Auftragsverarbeitung bei Cloudsoftware: Was im AVV stehen muss und wie Sie ihn prüfen

Ob Buchhaltung, Personalverwaltung oder CRM: Sobald eine Cloudsoftware Namen, E-Mail-Adressen, Gehälter oder Krankheitstage speichert, verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag. Verantwortlich im Sinne der DSGVO bleiben trotzdem Sie. Deshalb verlangt Art. 28 DSGVO einen Vertrag, der festlegt, was der Anbieter mit den Daten tun darf und was nicht: den Vertrag zur Auftragsverarbeitung, kurz AVV.

Bei vielen Programmen schließen Sie den AVV mit wenigen Klicks im Kundenkonto ab. Gerade deshalb lohnt ein genauer Blick, bevor Sie zustimmen. Dieser Ratgeber zeigt, was im Vertrag stehen muss, wie Sie die Anlagen prüfen und was bei Anbietern mit Bezug zu Drittländern gilt.

Wann Sie einen AVV brauchen

Ein AVV ist nötig, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für Sie verarbeitet. Das ist bei typischer Unternehmenssoftware aus der Cloud fast immer der Fall: Der Anbieter speichert Ihre Daten auf seinen Servern, sichert sie und hat für Support und Wartung Zugriff. Auch Rechenzentrumsbetreiber und Supportdienstleister des Anbieters werden so eingebunden, dann als Unterauftragsverarbeiter.

Der Vertrag muss nicht auf Papier unterschrieben sein. Art. 28 Abs. 9 DSGVO lässt ein elektronisches Format ausdrücklich zu. Ein Vertrag, den Sie im Kundenkonto annehmen und als PDF herunterladen, genügt, sofern Sie ihn dokumentieren und wiederfinden.

Was im Vertrag stehen muss

Art. 28 Abs. 3 DSGVO schreibt die Inhalte vor. Zunächst muss der Vertrag beschreiben, worum es geht: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Arten personenbezogener Daten und die Kategorien betroffener Personen. Danach folgen die Pflichten des Anbieters:

1. Weisungen: Der Anbieter verarbeitet Daten nur auf Ihre dokumentierte Weisung, auch was Übermittlungen in Drittländer betrifft. Hält er eine Weisung für rechtswidrig, muss er Sie informieren.
2. Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
3. Sicherheit: Der Anbieter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
4. Unterauftragsverarbeiter: Weitere Dienstleister darf er nur mit Ihrer vorherigen Genehmigung einsetzen. Bei einer allgemeinen Genehmigung muss er Sie über Änderungen informieren, und Sie können widersprechen.
5. Betroffenenrechte: Er unterstützt Sie, wenn Personen Auskunft, Berichtigung oder Löschung verlangen.
6. Unterstützung bei weiteren Pflichten: etwa bei Datenpannen und Datenschutzfolgenabschätzungen.
7. Ende des Vertrags: Nach Wahl des Verantwortlichen werden die Daten gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
8. Nachweise und Kontrollen: Der Anbieter stellt die nötigen Informationen bereit und ermöglicht Überprüfungen, auch durch beauftragte Prüfer.

Die EU-Kommission hat Standardvertragsklauseln für Art. 28 veröffentlicht (Durchführungsbeschluss 2021/915). Viele Anbieter nutzen eigene Vorlagen. Beides ist zulässig, solange die Pflichtinhalte enthalten sind.

Die Anlagen sind der eigentliche Prüfstein

Der Vertragstext selbst ist bei seriösen Anbietern meist solide, weil er sich eng an Art. 28 hält. Die Unterschiede stecken in den Anlagen. Schauen Sie sich besonders drei an:

• Technische und organisatorische Maßnahmen: Sind sie konkret beschrieben, etwa Verschlüsselung, Zugriffskonzept, Backups und Standorte, oder bleibt es bei allgemeinen Sätzen? Verweise auf Zertifizierungen wie ISO 27001 sind hilfreich, wenn Geltungsbereich und Gültigkeit genannt werden.
• Liste der Unterauftragsverarbeiter: Wer ist beteiligt, wofür und wo? Hier zeigt sich, ob Support, E-Mail-Versand oder KI-Funktionen über Dienstleister außerhalb der EU laufen.
• Benachrichtigung bei Änderungen: Wie und mit welchem Vorlauf erfahren Sie von neuen Unterauftragsverarbeitern? Ein Hinweis auf einer Webseite, die Sie nie besuchen, ist wenig wert.

