--- title: DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder seo_title: DSGVO Art. 28 – Auftragsverarbeitung : Pflichtinhalte… slug: dsgvo-auftragsverarbeitung-art-28 en_version: https://nexvyra.de/en/fakten/gdpr-art-28-data-processing-agreement.html topic: datenschutz legal_status: in_force authority_level: A valid_from: 2018-05-25 valid_to: null last_reviewed: 2026-07-21 status: in Kraft license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28.md wikidata_subjects: [Q1172506, Q1172074] factcheck_status: ok --- # DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter & Bußgelder ## Kurzantwort Immer wenn ein Unternehmen personenbezogene Daten **nicht selbst**, sondern durch einen **externen Dienstleister** verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine **Auftragsverarbeitung** im Sinne von **Art. 28 der Datenschutz-Grundverordnung (VO (EU) 2016/679, DSGVO)** vor. Der Auftraggeber bleibt **„Verantwortlicher"** (Art. 4 Nr. 7 DSGVO), der Dienstleister ist **„Auftragsverarbeiter"** (Art. 4 Nr. 8 DSGVO). Nach **Art. 28 Abs. 3 DSGVO** muss die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines **Vertrags oder eines anderen Rechtsinstruments** erfolgen – dem **Auftragsverarbeitungsvertrag (AVV)**, auch „Data Processing Agreement" (DPA) genannt. Dieser Vertrag ist **gesetzlich vorgeschrieben** und muss **schriftlich**, auch in **elektronischem Format**, geschlossen werden. Fehlt der AVV oder ist er unvollständig, ist die Verarbeitung **rechtswidrig** – und zwar für **beide** Seiten. Die DSGVO gilt als **EU-Verordnung unmittelbar** in Deutschland; ein nationales Umsetzungsgesetz ist **nicht** erforderlich. Verstöße gegen Art. 28 werden nach **Art. 83 Abs. 4 lit. a DSGVO** mit Geldbußen von bis zu **10 Mio. €** oder **2 % des weltweiten Jahresumsatzes** (je nachdem, welcher Betrag höher ist) geahndet. ## Kernfakten | Punkt | Wert | |---|---| | EU-Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), **Art. 28** [EUR-Lex, CELEX:32016R0679] | | Rechtsnatur | **EU-Verordnung → unmittelbar anwendbar** in Deutschland (kein Umsetzungsgesetz nötig) | | Geltung seit | **25. Mai 2018** (Art. 99 Abs. 2 DSGVO) | | Kernpflicht | schriftlicher **Auftragsverarbeitungsvertrag (AVV/DPA)** vor Beginn der Verarbeitung (Art. 28 Abs. 3) | | Form | **schriftlich**, ausdrücklich auch **elektronisches Format** zulässig (Art. 28 Abs. 9) | | Rollen | **Verantwortlicher** (Art. 4 Nr. 7) beauftragt **Auftragsverarbeiter** (Art. 4 Nr. 8) | | Pflicht-Inhalte AVV | Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1) | | 8 Mindestklauseln | Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h) | | Auswahlpflicht | nur Auftragsverarbeiter mit **hinreichenden Garantien** für DSGVO-konforme Verarbeitung (Art. 28 Abs. 1) | | Sub-Auftragsverarbeiter | nur mit **vorheriger schriftlicher Genehmigung** des Verantwortlichen (spezifisch oder allgemein), Art. 28 Abs. 2 | | Weiterreichung an Sub-AV | Sub-AV muss **dieselben Datenschutzpflichten** auferlegt bekommen (Art. 28 Abs. 4) | | Hinweispflicht | Auftragsverarbeiter muss melden, wenn eine Weisung **gegen die DSGVO verstößt** (Art. 28 Abs. 3 Satz 2 lit. h a. E.) | | „Exzess"-Folge | Überschreitet der AV die Weisungen