Kurzfassung: Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht, sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihrer Weisung verarbeitet, etwa Hosting, Cloud-Speicher, Newsletter-Tool oder Lohnverrechnung. Rechtsgrundlage ist Art. 28 DSGVO. Der Vertrag ist schriftlich zu schließen, ein elektronisches Format gilt dabei als schriftlich, und er muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festlegen. Unterschreiben muss, wer Ihr Unternehmen nach außen vertreten darf.

Wann ist ein Auftragsverarbeitungsvertrag Pflicht?

Immer dann, wenn ein externer Dienstleister personenbezogene Daten für Sie verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden. Die WKO definiert den Auftragsverarbeiter als Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen bearbeitet, und verlangt für dieses Verhältnis einen schriftlichen Vertrag (Quelle: wko.at, Stand 27.05.2025). Entscheidend ist also die Rolle im konkreten Datenfluss, nicht die Branche des Dienstleisters und nicht die Frage, ob eine Rechnung gestellt wird.

Typische Auftragsverarbeiter im KMU-Alltag:

  • Webhosting, Serverbetrieb, Content-Management-Systeme
  • E-Mail-, Cloud-Speicher- und Kollaborationsdienste
  • Newsletter-Tools, CRM- und Ticketsysteme
  • externe IT-Betreuung mit Fernzugriff, Backup- und Wartungsdienstleister
  • Lohnverrechnungs- oder Buchhaltungssoftware, die als Cloud-Dienst betrieben wird
  • Callcenter sowie Druck- und Versanddienstleister, die mit Adressdaten arbeiten

In meinen Datenschutzprojekten ist die Liste am Ende fast immer länger als die Vermutung zu Beginn. Der schnellste Weg zu einer belastbaren Aufstellung führt über drei Quellen: die Kreditorenliste der Buchhaltung, die installierte Software und die Zugriffsrechte auf den Systemen.

Wann brauchen Sie keinen AVV?

Wenn Ihr Gegenüber selbst über Zwecke und Mittel der Verarbeitung entscheidet, ist es eigener Verantwortlicher, und Art. 28 DSGVO ist nicht der passende Rahmen. In Österreich vertreten Steuerberatung und Rechtsberatung typischerweise genau diese Position, gestützt auf die Empfehlung ihrer Berufsvertretung. Nehmen Sie die Einordnung nicht an, sondern klären Sie sie aktiv mit dem Dienstleister ab und halten Sie das Ergebnis schriftlich fest. Das kostet eine E-Mail und erspart im Anlassfall eine unangenehme Diskussion.

Umgekehrt gilt: Bestimmt ein Auftragsverarbeiter vereinbarungswidrig selbst die Zwecke und Mittel einer Verarbeitung, wird er nach Art. 28 Abs. 10 DSGVO für diese Verarbeitung zum Verantwortlichen, mit allen Pflichten, die dazugehören (Quelle: dsb.gv.at). Der Vertrag ist also kein Papier für die Ablage, sondern zieht die Grenze, an der die Verantwortung wechselt.

Was muss ein Auftragsverarbeitungsvertrag beinhalten?

Art. 28 Abs. 3 DSGVO gibt den Rahmen vor. Der Vertrag bindet den Auftragsverarbeiter an den Verantwortlichen und legt fest: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen (Quelle: wko.at, Stand 27.05.2025).

Dazu kommen die Pflichten, die der Auftragsverarbeiter übernehmen muss. Die Datenschutzbehörde fasst sie so zusammen: Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, Vertraulichkeit der befugten Personen, Sicherheitsmaßnahmen nach Art. 32, Einhaltung der Bedingungen für weitere Auftragsverarbeiter nach Art. 28 Abs. 2 und 4, Unterstützung des Verantwortlichen bei Betroffenenrechten, Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung sowie Löschung oder Rückgabe der Daten nach Beendigung. Ergänzend gehört die Pflicht dazu, alle erforderlichen Nachweise bereitzustellen und Überprüfungen zu ermöglichen (Quelle: dsb.gv.at).

Zwei praktische Ergänzungen, die in guten Verträgen stehen und in schlechten fehlen: eine konkrete Beschreibung der technischen und organisatorischen Maßnahmen statt einer Floskel, und eine klare Regelung, in welchem Format Daten am Ende zurückgegeben werden. Genau dieses Rückgabeformat ist einer der Punkte, in denen sich das österreichische WKO-Muster von den EU-Standardvertragsklauseln unterscheidet.

Wer darf einen Auftragsverarbeitungsvertrag unterschreiben?

