AVV-Generator
Auftragsverarbeitungsvertrag nach Art. 28 DSGVO — Formular ausfüllen, fertigen Entwurf als Word-Datei herunterladen.
Der Verantwortliche entscheidet, was mit den Daten passiert — meist dein Kunde. Der Auftragsverarbeiter führt aus, also in der Regel du.
Firma und Anschrift, wie sie im Handelsregister stehen.
Die Partei, die im Auftrag verarbeitet.
Wähle einen typischen Fall — Zweck, Datenarten und Betroffene werden passend vorbelegt. Alles bleibt danach änderbar.
Art. 28 Abs. 3 DSGVO: Gegenstand, Art und Zweck müssen im Vertrag stehen.
Art der Daten
Besondere Kategorien brauchen mehr als diesen Vertrag. Gesundheits-, Biometrie- oder Gewerkschaftsdaten unterliegen Art. 9 DSGVO. Hier reicht ein Standardvertrag nicht — lass diesen Fall anwaltlich prüfen.
Betroffene Personen
Technische und organisatorische Maßnahmen
Art. 32 DSGVO verlangt eine Anlage mit konkreten Maßnahmen. Kreuze an, was tatsächlich umgesetzt ist — nicht, was gut klingt.
Unterauftragsverarbeiter
Jeder Dienst, der im Auftrag mitverarbeitet, gehört in die Liste — Hoster, Mailversand, Backup-Anbieter.
Art. 28 Abs. 2 DSGVO
Ein Entwurf, keine Rechtsberatung. Dieses Werkzeug setzt deine Angaben in die Struktur, die Art. 28 Abs. 3 DSGVO vorschreibt. Es prüft nicht deinen Einzelfall und ersetzt keine anwaltliche Beratung. Lies den Entwurf vor der Unterschrift durch und lass ihn bei heiklen Konstellationen prüfen. Deine Eingaben bleiben dabei in deinem Browser — hier wird nichts übertragen und nichts gespeichert.
Alles läuft in deinem Browser. Deine Daten verlassen dieses Gerät nicht.
So funktioniert es
- Parteien eintragen: Verantwortlicher ist meist dein Kunde, Auftragsverarbeiter bist du.
- Eine Vorlage wählen — Website, Shop, Newsletter, Hosting oder Kampagnen. Zweck, Datenarten und Betroffene füllen sich passend.
- Unter „Sicherheit" ankreuzen, welche Maßnahmen tatsächlich umgesetzt sind, und die eingesetzten Dienstleister eintragen.
- Im Reiter „Vertrag" die Hinweise prüfen und den Entwurf als Word-Datei laden.
Wer Websites, Shops oder Newsletter für andere betreut, verarbeitet fremde Kundendaten — und braucht dafür einen Vertrag nach Art. 28 DSGVO. Ohne ihn ist die Verarbeitung formal rechtswidrig, und zwar auf beiden Seiten.
Dieses Werkzeug fragt genau die Punkte ab, die Art. 28 Abs. 3 DSGVO als Pflichtinhalt nennt: Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personengruppen, Weisungsbindung, Vertraulichkeit, technische Maßnahmen, Unterauftragsverarbeiter, Unterstützungspflichten, Löschung und Nachweise. Am Ende steht ein vollständiger Entwurf samt Anlage — als Word-Datei, die du weiterbearbeiten kannst.
Häufige Fragen
Wann brauche ich überhaupt einen AVV?
Immer dann, wenn jemand in deinem Auftrag personenbezogene Daten verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Das trifft auf die meisten Agentur-Kunden-Verhältnisse zu: Du pflegst die Website deines Kunden und kommst dabei an dessen Kontaktformular-Einträge, Bestellungen oder Newsletter-Listen. Kein AVV nötig ist dagegen bei reiner Beratung ohne Datenzugriff oder wenn dein Gegenüber eigenverantwortlich entscheidet — dann liegt keine Auftragsverarbeitung vor.
Bin ich Verantwortlicher oder Auftragsverarbeiter?
Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet — in der Regel dein Kunde, dem die Daten „gehören". Auftragsverarbeiter ist, wer weisungsgebunden ausführt, also meist du als Agentur oder Dienstleister. Wenn du eigene Zwecke verfolgst, etwa mit den Daten deine eigenen Leistungen vermarktest, bist du für diesen Teil selbst Verantwortlicher — dann reicht ein AVV nicht.
Was gehört in die Anlage mit den technischen Maßnahmen?
Nur das, was tatsächlich umgesetzt ist. Die Anlage nach Art. 32 DSGVO ist kein Wunschzettel, sondern eine Zusicherung — im Schadensfall wird daran gemessen. Kreuze also lieber weniger an und das ehrlich. Wenn du Zwei-Faktor-Authentifizierung angibst, muss sie auch für alle administrativen Zugänge aktiv sein.
Muss ich meine Unterauftragsverarbeiter wirklich alle auflisten?
Ja. Jeder Dienst, der im Rahmen des Auftrags mitverarbeitet, gehört in die Liste: der Hoster, der Mailversand, das Backup, oft auch Analyse-Werkzeuge. Der Verantwortliche muss wissen, wo seine Daten landen — und braucht die Liste für sein eigenes Verzeichnis von Verarbeitungstätigkeiten. Die gängigen Anbieter kannst du mit einem Klick übernehmen.
Reicht dieser Entwurf für Anbieter außerhalb der EU?
Nur zum Teil. Der Vertrag stellt fest, dass eine Verarbeitung im Drittland stattfindet und auf welcher Grundlage. Die Standardvertragsklauseln der EU-Kommission selbst erzeugt dieses Werkzeug nicht — sie müssen als eigene Anlage beigefügt und ausgefüllt werden. Das Werkzeug weist dich darauf hin, sobald du diese Variante wählst.
Ist der erzeugte Vertrag rechtssicher?
Der Entwurf enthält die Bestandteile, die Art. 28 Abs. 3 DSGVO vorschreibt, und ist für Standardfälle brauchbar. Er ersetzt aber keine anwaltliche Prüfung, weil er deinen Einzelfall nicht kennt — besondere Datenkategorien, ungewöhnliche Konstellationen oder abweichende Haftungsregeln aus deinem Hauptvertrag sind darin nicht abgebildet. Lies ihn vor der Unterschrift durch.
Passende Tools
Alle ToolsWeblabs übernimmt Entwicklung, SEO und Shop-Optimierung — für alles, was über ein Werkzeug hinausgeht.