und bestimmt Zwecke/Mittel selbst, gilt er **für diese Verarbeitung als Verantwortlicher** (Art. 28 Abs. 10) | | Standardvertragsklauseln | vorab genehmigte SCC der EU-Kommission: **Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021** | | Bußgeldrahmen | bis **10 Mio. €** oder **2 %** des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a) | | Auslegungshilfe | **EDSA/EDPB-Leitlinien 07/2020** zu „Verantwortlicher" und „Auftragsverarbeiter" (final 2021) | | Betroffener Nutzerkreis | **alle Unternehmen, Vereine, Behörden**, die Datenverarbeitung auslagern (Cloud, IT, Marketing, Payroll, Hosting) – und deren Dienstleister | ## Geltungsbereich Art. 28 DSGVO greift, sobald ein **Verantwortlicher** einen externen Dienstleister **weisungsgebunden** personenbezogene Daten verarbeiten lässt. Typische Fälle sind **Cloud- und Hosting-Anbieter**, **Rechenzentren**, **Software-as-a-Service (SaaS)**, **Newsletter- und E-Mail-Dienste**, **Lohn- und Gehaltsabrechnung**, **externe IT-Wartung und Fernwartung**, **Webanalyse-Dienstleister**, **Callcenter** sowie **Akten- und Datenträgervernichter**. Entscheidend ist, dass der Dienstleister **keine eigene Entscheidungsmacht über Zwecke und wesentliche Mittel** der Verarbeitung hat – diese liegen beim Verantwortlichen. Kein Fall der Auftragsverarbeitung – und damit **kein** AVV nach Art. 28 – liegt vor, wenn ein Dienstleister die Daten **eigenverantwortlich zu eigenen Zwecken** verarbeitet (z. B. Steuerberater, Rechtsanwälte, Banken, Postdienste im Rahmen ihrer gesetzlichen Aufgaben). Nach den **EDSA-Leitlinien 07/2020** richtet sich die Einordnung **funktional und faktisch** nach der tatsächlichen Entscheidungsmacht, **nicht** nach der Bezeichnung im Vertrag: Eine Partei wird nicht schon dadurch zum Auftragsverarbeiter, dass ein Vertrag sie so nennt, wenn sie in Wahrheit selbst über die Zwecke der Verarbeitung entscheidet. Da die **DSGVO als Verordnung unmittelbar** gilt, ist Art. 28 in Deutschland **ohne Umsetzungsgesetz** anwendbar. Ergänzende nationale Regelungen bestehen für **öffentliche Stellen** (z. B. § 62 BDSG), verdrängen die unmittelbar geltenden Vorgaben des Art. 28 aber nicht. ## Die acht Mindestklauseln des AVV (Art. 28 Abs. 3 lit. a–h) Der Auftragsverarbeitungsvertrag muss den Auftragsverarbeiter **mindestens** zu folgenden acht Punkten verpflichten: **a) Weisungsbindung** – Verarbeitung nur auf **dokumentierte Weisung** des Verantwortlichen, auch bei Drittlandübermittlungen. **b) Vertraulichkeit** – zur Vertraulichkeit verpflichtete oder gesetzlich verpflichtete Personen. **c) Datensicherheit** – Umsetzung aller nach **Art. 32 DSGVO** erforderlichen technischen und organisatorischen Maßnahmen. **d) Sub-Auftragsverarbeiter** – Einhaltung der Bedingungen der Abs. 2 und 4 (Genehmigung, Weiterreichung der Pflichten). **e) Unterstützung bei Betroffenenrechten** – Hilfe bei der Erfüllung von Anträgen nach Kapitel III (Art. 15–22, z. B. Auskunft, Löschung). **f) Unterstützung bei Sicherheits- und Meldepflichten** – Hilfe bei Art. 32–36 (Sicherheit, Datenpannenmeldung, DPIA). **g) Löschung oder Rückgabe** – nach Ende der Verarbeitung Löschung oder Rückgabe aller Daten nach Wahl des Verantwortlichen. **h) Nachweis