Die DSGVO nennt keine Funktion, sie verlangt nur die Form: Der Vertrag ist schriftlich abzuschließen, wobei ein elektronisches Format als schriftlich gilt (Art. 28 Abs. 9, Quelle: wko.at). Wer unterschreiben darf, ergibt sich daher nicht aus dem Datenschutzrecht, sondern aus der Vertretungsbefugnis Ihres Unternehmens: Geschäftsführung, Vorstand, Prokura oder eine Person mit ausdrücklicher Vollmacht.

Der Datenschutzbeauftragte ist nicht diese Person. Die Datenschutzbehörde beschreibt seine Rolle als beratend und überwachend, weisungsfrei und als Brücke zwischen Datenschutz und Geschäftsführungsebene. Er bereitet den Vertrag fachlich vor und prüft ihn, die Unterschrift und die Verantwortung bleiben aber bei der Leitung. Eine unterschriebene Freigabe per E-Mail oder eine elektronische Signatur genügt der Form, ein mündliches Einverständnis nicht.

Sub-Auftragsverarbeiter: der am häufigsten übersehene Punkt

Ihr Dienstleister darf keinen weiteren Auftragsverarbeiter, also keinen Sub-Auftragsverarbeiter, ohne vorherige schriftliche Genehmigung des Verantwortlichen beauftragen. Arbeiten Sie mit einer allgemeinen Genehmigung, muss der Auftragsverarbeiter jede beabsichtigte Änderung mitteilen, und Sie können Einspruch erheben (Art. 28 Abs. 2, Quelle: wko.at). Genau hier liegt der stille Klassiker: Die allgemeine Genehmigung wird unterschrieben, die Änderungsmitteilungen landen in einem Postfach, das niemand liest, und die Liste der tatsächlich beteiligten Dienstleister ist nach zwei Jahren unbekannt.

Mein pragmatischer Umgang damit: die Sub-Auftragsverarbeiterliste jedes wichtigen Anbieters einmal jährlich abrufen, mit dem eigenen Verzeichnis abgleichen und Änderungsmitteilungen an eine Adresse leiten, die zu einer verantwortlichen Person gehört. Das ist eine halbe Stunde im Jahr, und es hält die Dokumentation ehrlich.

Welches Muster passt: WKO-Vorlage oder EU-Standardvertragsklauseln?

Beide sind gangbar, sie haben unterschiedliche Zuschnitte. Die WKO stellt einen Mustervertrag nach Art. 28 DSGVO bereit, der auf eine Auftragsverarbeitung in Österreich zugeschnitten ist, in Word, als PDF und in englischer Fassung (Stand 18.06.2024). Für die Auftragsverarbeitung innerhalb der EU, des EWR oder in Staaten mit angemessenem Datenschutzniveau empfiehlt die WKO die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915. Sie weist zugleich auf die Unterschiede hin: Dem österreichischen Muster fehlen klassische Vertragsklauseln und die Drittbegünstigungsklausel, es berücksichtigt dafür Besonderheiten wie das Format der Daten bei Rückgabe.

In der Praxis ist die Frage meist ohnehin entschieden, weil größere Anbieter ihr eigenes Dokument vorlegen. Dann ist die Aufgabe nicht, ein Muster zu suchen, sondern das vorgelegte Dokument gegen die Liste aus Art. 28 Abs. 3 zu prüfen und die Lücken zu benennen. Ein Beispiel, wie ein solches Dokument aussehen kann, ist unsere eigene Auftragsverarbeitungsvereinbarung, die auf dem WKO-Muster aufsetzt.

Was kostet ein Auftragsverarbeitungsvertrag?

Für den Vertrag selbst fällt keine Gebühr an, und die gängigen Muster sind frei verfügbar. Was Aufwand kostet, ist die Arbeit davor und danach: Dienstleister vollständig erheben, Rollen klären, Drittlandtransfers prüfen, das Muster auf den konkreten Fall anpassen, die Verträge ablegen und aktuell halten. Wer ohnehin gerade sein Verzeichnis von Verarbeitungstätigkeiten aufsetzt, erledigt den Großteil davon in einem Durchgang, weil beide Dokumente auf derselben Bestandsaufnahme beruhen.

