AVV für SaaS: wann du einen Auftragsverarbeitungsvertrag brauchst und anbietest

Kurzantwort: Ein Auftragsverarbeitungsvertrag (AVV) ist Pflicht, wenn ein Dienstleister personenbezogene Daten in deinem Auftrag und nach deinen Weisungen verarbeitet (Art. 28 DSGVO). Als SaaS-Gründer brauchst du ihn in zwei Richtungen: mit deinen eigenen Dienstleistern wie Hosting, Datenbank und Mailversand, und gegenüber deinen Geschäftskunden, deren Daten du in deinem SaaS für sie verarbeitest. Dann bist du selbst Auftragsverarbeiter und musst einen AVV anbieten, samt Liste deiner Unterauftragsverarbeiter. Steuerberater, Banken oder Zahlungsdienste für den Geldtransfer sind dagegen meist eigene Verantwortliche, mit ihnen schließt du keinen AVV.

Stand: 20. Oktober 2026. Grundlage sind Art. 28, 30, 44 und 83 DSGVO und das Kurzpapier Nr. 13 „Auftragsverarbeitung“ der Datenschutzkonferenz (Stand 17.12.2018), abgerufen an diesem Tag. Keine Rechtsberatung.

Wann ein AVV nötig ist

Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag eines Verantwortlichen. Der Verantwortliche entscheidet über Zweck und Mittel, der Auftragsverarbeiter führt aus. Für diese Beziehung schreibt Art. 28 Abs. 3 DSGVO einen Vertrag vor. Er muss schriftlich abgefasst sein, ein elektronisches Format reicht (Art. 28 Abs. 9 DSGVO), also auch ein Klick-Vertrag im Dashboard des Anbieters.

Die Datenschutzkonferenz nennt als typische Auftragsverarbeitung unter anderem:

• Cloud-Computing ohne inhaltlichen Zugriff des Betreibers, also Hosting, Server und Datenbanken,
• ausgelagerte E-Mail-Verwaltung und Datendienste für Websites, etwa Kontaktformulare,
• Backups und Archivierung bei Dienstleistern,
• Fernwartung und externen Support, wenn ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist.

Keine Auftragsverarbeitung ist laut Datenschutzkonferenz in der Regel die Einbeziehung von Berufsgeheimnisträgern wie Steuerberatern und Rechtsanwälten, von Banken für den Geldtransfer, Inkassobüros mit Forderungsübertragung und Postdiensten. Sie sind selbst verantwortlich; du brauchst für die Weitergabe der Daten eine Rechtsgrundlage nach Art. 6 DSGVO, aber keinen AVV.

Richtung 1: deine Dienstleister

Typischer SaaS-Stack und die Frage nach dem AVV:

Dienst	Beispiel-Kategorie	AVV?
Hosting, Server, Datenbank	VPS, Managed Postgres, Object Storage	ja
Transaktionale Mails, Newsletter	Mail-API, Newsletter-Tool	ja
Fehler-Tracking, Logs, Monitoring	Error-Tracking, Log-Dienst	ja, wenn Nutzerdaten enthalten sind
Support und Chat	Helpdesk, Live-Chat	ja
Analytics	Web-Analyse	ja, wenn der Anbieter nur für dich verarbeitet
Zahlungen	Zahlungsanbieter, Merchant of Record	im Einzelfall: für den Geldtransfer meist eigene Verantwortung
Steuerberater	Kanzlei	nein, Berufsgeheimnisträger

Große Anbieter stellen ihren AVV meist als „Data Processing Agreement“ (DPA) bereit, das du im Konto akzeptierst oder das automatisch Teil der Bedingungen ist. Lade es herunter und leg es ab. Für jeden Dienst gehört außerdem ein Eintrag in dein Verzeichnis der Verarbeitungstätigkeiten, siehe DSGVO-konforme Website.

Sitzt der Anbieter außerhalb der EU, reicht der AVV allein nicht. Für die Übermittlung in ein Drittland brauchst du zusätzlich eine Grundlage nach Kapitel V der DSGVO (Art. 44 ff.), etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln.

Richtung 2: du als Auftragsverarbeiter

Verkaufst du ein SaaS an Unternehmen, verarbeitest du die Daten ihrer Kunden, Mitarbeiter oder Nutzer in ihrem Auftrag: das CRM speichert Kontakte, das Buchungstool Termine, das Support-Tool Tickets. Dann ist dein Kunde Verantwortlicher und du Auftragsverarbeiter. Er darf nur mit dir arbeiten, wenn du hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietest (Art. 28 Abs. 1 DSGVO), und er braucht dafür einen AVV mit dir.

Praktisch heißt das:

• ein AVV, den Geschäftskunden im Konto abschließen oder herunterladen können, besser vor der ersten Anfrage als danach,
• eine Beschreibung deiner technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO als Anlage,
• eine aktuelle Liste deiner Unterauftragsverarbeiter,
• ein eigenes Verzeichnis aller Verarbeitungen, die du im Auftrag durchführst (Art. 30 Abs. 2 DSGVO).

