Auftragsverarbeitungsvertrag (AVV)
DSGVO-Vertrag nach Art. 28 zwischen Verein und Software-Anbieter — regelt, wie der Anbieter mit Mitgliederdaten umgehen darf.
Der Auftragsverarbeitungsvertrag (AVV, auch Auftragsverarbeitungs-Vereinbarung genannt) ist ein nach Art. 28 DSGVO vorgeschriebener Vertrag zwischen dem Verantwortlichen (= dein Verein) und einem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet (= z. B. Vereinssoftware-Anbieter). Ohne AVV begeht der Verein eine DSGVO-Pflichtverletzung — mit Bußgeld-Risiko bis zu 10 Millionen Euro oder 2 % des weltweiten Vorjahres-Umsatzes (für Vereine eher die untere Grenze).
Wer ist Verantwortlicher, wer Auftragsverarbeiter?
- Verantwortlicher (Art. 4 Nr. 7 DSGVO): Der Verein — er bestimmt Zwecke und Mittel der Datenverarbeitung
- Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO): Der externe Dienstleister — er verarbeitet die Daten weisungsgebunden im Auftrag
Wichtig: Der Auftragsverarbeiter darf Daten nur so verwenden, wie der Verein ihn anweist. Eigene Zwecke (z. B. Werbung für andere Kunden) sind ausgeschlossen — wer das tut, wird selbst zum Verantwortlichen mit allen DSGVO-Pflichten.
Wann brauchst du einen AVV?
Sobald ein externer Dienstleister Zugriff auf personenbezogene Daten deiner Mitglieder, Spender oder Helfer hat. Das betrifft:
- Vereinssoftware-Anbieter (z. B. innoverein)
- Cloud-Hosting-Anbieter (AWS, Azure, deutsche Anbieter)
- E-Mail-Versand-Dienstleister (Mailgun, SendGrid, eigener Mailserver bei externer Wartung)
- Newsletter-Versand-Dienste (Mailchimp, Sendinblue, etc.)
- Backup-Dienste mit Datenexport
- Analyse-Tools (Matomo on-premises ohne AVV, Google Analytics zwingend mit AVV)
- Druck- und Versanddienste für physische Briefe (z. B. Deutsche Post E-POST)
- Buchhaltungsdienste und Steuerberater — bei Steuerberatern ist oft kein AVV nötig, weil sie eigenverantwortlich tätig sind (§ 11 Abs. 5 BDSG / Berufsrecht)
Pflicht-Inhalte des AVV (Art. 28 Abs. 3 DSGVO)
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten (z. B. Name, Anschrift, IBAN, Geburtsdatum)
- Kategorien betroffener Personen (Mitglieder, Spender, Mitarbeiter, Bewerber, Veranstaltungsbesucher)
- Rechte und Pflichten beider Parteien
- Technische und organisatorische Maßnahmen (TOM): Verschlüsselung, Zutrittskontrolle, Backup, Patch-Management — meist als Anlage
- Liste der Subunternehmer mit Beteiligung an der Verarbeitung (z. B. Rechenzentren, externe Service-Provider)
- Verpflichtung des Auftragsverarbeiters zur Vertraulichkeit seiner Mitarbeiter (Datenschutz-Erklärung)
- Unterstützung des Verantwortlichen bei Betroffenenrechten (Auskunft, Löschung, etc.)
- Regelung bei Datenpannen (Meldepflicht binnen 72 h nach Kenntnis)
- Audit-/Kontrollrechte des Verantwortlichen
- Löschung oder Rückgabe der Daten bei Vertragsende
Subunternehmer-Klausel
Der Auftragsverarbeiter darf Subunternehmer (z. B. ein Hosting-Anbieter für seinen eigenen Anbieter) nur mit Genehmigung einsetzen. Praxis: Allgemeine Genehmigung im AVV, mit Pflicht zur vorherigen Mitteilung neuer Subunternehmer und Widerspruchsrecht des Vereins. Die Subunternehmer-Liste muss aktuell gehalten und auf Anfrage offengelegt werden.
Wie bekommst du einen AVV?
Seriöse Anbieter stellen einen AVV auf Anfrage (oder bei Vertragsschluss automatisch) zur Verfügung — meist als vorgefertigtes PDF, das du elektronisch unterzeichnen kannst. Bei innoverein liegt der AVV als Standardvertrag im Mitglieder-Bereich des Vereins-Admins; er kann mit einem Klick aktiviert werden, mit den TOMs als Anlage. Wer einen Dienst nutzt ohne AVV, befindet sich rechtlich in einer Grauzone — bei Datenpannen oder Aufsichtsbehörden-Anfragen wird der fehlende AVV oft zum Strafverschärfungs-Faktor.
Was tun, wenn der Anbieter keinen AVV anbietet?
Anbieter wechseln. Es gibt keinen DSGVO-konformen Dienst, der keinen AVV bietet — wer den Vertrag verweigert, ist als Dienstleister untauglich für Vereine mit personenbezogenen Daten.
Mehr zur Sicherheit bei innoverein auf der Sicherheits-Seite.