# AVV nach Art. 28 DSGVO für kleine Unternehmen | Illia BizTech > Wann ein Auftragsverarbeitungsvertrag nötig ist, was darin stehen muss, wie Dienste außerhalb der EU zu behandeln sind und wer haftet. Source: https://illia-biztech.de/de/blog/avv-mit-dienstleistern 1. [Startseite](/de) 2. [Materialien](/de/blog) 3. Auftragsverarbeitungsvertrag mit Dienstleistern ![Nahaufnahme einer Vertragsunterschrift mit Stift auf dem Tisch](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_avv_mit_dienstleistern_cecf61d64e.png) ![Porträt von Illia Belichenko, technischer Spezialist bei Illia BizTech](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/small_Illia_Belichenko_author_81f88864f0.png) Von: Illia Belichenko August 6, 2026 # Auftragsverarbeitungsvertrag mit Dienstleistern Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten nicht für sich selbst, sondern nach Weisung eines Unternehmens verarbeitet, und fast jede Nutzung eines Cloud-Dienstes, eines Newsletter-Tools, eines CRM oder eines Hosting-Anbieters fällt unter diese Definition, weshalb ein Auftragsverarbeitungsvertrag fast immer nötig ist. Mit Hosting, Newsletter-Versand, CRM und einer Agentur mit Zugriff auf Kundendaten ist ein Vertrag praktisch ausnahmslos erforderlich, weil all diese technisch mit personenbezogenen Daten in Berührung kommen, auch wenn sie nicht entscheiden, wozu die Daten überhaupt erhoben werden. Kein Vertrag ist nötig, wo ein Dienstleister selbst über Zwecke und Mittel der Verarbeitung entscheidet und als eigenständiger oder gemeinsamer Verantwortlicher handelt statt weisungsgebunden auszuführen. Eine Steuerberaterin, die die Buchhaltung nach eigenen berufsrechtlichen Regeln führt, fällt meist in diese Kategorie und nicht in die des Auftragsverarbeiters. Gegenüber der Website-Besucherin haftet das Unternehmen, nicht der Dienstleister, selbst wenn ein Datenleck beim Hosting oder beim CRM entsteht. Der Auftragsverarbeitungsvertrag verteilt die Verantwortung zwischen Unternehmen und Dienstleister untereinander, entbindet das Unternehmen aber nicht davon, gegenüber der betroffenen Person geradezustehen. [Artikel 28 Absatz 3 DSGVO](https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=celex:32016R0679) verlangt, dass der Vertrag Gegenstand und Dauer der Verarbeitung festhält, ihre Art und ihren Zweck, die Art der Daten und die Kategorien der betroffenen Personen, die Pflichten des Dienstleisters gegenüber den Weisungen des Unternehmens, die Bedingungen für die Einbindung von Subunternehmern, das Vorgehen beim Löschen oder Zurückgeben der Daten nach Vertragsende und das Recht des Unternehmens, die tatsächliche Verarbeitung beim Dienstleister zu prüfen. Übermittelt der Dienstleister Daten außerhalb der Europäischen Union, braucht es im Vertrag oder in einer Anlage dazu eigene Übermittlungsgarantien, meist EU-Standardvertragsklauseln, und nicht nur den Hinweis, dass der Dienst in einem anderen Land sitzt. In einem bereits unterschriebenen Vertrag lohnt sich die Prüfung von drei Dingen. Stehen dort konkrete Kategorien von Daten und Personen statt einer allgemeinen Formulierung wie personenbezogene Kundendaten. Gibt es ein Prüfrecht des Unternehmens statt nur einer eigenen Zusicherung des Dienstleisters. Und ist beschrieben, was mit den Daten nach Vertragsende passiert. Ein fehlender oder unvollständiger Auftragsverarbeitungsvertrag taucht in mehr als einem Drittel der deutschen DSGVO-Bußgelder als wesentlicher Sanktionsgrund auf, und die Höchststrafe nach dieser Vorschrift liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Gute Praxis von Seiten des Dienstleisters sieht schlicht aus. Der Auftragsverarbeitungsvertrag wird von sich aus angeboten, ohne