ARLing

AV-Vertrag Muster nach Artikel 28 DSGVO: Pflichtinhalt und Vorlage

ARLing s. r. o. · 10. September 2026

Sobald ein Unternehmen einen externen Dienstleister mit der Verarbeitung personenbezogener Daten betraut, taucht früher oder später die Frage nach einem AV-Vertrag Muster auf. Gemeint ist die schriftliche Vereinbarung, die ein Unternehmen mit jedem Auftragsverarbeiter schließen muss, sobald dieser nach seinen Weisungen handelt, etwa ein Hosting-Anbieter, eine Buchhaltungsfirma, ein Lohnbüro oder ein Softwareanbieter mit Zugriff auf Kundendaten. Eine fertige Vorlage zeigt genau die Punkte, die Artikel 28 Absatz 3 DSGVO als Mindestinhalt für eine solche Vereinbarung vorschreibt. Dieser Text erklärt, wann ein AV-Vertrag wirklich nötig ist, was dabei laut Artikel 28 Absatz 3 DSGVO mindestens geregelt sein muss, welche weiteren Dokumente das ARLing-Paket neben dem AV-Vertrag enthält, und wo Sie eine ausfüllbare Vorlage finden, die direkt im Browser aus den Angaben zu Ihrem Unternehmen entsteht, ohne dass etwas an einen Server geschickt wird.

Wann ein AV-Vertrag nötig ist

Ein AV-Vertrag wird immer dann zur Pflicht, wenn ein Unternehmen die Verarbeitung personenbezogener Daten an einen externen Dienstleister überträgt und dieser dabei nach den Weisungen des Unternehmens handelt, statt selbst über Zweck und Mittel der Verarbeitung zu entscheiden; entscheidet der Dienstleister dagegen selbst über Zweck und Mittel und tritt dabei als eigenständiger Verantwortlicher auf, fällt er nicht unter diese Vertragspflicht.

Typische Beispiele sind ein Hosting-Anbieter, der Kundendaten auf seinen Servern speichert, eine externe Buchhaltung, die Rechnungsdaten verarbeitet, ein Lohnbüro mit Zugriff auf Gehaltsdaten der Mitarbeiter oder ein Softwareanbieter, dessen Programm personenbezogene Daten des Unternehmens verarbeitet.

Mindestinhalt nach Artikel 28 Absatz 3

Artikel 28 Absatz 3 DSGVO legt fest, was ein AV-Vertrag mindestens enthalten muss: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Dazu kommt die Verpflichtung des Auftragsverarbeiters, Daten nur auf dokumentierte Weisung zu verarbeiten, die zugriffsberechtigten Personen zur Vertraulichkeit zu verpflichten, Maßnahmen nach Artikel 32 DSGVO zu ergreifen, einen weiteren Auftragsverarbeiter nur mit vorheriger Zustimmung einzubinden, bei Anfragen betroffener Personen und bei den Pflichten nach Artikel 32 bis 36 DSGVO zu unterstützen, die Daten nach Ende der Verarbeitung zu löschen oder zurückzugeben und dem Verantwortlichen Kontrollen zu ermöglichen.

Inhalt des ARLing-Pakets

Der ARLing DSGVO-Generator setzt Dokumente direkt im Browser aus einem Formular über Ihr Unternehmen zusammen: Nichts aus dem Formular wird an einen Server geschickt, es entsteht kein Konto, und ARLing speichert die Angaben nicht, nur der Browser der Nutzerin oder des Nutzers tut das.

Die Vorlage für den AV-Vertrag ist Teil dieses Pakets von bis zu zehn Dokumenten: Neben dem AV-Vertrag enthält es unter anderem die Datenschutzerklärung, die Cookie-Richtlinie samt Text für den Cookie-Banner, das Verzeichnis der Verarbeitungstätigkeiten, Einwilligungstexte, eine Mitarbeiterinformation, eine interne Richtlinie, das Vorgehen bei einer Datenschutzverletzung und das Verfahren für Anfragen betroffener Personen; Dokumente für Mitarbeiter und Kamerasysteme kommen nur hinzu, wenn das Unternehmen sie im Formular auswählt.

Preis und Haftungshinweis

Die Datenschutzerklärung allein erstellt der Generator kostenlos; das vollständige Paket mit bis zu zehn Dokumenten, einschließlich des AV-Vertrags, kostet einmalig 39 € inklusive Mehrwertsteuer und wird per Karte über Stripe bezahlt.

Die Vorlage ist ein allgemeines Muster, das mit den Angaben Ihres Unternehmens gefüllt wird, keine Rechtsberatung; für eine Geldbuße durch die Aufsichtsbehörde haftet der Verantwortliche, nicht die Autor des Musters, weshalb Sie den AV-Vertrag vor dem Einsatz lesen und so anpassen sollten, dass er wirklich zu dem passt, was in Ihrem Unternehmen tatsächlich geschieht.

Häufig gestellte Fragen

Braucht jeder Dienstleister eine eigene Vereinbarung, oder reicht ein AV-Vertrag für mehrere Anbieter zusammen?

Handelt es sich um mehrere unabhängige Dienstleister, zum Beispiel Hosting, Buchhaltung und Lohnbüro, braucht jeder von ihnen eine eigene schriftliche Vereinbarung, weil jeder für sich nach Weisung des Unternehmens handelt.

Reicht eine einfache Vertraulichkeitserklärung des Dienstleisters anstelle eines vollständigen AV-Vertrags?

Nein, eine reine Vertraulichkeitserklärung deckt nicht, was Artikel 28 Absatz 3 DSGVO verlangt: Neben der Verschwiegenheit der zugriffsberechtigten Personen müssen auch Gegenstand, Dauer und Zweck der Verarbeitung, die Sicherheitsmaßnahmen, die Unterstützung bei Anfragen betroffener Personen und die Löschung der Daten nach Vertragsende ausdrücklich geregelt sein.

Wer haftet, wenn im ausgefüllten AV-Vertrag ein Fehler steckt oder er nicht zur tatsächlichen Zusammenarbeit passt?

Für eine Geldbuße durch die Aufsichtsbehörde haftet der Verantwortliche selbst, nicht die Autor der Vorlage; deshalb sollten Sie den ausgefüllten AV-Vertrag vor dem Einsatz lesen und so anpassen, dass er wirklich zu dem passt, was in Ihrem Unternehmen tatsächlich geschieht.

Fazit

Die Vorlage für den AV-Vertrag füllen Sie zusammen mit dem übrigen Paket auf der Seite für DSGVO-Dokumente aus; die Datenschutzerklärung allein ist kostenlos, das vollständige Paket mit dem AV-Vertrag kostet einmalig 39 € inklusive Mehrwertsteuer.

Quellen. Die Fakten in diesem Text sind nach unserer internen Faktenliste nummeriert und zum Veröffentlichungsdatum geprüft. ARLing ist keine Bank; ein sauberes Prüfergebnis ist keine Garantie, dass die Bank die Zahlung annimmt. Sollte sich eine Quelle inzwischen geändert haben, schreiben Sie an andrej@arling.sk, wir korrigieren diese Seite.