und Audits** – Bereitstellung aller Nachweise und Ermöglichung von Überprüfungen/Inspektionen; zugleich Hinweispflicht bei rechtswidrigen Weisungen. ## Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und 4) Ein Auftragsverarbeiter darf **keinen weiteren Auftragsverarbeiter** (Sub-AV) einschalten **ohne vorherige schriftliche Genehmigung** des Verantwortlichen. Zulässig ist entweder eine **spezifische** Genehmigung (für einen bestimmten Sub-AV) oder eine **allgemeine** Genehmigung; im Fall der allgemeinen Genehmigung muss der Auftragsverarbeiter **Änderungen der Sub-AV vorab anzeigen** und dem Verantwortlichen die Möglichkeit zum **Einspruch** geben (Art. 28 Abs. 2). Beauftragt der Auftragsverarbeiter einen Sub-AV, muss er diesem **dieselben Datenschutzpflichten** auferlegen, die für ihn selbst gelten – insbesondere die Garantien nach Art. 32 (Art. 28 Abs. 4). Erfüllt der Sub-AV diese Pflichten nicht, **haftet der ursprüngliche Auftragsverarbeiter** gegenüber dem Verantwortlichen für die Einhaltung durch den Sub-AV. ## Standardvertragsklauseln und „Exzess" des Auftragsverarbeiters Für den AVV können **vorab genehmigte Standardvertragsklauseln (SCC)** genutzt werden. Die EU-Kommission hat mit dem **Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021** eigene Standardvertragsklauseln **für das Verhältnis Verantwortlicher–Auftragsverarbeiter nach Art. 28 Abs. 3 und 4** erlassen. Werden diese Klauseln **unverändert** übernommen, gelten die Pflichtinhalte des Art. 28 als erfüllt (Art. 28 Abs. 6–8). Diese Art.-28-SCC sind zu **unterscheiden** von den SCC für **Drittlandübermittlungen** nach Art. 46 (Durchführungsbeschluss (EU) 2021/914) – beide wurden 2021 erlassen, verfolgen aber unterschiedliche Zwecke. **Wichtig:** Verletzt ein Auftragsverarbeiter die Vorgaben und bestimmt er **Zwecke und Mittel** der Verarbeitung **selbst**, so gilt er in Bezug auf diese Verarbeitung **als Verantwortlicher** (Art. 28 Abs. 10) – mit allen Pflichten und dem vollen Haftungs- und Bußgeldrisiko eines Verantwortlichen. ## Bußgelder und Haftung Verstöße gegen Art. 28 – etwa ein **fehlender oder unvollständiger AVV**, die Einschaltung nicht genehmigter Sub-Auftragsverarbeiter oder unzureichende Garantien bei der Dienstleisterauswahl – fallen unter den **niedrigeren** Bußgeldrahmen des **Art. 83 Abs. 4 lit. a DSGVO**: bis zu **10 Mio. €** oder **2 % des gesamten weltweit erzielten Jahresumsatzes** des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag **höher** ist. Im Außenverhältnis gegenüber betroffenen Personen haften Verantwortlicher und Auftragsverarbeiter nach **Art. 82 DSGVO** auf **Schadensersatz**; der Auftragsverarbeiter haftet dabei für Schäden, die aus einer nicht DSGVO-konformen Verarbeitung oder aus dem **Handeln entgegen rechtmäßiger Weisung** entstehen. Für den Verantwortlichen ist zudem die **Rechenschaftspflicht** nach Art. 5 Abs. 2 zu beachten: Er muss die ordnungsgemäße Auswahl und vertragliche Bindung des Auftragsverarbeiters **nachweisen** können. ## Häufige Fehler - **Kein AVV geschlossen:** Wird ein Cloud-, Hosting- oder Marketing-Dienstleister ohne AVV eingesetzt, ist die Verarbeitung von Anfang an **rechtswidrig** – der AVV muss **vor** Verarbeitungsbeginn