Offizielle Muster für den AVV

Einen eigenen Vertrag müssen Sie nicht von Grund auf entwerfen. Drei amtliche Vorlagen helfen beim Prüfen oder als Grundlage, wenn ein Anbieter keinen eigenen AVV stellt:

• Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss 2021/915): Klauseln für das Verhältnis von Verantwortlichem und Auftragsverarbeiter, mit Anhängen für die Beschreibung der Verarbeitung und die Sicherheitsmaßnahmen.
• Mustervereinbarung des Bundesbeauftragten für den Datenschutz (BfDI, Version 2.1): eine deutsche Vorlage mit Regelungen zu Weisungen, Unterauftragsverarbeitern und Löschung.
• Formulierungshilfe des Hessischen Beauftragten für Datenschutz und Informationsfreiheit: eine kommentierte Vorlage, die erklärt, was in welchen Abschnitt gehört.

Bei großen Cloudanbietern werden Sie einen eigenen Vertrag kaum durchsetzen. Nutzen Sie die Muster dann als Vergleich: Fehlt im Vertrag des Anbieters ein Punkt, den alle drei Vorlagen regeln, fragen Sie nach.

Deutschland, EU oder USA

Rechtlich steht ein Rechenzentrum in Frankfurt einem in Dublin oder Amsterdam gleich. Innerhalb des Europäischen Wirtschaftsraums gilt dasselbe Datenschutzrecht. Viele Unternehmen bevorzugen trotzdem Anbieter aus Deutschland: Im Cloud Report 2026 des Bitkom, für den Unternehmen ab 20 Beschäftigten befragt wurden, nannten 91 % Anbieter aus Deutschland als bevorzugt. Genutzt werden sie von 53 %. Für die Auswahl kann ein deutscher Standort also ein Argument sein, etwa gegenüber Kundinnen, Kunden oder dem Betriebsrat. Eine rechtliche Voraussetzung ist er nicht.

Anders ist es bei Drittländern. Eine Übermittlung in die USA stützt sich derzeit auf das EU-U.S. Data Privacy Framework, einen Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen. Gegen dieses Urteil ist ein Rechtsmittel beim Europäischen Gerichtshof anhängig (C-703/25 P). Der Beschluss gilt, bis ein Gericht oder die Kommission etwas anderes entscheidet. Voraussetzung ist, dass das empfangende Unternehmen nach dem Framework zertifiziert ist. Andernfalls braucht es andere Garantien, etwa Standardvertragsklauseln für Drittlandübermittlungen.

Beachten Sie: Auch wenn die Server in der EU stehen, kann es eine Übermittlung geben, etwa wenn Supportteams aus einem Drittland auf die Daten zugreifen oder ein KI-Dienst außerhalb der EU eingebunden ist. Die Liste der Unterauftragsverarbeiter verrät das.

Prüfliste vor der Zustimmung

1. Gibt es einen AVV, und wo finden Sie ihn? Im Kundenkonto, auf Anfrage oder gar nicht?
2. Sind Gegenstand, Datenarten und betroffene Personen passend zu Ihrer Nutzung beschrieben?
3. Sind die technischen und organisatorischen Maßnahmen konkret?
4. Welche Unterauftragsverarbeiter gibt es, und in welchen Ländern sitzen sie?
5. Wie werden Sie über Änderungen informiert, und können Sie widersprechen?
6. Gibt es Fernzugriffe oder KI-Funktionen mit Bezug zu Drittländern, und auf welcher Grundlage?
7. Wie läuft die Löschung nach Vertragsende, und können Sie vorher alle Daten exportieren?
8. Passt der AVV zu Ihren Aufbewahrungspflichten, etwa acht Jahre für Buchungsbelege?

Den unterschriebenen oder angenommenen AVV legen Sie zusammen mit dem Verzeichnis Ihrer Verarbeitungstätigkeiten ab. Bei einer Prüfung durch die Aufsichtsbehörde ist er das erste Dokument, nach dem gefragt wird.

Was unsere Profile dazu zeigen

In jedem Softwareprofil steht im Deutschland-Check, wo der Anbieter seine Server angibt und ob er einen AVV öffentlich nennt. Bei vielen Programmen steht dort „Keine Angabe“. Das bedeutet nicht, dass es keinen AVV gibt, sondern dass wir ihn auf den geprüften Seiten nicht gefunden haben. Fordern Sie ihn in diesem Fall vor dem Start an. Ein Anbieter, der dafür lange braucht, verrät Ihnen damit auch etwas über seinen Umgang mit Datenschutz.