Die häufigsten Fehler aus der Praxis

  • AVV ohne Bestandsaufnahme. Drei Verträge im Ordner, zwölf Dienstleister im Betrieb. Ohne Liste bleibt die Lücke unsichtbar.
  • Rolle nicht geklärt. Ein Vertrag nach Art. 28 mit jemandem, der eigener Verantwortlicher ist, beschreibt eine Wirklichkeit, die es nicht gibt.
  • Textbaustein statt Maßnahmen. Ein TOM-Anhang, der nur allgemeine Formulierungen enthält, hilft im Anlassfall niemandem.
  • Sub-Auftragsverarbeiter ignoriert. Allgemeine Genehmigung erteilt, Änderungsmitteilungen nie gelesen.
  • Einmal unterschrieben, nie wieder angesehen. Dienstleister wechseln, Tools kommen dazu. Ohne jährlichen Durchgang veraltet der Bestand still.

Fazit

Der Auftragsverarbeitungsvertrag ist kein Formalakt, sondern die Stelle, an der Sie festlegen, wer mit Ihren Daten was tun darf. Der Aufwand ist überschaubar, wenn Sie in der richtigen Reihenfolge arbeiten: erst die Dienstleister erheben, dann die Rollen klären, dann den Vertrag schließen, und danach einmal jährlich nachziehen. Wie sich dieser Schritt in die gesamte Umsetzung einfügt, steht im Beitrag DSGVO im KMU: der pragmatische 7-Schritte-Fahrplan. Wie wir das begleiten, zeigt die Leistungsseite Datenschutz und Compliance, dokumentierte Projekte finden Sie unter Referenzen Datenschutz und im Projekt-Archiv. Wenn die Website der nächste offene Punkt ist, hilft der Cookie-Banner-Check beim Sortieren.

Verwendete Quellen: wko.at (Stand 27.05.2025, Mustervertrag Stand 18.06.2024) und dsb.gv.at. Stand dieses Beitrags: Juli 2026.

Häufige Fragen zum Auftragsverarbeitungsvertrag

Wann muss ein Auftragsverarbeitungsvertrag geschlossen werden?

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihrer Weisung verarbeitet, etwa Hosting, Cloud-Speicher, Newsletter-Tool, externe IT-Betreuung mit Fernzugriff oder ein Lohnverrechnungsprogramm als Cloud-Dienst. Rechtsgrundlage ist Art. 28 DSGVO. Entscheidend ist die Rolle, nicht die Branche: Wer über Zwecke und Mittel der Verarbeitung selbst entscheidet, ist eigener Verantwortlicher und kein Auftragsverarbeiter.

Was muss ein Auftragsverarbeitungsvertrag beinhalten?

Der Vertrag legt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen fest. Dazu kommen die Pflichten des Auftragsverarbeiters nach Art. 28 Abs. 3: dokumentierte Weisung, Vertraulichkeit, Sicherheit nach Art. 32, Regeln für Sub-Auftragsverarbeiter, Unterstützung des Verantwortlichen, Löschung oder Rückgabe am Ende und Nachweise samt Überprüfungsmöglichkeit.

Wer darf einen Auftragsverarbeitungsvertrag unterschreiben?

Die DSGVO schreibt keine Funktion vor, sie verlangt Schriftform, wobei ein elektronisches Format als schriftlich gilt (Art. 28 Abs. 9). Unterschreiben kann daher, wer das Unternehmen nach außen vertreten darf: Geschäftsführung, Vorstand, Prokura oder eine Person mit ausdrücklicher Vollmacht. Der Datenschutzbeauftragte berät und überwacht, er tritt nicht an die Stelle der Geschäftsführung.

Gibt es ein Muster für einen Auftragsverarbeitungsvertrag in Österreich?

Ja. Die WKO stellt einen Mustervertrag nach Art. 28 DSGVO bereit, der auf eine Auftragsverarbeitung in Österreich zugeschnitten ist (Word, PDF und englische Fassung, Stand 18.06.2024). Für die Auftragsverarbeitung innerhalb der EU und des EWR sowie in Staaten mit angemessenem Datenschutzniveau empfiehlt die WKO die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915.

Was kostet ein Auftragsverarbeitungsvertrag?

Für den Vertrag selbst fällt keine Gebühr an, und die gängigen Muster von WKO und EU-Kommission sind frei verfügbar. Kosten entstehen durch die Arbeit daran: Dienstleister erheben, Rollen klären, Sub-Auftragsverarbeiter und Drittlandtransfers prüfen, das Muster auf den konkreten Fall anpassen. In kleinen Betrieben ist das meist ein überschaubarer Aufwand, wenn die Bestandsaufnahme sauber ist.

Hinweis: Dieser Beitrag ist eine Praxis-Einschätzung und ersetzt keine Rechtsberatung im Einzelfall.