dass der Kunde daran erinnern muss, enthält konkrete Formulierungen statt allgemeiner Floskeln und braucht keine gesonderte Verhandlung jedes Mal, wenn der Kunde danach fragt. **Teilen** [ ![Ein Content-Plan und Entwürfe für Beiträge liegen auf dem Schreibtisch](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_monthly_content_plan_e5cb6daa31.png) Vorheriger Beitrag Einen Monats-Contentplan erstellen, ohne wegen der Menge zu posten](/de/blog/monthly-content-plan) [ ![Ein Kontaktformular ist auf dem Laptop-Bildschirm auf einem Schreibtisch mit Pflanze geöffnet](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_kontaktformular_dsgvo_ed5ebef426.png) Nächster Beitrag Kontaktformular DSGVO-konform aufbauen](/de/blog/kontaktformular-dsgvo) ![Porträt von Illia Belichenko, technischer Spezialist bei Illia BizTech](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/small_Illia_Belichenko_author_81f88864f0.png) ##### Illia Belichenko Illia verantwortet den technischen Teil von Illia BizTech: Entwicklung und Weiterentwicklung von Websites, Formulare, Integrationen, Automatisierungen und technischen Support. Er arbeitet daran, dass Website, Content, Werbung und interne Abläufe sinnvoll miteinander verbunden sind und keine unnötige manuelle Arbeit erzeugen. ##### Neueste Beiträge [![Eine Editorin arbeitet an einem Schnittprogramm mit KI-Funktionen am Bildschirm](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_ki_tools_videoschnitt_vor_und_nachteile_f3a71162be.png)](/de/blog/ki-tools-videoschnitt-vor-und-nachteile) #### [Was KI-Werkzeuge im Videoschnitt wirklich können, und was nicht](/de/blog/ki-tools-videoschnitt-vor-und-nachteile) October 16, 2026 [](/de/blog/ki-tools-videoschnitt-vor-und-nachteile) [![Eine Editorin prüft am Monitor eine fehlerhafte Aufnahme vor der Entscheidung über einen Nachdreh](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_content_nachdrehen_oder_um_fehler_schneiden_f8735cb368.png)](/de/blog/content-nachdrehen-oder-um-fehler-schneiden) #### [Wann sich ein Nachdreh lohnt und wann der Schnitt den Fehler rettet](/de/blog/content-nachdrehen-oder-um-fehler-schneiden) October 15, 2026 [](/de/blog/content-nachdrehen-oder-um-fehler-schneiden) [![Eine Person wählt am Laptop das Cover-Bild für ein Video aus](/_ipx/f_webp,q_75/https://cms.illia-biztech.de/uploads/medium_thumbnail_vorschaubild_video_wirkung_a1fe6c0cd9.png)](/de/blog/thumbnail-vorschaubild-video-wirkung) #### [Warum das Video-Cover entscheidet, ob jemand klickt](/de/blog/thumbnail-vorschaubild-video-wirkung) October 14, 2026 [](/de/blog/thumbnail-vorschaubild-video-wirkung) Ein Auftragsverarbeitungsvertrag wird mit jedem Dienstleister gebraucht, bei dem die Website Besucherdaten speichert oder verarbeitet, einschließlich Hosting und Newsletter-Versand. Illia BizTech klärt mit der Kundschaft frühzeitig, welche Dienstleister der Website unter diese Pflicht fallen, statt die Frage nach dem AVV erst dann zu stellen, wenn eine Aufsichtsbehörde danach fragt. Illia BizTech erstellt und betreut Websites von Unternehmen in Deutschland auf Deutsch, Englisch, Russisch und Ukrainisch, von der ersten Version bis zur laufenden Pflege und der Arbeit an der Sichtbarkeit in Suchmaschinen. Ein monatlicher Tarif deckt Website, Werbung und Inhalte ab, der Umfang wird im Voraus abgestimmt und lässt sich zwischen den Bereichen verschieben, wenn sich die Prioritäten ändern. Domain, Hosting und Werbekonten bleiben auf das Unternehmen eingetragen, sodass die Arbeit auf dem bestehenden System fortgesetzt werden kann. Das passt besonders zu Unternehmen, die nach Deutschland ziehen oder den deutschsprachigen Markt erschließen wollen und ihre Aufgabe einmal erklären möchten.