Auftragsverarbeitungs-Verträge (AVV) nach Art. 28 DSGVO sind 2026 Pflicht — bei jedem Cloud-Anbieter, jedem Tool, jedem externen Dienstleister, der personenbezogene Daten verarbeitet. KMU haben oft 10-30 AVVs zu verwalten und übersehen häufig wichtige Klauseln. Diese 17-Punkte-Checkliste für AVV-KMU deckt alle Pflicht-Inhalte und Best-Practice-Klauseln ab — mit konkreter Implementierungs-Anleitung. Für AVV-Management-Plattform lohnt der Blick auf Hugo DSB mit AVV-Management.
AVV-Pflicht
Bei jedem Auftragsverarbeiter Pflicht nach Art. 28 DSGVO.
KMU-Realität
10-30 AVVs pro KMU sind 2026 Standard.
Bußgeld
Bei fehlendem AVV bis 4 % Jahresumsatz.
Subprozessoren
Subprozessoren-Liste mit Updates muss verwaltet werden.
Die 17-Punkte-AVV-Checkliste 2026
Block 1: Pflicht-Inhalte nach Art. 28 Abs. 3 DSGVO
- Gegenstand und Dauer der Verarbeitung definiert
- Art und Zweck der Verarbeitung beschrieben
- Art der personenbezogenen Daten spezifiziert (z.B. Name, E-Mail, Adresse)
- Kategorien betroffener Personen benannt (Kunden, Mitarbeiter, Lieferanten)
- Rechte und Pflichten des Verantwortlichen klar geregelt
Block 2: Pflicht-Klauseln nach Art. 28 Abs. 3 DSGVO
- Weisungs-Bindung: Auftragsverarbeiter folgt nur dokumentierten Weisungen
- Verschwiegenheit: Personal-Verpflichtung zur Vertraulichkeit
- TOMs: Technische und organisatorische Maßnahmen nach Art. 32
- Subprozessoren-Regel: Vorherige Zustimmung oder allgemeine Genehmigung
- Unterstützungs-Pflicht: Bei DSAR, Datenpannen, DSFA
- Daten-Löschung/Rückgabe: Bei Vertragsende
- Audit-Rechte: Inspektion durch Verantwortlichen ermöglichen
Block 3: Best-Practice-Klauseln (über DSGVO-Pflicht hinaus)
- Drittlands-Transfer-Regelung mit SCC und TIA falls Drittland-Subprozessoren
- Datenpannen-Meldepflicht binnen 24 Stunden vom Auftragsverarbeiter
- Haftung und Versicherungs-Deckung klar geregelt
- Daten-Export-Format bei Vertragsende (PDF + CSV/JSON)
- Vertraulichkeit der Subprozessoren-Liste mit Aktualisierungs-Pflicht
Was ein guter AVV-Muster-Vertrag 2026 enthält
| Bereich | Inhalt |
|---|---|
| Präambel | Parteien, Gegenstand, Zweck |
| Gegenstand der Verarbeitung | Was wird verarbeitet, welche Daten |
| Pflichten des Verantwortlichen | Weisungen, Anfragen, Audits |
| Pflichten des Auftragsverarbeiters | TOMs, Verschwiegenheit, Unterstützung |
| Subprozessoren | Liste, Genehmigung, Updates |
| Drittlands-Transfer | SCC, TIA, EU-US Data Privacy Framework |
| Datenpannen | 24-h-Meldepflicht intern |
| Audit-Rechte | Inspektion, Zertifikate, Audit-Berichte |
| Daten-Löschung/Rückgabe | Format, Frist, Bestätigung |
| Haftung | Versicherungs-Deckung, Schadensersatz |
| Schlussbestimmungen | Salvatorische Klausel, Recht, Gerichtsstand |
Wichtig: Cloud-Anbieter (Microsoft, AWS, Google, Hetzner) stellen Standard-AVVs zur Verfügung. Diese sollten Sie nicht blind unterschreiben — prüfen Sie die Subprozessor-Liste, Drittlands-Transfer-Klauseln und Audit-Rechte. Ein DSB kann den Standard-AVV in 1-2 Stunden auditieren.
„AVVs sind 2026 das vergessene DSGVO-Thema bei vielen KMU. Wir sehen monatlich Hamburger Mittelständler mit 15-30 Cloud-Tools, aber nur 5-8 abgeschlossenen AVVs. Eine strukturierte AVV-Verwaltung mit Plattform-Inventar schützt vor Bußgeldern und vereinfacht Audit-Vorbereitung.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — AVV-Checkliste KMU
Bei welchen Dienstleistern brauche ich einen AVV?
Bei jedem, der personenbezogene Daten in Ihrem Auftrag verarbeitet: Cloud-Hosting, Mail-Versand, CRM, Newsletter-Tools, Buchhaltungs-Software, Steuerberater, externe IT-Dienstleister.
Reicht der Standard-AVV des Cloud-Anbieters?
Meist als Basis ja, sollte aber geprüft werden. Subprozessor-Liste, Drittlands-Transfer-Klauseln, Audit-Rechte sind die häufigsten Stolperfallen.
Was kostet AVV-Management für KMU?
Plattform-basiert 49-149 €/Monat als Add-on oder im DSB-Tarif enthalten. Manuell mit Excel-Listen unwirtschaftlich ab 10+ AVVs.
Wie oft müssen AVVs aktualisiert werden?
Bei Änderungen am Auftragsverarbeiter, an Subprozessoren, an Drittlands-Transfer, an TOMs. Mindestens jährlicher Review empfohlen.
Was passiert bei fehlendem AVV?
Bußgeld bis 4 % Jahresumsatz, plus Haftungs-Risiken bei Datenpannen. Wettbewerber-Abmahnungen nach UWG möglich.
Wer prüft AVVs am besten?
Externer DSB mit AVV-Tiefe — typisch 1-2 Stunden pro Standard-AVV. Plattformen wie Hugo DSB liefern automatisierte AVV-Compliance-Checks.
Fazit: AVV-Management ist 2026 strukturelle KMU-Aufgabe
17-Punkte-Checkliste deckt Pflicht-Inhalte und Best-Practice-Klauseln ab. KMU haben 2026 typisch 10-30 AVVs zu verwalten — manuelle Verwaltung scheitert ab 10+. Plattform-basiertes AVV-Management ist wirtschaftlich und compliance-sicher. Lohnt der Blick auf Hugo DSB mit AVV-Management für automatisierte AVV-Compliance-Checks und Subprozessor-Inventar.
