Auftragsverarbeitungs-Verträge (AVV) nach Art. 28 DSGVO sind 2026 für jeden Cloud-Anbieter Pflicht — Microsoft, AWS, Google, Hetzner, IONOS, alle anderen. Was viele KMU nicht wissen: Die Standard-AVVs der Cloud-Anbieter sind oft unzureichend für deutsche Compliance. Subprozessoren werden pauschal genehmigt, Drittlands-Transfer-Klauseln sind generisch, Audit-Rechte begrenzt. Dieser Guide zeigt die 7 Pflicht-Klauseln plus Mittelstand-Checkliste für AVV-Vorlage Cloud-Mittelstand 2026. Für strukturiertes Management lohnt der Blick auf AVV-Management mit Hugo DSB.
AVV-Pflicht
Bei jedem Cloud-Anbieter — Microsoft, AWS, Google, Hetzner.
KMU-Realität
10-30 AVVs pro KMU 2026 Standard — Verwaltung essenziell.
Standard-AVV
Oft unzureichend für deutsche Compliance — Anpassungen nötig.
Bußgeld
Bei fehlendem AVV bis 4 % Jahresumsatz.
Die 7 Pflicht-Klauseln in jedem Cloud-AVV 2026
- Gegenstand und Dauer: Was wird verarbeitet, wie lange — präzise definiert
- Art und Zweck: Welche Daten, für welchen Zweck
- Subprozessoren: Liste mit Aktualisierungs-Pflicht und Widerspruchs-Recht
- Drittlands-Transfer: SCC + TIA + EU-US Data Privacy Framework bei US-Anbietern
- TOMs: Technische und organisatorische Maßnahmen nach Art. 32
- Audit-Rechte: Inspektions-Möglichkeit oder gleichwertige Zertifizierungs-Berichte
- Daten-Löschung/Rückgabe: Bei Vertragsende mit dokumentiertem Verfahren
AVV-Spezifika für die wichtigsten Cloud-Anbieter
| Anbieter | AVV-Spezifik | Kritische Punkte |
|---|---|---|
| Microsoft | Online Services DPA + EU Data Boundary | Subprozessor-Liste komplex, alle 12 Monate Review |
| AWS | AWS Data Processing Addendum | US-Subprozessoren, SCC + TIA Pflicht |
| Google Cloud | Google Cloud DPA | Subprozessor-Liste umfangreich, Drittlands-Transfer komplex |
| Hetzner | Standard-AVV deutsch | Minimal-AVV, oft Ergänzungen nötig |
| IONOS | Standard-AVV deutsch | Mittelstands-tauglich, klare Strukturen |
| OpenAI | OpenAI DPA mit SCC | US-basiert, EU-Datenfluss prüfen |
Wichtig bei US-Cloud-Anbietern: EU-US Data Privacy Framework (DPF) ist seit Juli 2023 in Kraft. AWS, Microsoft, Google haben DPF-Anbindung. Trotzdem: TIA (Transfer Impact Assessment) je Verarbeitungs-Tätigkeit Pflicht — und Subprozessoren-Liste regelmäßig prüfen.
Die 8-Punkte-Mittelstand-Checkliste für Cloud-AVVs
- Cloud-Anbieter-Standard-AVV beschaffen und prüfen
- Subprozessor-Liste vollständig dokumentieren
- Drittlands-Transfer-Klauseln (SCC + TIA) ergänzen, falls fehlend
- Audit-Rechte explizit verankern (eigene Inspektion oder ISO 27001-Berichte)
- Daten-Export-Recht bei Vertragsende dokumentieren
- Datenpannen-Meldepflicht binnen 24 Stunden vom Cloud-Anbieter
- Haftung und Versicherungs-Deckung klären
- AVV-Inventar zentral pflegen (Plattform statt Excel)
„AVVs werden 2026 für KMU schnell zu Verwaltungs-Hölle. 10-30 AVVs pro 50-MA-KMU sind Standard. Excel-Listen funktionieren nicht — Plattform-Inventar mit Aktualisierungs-Workflow ist 2026 Pflicht. Hugo DSB liefert das integriert, plus Vorlagen-Bibliothek für die wichtigsten Cloud-Anbieter.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — AVV-Vorlage Cloud-Anbieter Mittelstand
Reicht der Standard-AVV des Cloud-Anbieters?
Meist als Basis ja, oft mit Ergänzungen. Subprozessor-Listen, Drittlands-Transfer-Klauseln, Audit-Rechte sind häufige Anpassungs-Punkte.
Brauche ich AVV mit OpenAI/ChatGPT?
Ja, wenn Sie personenbezogene Daten verarbeiten. OpenAI DPA mit SCC. Für DSGVO-konforme Nutzung Azure OpenAI Service mit EU Data Boundary bevorzugen.
Was kostet AVV-Management für KMU?
Plattform-basiert 49-149 €/Monat als Add-on oder in Hugo DSB-Tarifen enthalten. Manuell mit Excel ab 10+ AVVs unwirtschaftlich.
Wie oft AVVs aktualisieren?
Bei Änderungen am Auftragsverarbeiter, an Subprozessoren, an TOMs. Mindestens jährlicher Review empfohlen.
Was passiert bei fehlendem AVV?
Bußgeld bis 4 % Jahresumsatz, Haftungs-Risiken bei Datenpannen, UWG-Abmahnung möglich.
Können AVVs digital unterschrieben werden?
Ja. Cloud-Anbieter bieten oft Click-to-Accept im Admin-Center. Manuelle Unterschrift bei Custom-Anpassungen.
Fazit: AVV-Management 2026 ist Plattform-Pflicht für Mittelstand
Cloud-AVVs sind 2026 für KMU strukturell wichtig. 7 Pflicht-Klauseln plus Mittelstand-Checkliste schützen vor Bußgeldern. Plattform-Inventar statt Excel. Lohnt der Blick auf AVV-Management mit Hugo DSB.