Verkaufst du nur an Verbraucher, die dein Tool privat nutzen, bist du für deren Daten selbst Verantwortlicher. Dann brauchst du keinen AVV mit ihnen, aber eine Datenschutzerklärung.

Was im AVV stehen muss

Art. 28 Abs. 3 DSGVO legt den Mindestinhalt fest. Der Vertrag beschreibt Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Und er verpflichtet den Auftragsverarbeiter,

1. Daten nur auf dokumentierte Weisung zu verarbeiten, auch bei Übermittlungen in Drittländer,
2. seine Leute zur Vertraulichkeit zu verpflichten,
3. alle Sicherheitsmaßnahmen nach Art. 32 DSGVO zu ergreifen,
4. Unterauftragsverarbeiter nur unter den Bedingungen von Art. 28 Abs. 2 und 4 einzusetzen,
5. den Verantwortlichen bei Anfragen betroffener Personen zu unterstützen,
6. ihn bei Sicherheit, Datenpannen-Meldungen und Datenschutz-Folgenabschätzung zu unterstützen (Art. 32 bis 36),
7. die Daten am Ende nach Wahl des Verantwortlichen zu löschen oder zurückzugeben,
8. alle Informationen zum Nachweis bereitzustellen und Überprüfungen einschließlich Inspektionen zu ermöglichen.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, muss er den Verantwortlichen sofort informieren (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Als Vorlage kannst du Standardvertragsklauseln der EU-Kommission nach Art. 28 Abs. 7 DSGVO nutzen, statt einen eigenen Vertrag zu entwerfen.

Die Liste der Unterauftragsverarbeiter

Jeder Dienstleister, den du als SaaS für die Daten deiner Kunden einsetzt, ist für sie ein weiterer Auftragsverarbeiter. Du brauchst dafür ihre vorherige gesonderte oder allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO). Üblich ist die allgemeine Genehmigung im AVV mit einer Liste im Anhang oder auf einer eigenen Seite. Dann musst du deine Kunden über jede geplante Änderung informieren, damit sie widersprechen können.

Eine gute Liste nennt je Dienst:

Feld	Beispiel
Anbieter und Sitz	Hosting-Anbieter, Deutschland
Zweck	Betrieb der Server und Datenbank
Betroffene Daten	alle in der Anwendung gespeicherten Daten
Ort der Verarbeitung	EU
Grundlage für Drittland	entfällt, oder Angemessenheitsbeschluss bzw. Standardvertragsklauseln

Deinen Unterauftragsverarbeitern musst du dieselben Datenschutzpflichten auferlegen, die du gegenüber deinem Kunden übernommen hast. Hält einer sie nicht ein, haftest du gegenüber deinem Kunden (Art. 28 Abs. 4 DSGVO). Prüfe deshalb, ob ihr AVV mindestens dieselben Pflichten enthält wie deiner.

Was ohne AVV passiert

Ein fehlender oder unvollständiger AVV ist ein Verstoß gegen Art. 28 DSGVO. Dafür sieht Art. 83 Abs. 4 DSGVO Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, was höher ist. Häufiger ist ein anderer Schaden: Geschäftskunden fragen in der Beschaffung nach AVV, TOM und Unterauftragsverarbeitern. Ohne diese Unterlagen kommt ein B2B-Deal oft nicht zustande.

Mehr zur Datenschutz-Grundausstattung steht in den Ratgebern DSGVO-konforme Website, Cookie-Banner nach TDDDG und in der Launch-Checkliste.

Häufige Fragen

Brauche ich einen AVV mit meinem Hoster?

Ja, wenn auf dem Server personenbezogene Daten liegen, und das ist bei fast jeder Website und jedem SaaS der Fall. Die Datenschutzkonferenz nennt Cloud-Computing ausdrücklich als typische Auftragsverarbeitung.

Muss ich als SaaS-Anbieter einen AVV anbieten?

Ja, wenn Geschäftskunden in deinem Tool personenbezogene Daten verarbeiten, etwa von ihren Kunden oder Mitarbeitern. Dann bist du Auftragsverarbeiter und brauchst einen AVV mit jedem dieser Kunden (Art. 28 Abs. 3 DSGVO).

Muss ein AVV unterschrieben werden?

Er muss schriftlich abgefasst sein, ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO). Ein im Konto akzeptierter AVV reicht deshalb aus, wenn er die Pflichtinhalte enthält.

Brauche ich einen AVV mit meinem Steuerberater?

In der Regel nein. Steuerberater sind Berufsgeheimnisträger und laut Datenschutzkonferenz eigenständig verantwortlich. Für die Weitergabe der Daten brauchst du trotzdem eine Rechtsgrundlage.

Was ist ein Unterauftragsverarbeiter?

Ein Dienstleister, den ein Auftragsverarbeiter für die Daten seines Kunden einsetzt, etwa der Hoster eines SaaS. Er darf nur mit Genehmigung des Kunden eingesetzt werden, und Änderungen an der Liste müssen angekündigt werden (Art. 28 Abs. 2 DSGVO).

Was kostet ein Verstoß gegen Art. 28 DSGVO?

Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 4 DSGVO).