vorliegen (Art. 28 Abs. 3). - **Auftragsverarbeitung mit eigener Verantwortlichkeit verwechseln:** Steuerberater, Rechtsanwälte oder Banken sind i. d. R. **keine** Auftragsverarbeiter, sondern eigene Verantwortliche – ein AVV wäre hier falsch. Maßgeblich ist die tatsächliche Entscheidungsmacht (EDSA-Leitlinien 07/2020), nicht die Vertragsbezeichnung. - **Sub-Auftragsverarbeiter ohne Genehmigung:** Der Auftragsverarbeiter darf Sub-AV (z. B. Unter-Hosting, Support-Dienstleister) nur mit **vorheriger Genehmigung** einschalten und muss Wechsel bei allgemeiner Genehmigung **anzeigen** (Art. 28 Abs. 2). - **AVV als reine Formsache behandeln:** Der Vertrag muss die **acht Mindestklauseln** (lit. a–h) tatsächlich abbilden; Textbausteine ohne konkrete TOM (Art. 32) und ohne klare Weisungs- und Löschregelungen sind unzureichend. - **Drittland-SCC mit Art.-28-SCC verwechseln:** Der **Durchführungsbeschluss (EU) 2021/915** regelt das **AVV-Verhältnis**; für **Drittlandübermittlungen** gelten die separaten SCC nach **Durchführungsbeschluss (EU) 2021/914** – beide sind zusätzlich, nicht ersetzend. - **„EU-Verordnung braucht Umsetzung":** Die DSGVO gilt **unmittelbar**; maßgeblich sind die Artikel der Verordnung selbst, nicht ein deutsches Umsetzungsgesetz. - **Auswahlpflicht übersehen:** Der Verantwortliche darf nur Auftragsverarbeiter beauftragen, die **hinreichende Garantien** bieten (Art. 28 Abs. 1) – die Auswahl ist zu dokumentieren (Rechenschaftspflicht, Art. 5 Abs. 2). ## Quellen - Verordnung (EU) 2016/679 (DSGVO), **Art. 28 (Auftragsverarbeiter)** – Volltext (EUR-Lex, DE): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - DSGVO Art. 28 – konsolidierte Fassung mit Erwägungsgründen (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504 - Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern (EUR-Lex, DE): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915 - Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter" (finale Fassung, DE): https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf - Europäische Kommission – Standardvertragsklauseln für die Auftragsverarbeitung (Übersicht): https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de - § 62 BDSG (Verarbeitung im Auftrag, öffentliche Stellen) – amtlicher Text (gesetze-im-internet.de): https://www.gesetze-im-internet.de/bdsg_2018/__62.html ## Änderungsverlauf - 2026-07-21: Erstveröffentlichung der Faktenseite. EU-Rechtsakt Verordnung (EU) 2016/679, **Art. 28** (Geltung ab 25.05.2018) gegen EUR-Lex gegengeprüft; Standardvertragsklauseln nach **Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021** und EDSA-Leitlinien 07/2020 verifiziert. Kernpunkte: AVV-Pflicht und Form (Art. 28 Abs. 3, 9), acht Mindestklauseln (lit. a–h), Sub-Auftragsverarbeiter (Abs. 2, 4), Verantwortlichkeit bei Weisungsüberschreitung (Abs. 10), Bußgeldrahmen Art. 83 Abs. 4 lit. a (10 Mio. €/2 %). | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published" ## Stand - Stand: 2026-07-21 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO, Art. 99 Abs. 2) - Status: in Kraft (unmittelbar geltendes EU-Recht) - Quellenautorität: A (EUR-Lex, EU-Kommission, EDSA/EDPB, gesetze-im-internet.de) - Lizenz: CC BY 4.0