Rechtsnatur",
      "value": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Geltung seit: 25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
      "label": "Geltung seit",
      "value": "25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Kernpflicht: schriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)",
      "label": "Kernpflicht",
      "value": "schriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Form: schriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)",
      "label": "Form",
      "value": "schriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Rollen: Verantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)",
      "label": "Rollen",
      "value": "Verantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Pflicht-Inhalte AVV: Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)",
      "label": "Pflicht-Inhalte AVV",
      "value": "Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "8 Mindestklauseln: Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)",
      "label": "8 Mindestklauseln",
      "value": "Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Auswahlpflicht: nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-konforme Verarbeitung (Art. 28 Abs. 1)",
      "label": "Auswahlpflicht",
      "value": "nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-konforme Verarbeitung (Art. 28 Abs. 1)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Sub-Auftragsverarbeiter: nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen (spezifisch oder allgemein), Art. 28 Abs. 2",
      "label": "Sub-Auftragsverarbeiter",
      "value": "nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen (spezifisch oder allgemein), Art. 28 Abs. 2",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Weiterreichung an Sub-AV: Sub-AV muss dieselben Datenschutzpflichten auferlegt bekommen (Art. 28 Abs. 4)",
      "label": "Weiterreichung an Sub-AV",
      "value": "Sub-AV muss dieselben Datenschutzpflichten auferlegt bekommen (Art. 28 Abs. 4)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Hinweispflicht: Auftragsverarbeiter muss melden, wenn eine Weisung gegen die DSGVO verstößt (Art. 28 Abs. 3 Satz 2 lit. h a. E.)",
      "label": "Hinweispflicht",
      "value": "Auftragsverarbeiter muss melden, wenn eine Weisung gegen die DSGVO verstößt (Art. 28 Abs. 3 Satz 2 lit. h a. E.)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "„Exzess\"-Folge: Überschreitet der AV die Weisungen und bestimmt Zwecke/Mittel selbst, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10)",
      "label": "„Exzess\"-Folge",
      "value": "Überschreitet der AV die Weisungen und bestimmt Zwecke/Mittel selbst, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Standardvertragsklauseln: vorab genehmigte SCC der EU-Kommission: Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021",
      "label": "Standardvertragsklauseln",
      "value": "vorab genehmigte SCC der EU-Kommission: Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Bußgeldrahmen: bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)",
      "label": "Bußgeldrahmen",
      "value": "bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Auslegungshilfe: EDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher\" und „Auftragsverarbeiter\" (final 2021)",
      "label": "Auslegungshilfe",
      "value": "EDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher\" und „Auftragsverarbeiter\" (final 2021)",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    },
    {
      "claim": "Betroffener Nutzerkreis: alle Unternehmen, Vereine, Behörden, die Datenverarbeitung auslagern (Cloud, IT, Marketing, Payroll, Hosting) – und deren Dienstleister",
      "label": "Betroffener Nutzerkreis",
      "value": "alle Unternehmen, Vereine, Behörden, die Datenverarbeitung auslagern (Cloud, IT, Marketing, Payroll, Hosting) – und deren Dienstleister",
      "source_url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
      "source_authority": "A",
      "confidence": "high",
      "last_verified": "2026-07-21"
    }
  ],
  "generated_at": "2026-09-04T17:31:50Z"
}