Beitrag · DSGVO
Auftragsverarbeitungsvertrag: was Artikel 28 DSGVO als Mindestinhalt vorschreibt
Ein Auftragsverarbeitungsvertrag muss nach Artikel 28 Absatz 3 DSGVO Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegen, und er muss acht Pflichten des Auftragsverarbeiters regeln, die das Gesetz unter den Buchstaben a bis h aufzählt. Schriftform verlangt Absatz 9, ein elektronisches Format genügt.
Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind.
Die Zahl dahinter
Artikel 28 DSGVO hat 10 Absätze; allein Absatz 3 zählt 8 Pflichten auf, die jeder Auftragsverarbeitungsvertrag regeln muss. Quelle: Verordnung (EU) 2016/679, Artikel 28 (von Rekvira am 24. September 2026 geliefert)
Die Absatzzahlen und der Aufbau auf dieser Seite stammen aus Rekviras Abruf der DSGVO (Verordnung (EU) 2016/679) vom 24. September 2026. Die wörtlichen Zitate stammen aus der deutschen Fassung im Amtsblatt.
Wann brauchen Sie einen Auftragsverarbeitungsvertrag?
Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet: der Cloud-Anbieter, das Lohnbüro, die Agentur mit Zugriff auf die Kundendatenbank. Absatz 1 verlangt zuerst, dass Sie nur mit Auftragsverarbeitern arbeiten, die „hinreichend Garantien“ für geeignete technische und organisatorische Maßnahmen bieten. Absatz 3 verlangt dann den Vertrag.
Die Rollen verschieben sich, wenn der Dienstleister selbst entscheidet. Absatz 10 ist hier deutlich: Ein Auftragsverarbeiter, der unter Verstoß gegen die Verordnung „die Zwecke und Mittel der Verarbeitung bestimmt“, gilt für diese Verarbeitung als Verantwortlicher.
Was muss mindestens im Vertrag stehen?
Absatz 3 hat zwei Teile. Satz 1 nennt die Eckdaten der Verarbeitung (siehe das Zitat oben). Unterabsatz 1 zählt danach auf, was der Vertrag „insbesondere“ vom Auftragsverarbeiter verlangen muss:
| Buchstabe | Der Auftragsverarbeiter | Worauf Sie beim Prüfen achten |
|---|---|---|
| a | verarbeitet nur „auf dokumentierte Weisung des Verantwortlichen“, auch bei Übermittlungen in Drittländer | Wo sind die Weisungen festgehalten, und wer darf sie erteilen? |
| b | gewährleistet, dass sich die befugten Personen „zur Vertraulichkeit verpflichtet haben“ oder gesetzlich zur Verschwiegenheit verpflichtet sind | Verpflichtung aller Beschäftigten mit Datenzugriff |
| c | ergreift „alle gemäß Artikel 32 erforderlichen Maßnahmen“ | Die technischen und organisatorischen Maßnahmen als Anlage, nicht als Verweis ins Leere |
| d | hält die Bedingungen der Absätze 2 und 4 für weitere Auftragsverarbeiter ein | Genehmigungsmodell und Liste der Unterauftragsverarbeiter |
| e | unterstützt Sie bei Anträgen betroffener Personen nach Kapitel III | Fristen und Ansprechpartner für Auskunft und Löschung |
| f | unterstützt Sie bei den Pflichten aus den Artikeln 32 bis 36 | Meldung von Datenpannen, Mitwirkung an der DSFA |
| g | löscht oder gibt nach Vertragsende alle Daten zurück, „nach Wahl des Verantwortlichen“ | Wer wählt, in welcher Frist, mit welchem Nachweis |
| h | stellt die Nachweise zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen | Prüfrecht vor Ort, nicht nur Zertifikate |
Zu Buchstabe h gehört eine Pflicht, die in Vorlagen oft fehlt: Der Auftragsverarbeiter informiert Sie „unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt“ (Art. 28 Abs. 3 Unterabsatz 2).
Was gilt für Unterauftragsverarbeiter?
Zwei Absätze regeln die Kette:
- Ohne „vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen“ darf der Auftragsverarbeiter keinen weiteren Auftragsverarbeiter einsetzen (Abs. 2). Bei einer allgemeinen Genehmigung muss er Sie über jede geplante Hinzuziehung oder Ersetzung informieren, damit Sie Einspruch erheben können.
- Der weitere Auftragsverarbeiter bekommt per Vertrag dieselben Datenschutzpflichten auferlegt (Abs. 4). Erfüllt er sie nicht, haftet der erste Auftragsverarbeiter Ihnen gegenüber für ihn.
In der Praxis heißt das: Ein AV-Vertrag mit allgemeiner Genehmigung braucht einen Informationsweg (etwa eine Liste mit Benachrichtigung) und eine Einspruchsfrist. Fehlt beides, ist Absatz 2 nicht umgesetzt.
Genügen Standardvertragsklauseln?
Ja, Absatz 6 erlaubt, den Vertrag „ganz oder teilweise“ auf Standardvertragsklauseln zu stützen. Sie kommen von der Kommission (Abs. 7) oder von einer Aufsichtsbehörde (Abs. 8). Verwechseln Sie diese nicht mit den Garantien für Drittlandübermittlungen nach Artikel 46, der von „Standarddatenschutzklauseln“ (Abs. 2) und genehmigten „Vertragsklauseln“ (Abs. 3) spricht. Die Suche im aufgezeichneten Lauf unten hat Art. 46 Abs. 3 sogar vor Art. 28 Abs. 3 gereiht. Die beiden Artikel regeln verschiedene Fragen: Artikel 28 den Inhalt des Auftrags, Artikel 46 die Garantien für eine Übermittlung in ein Drittland. Sitzt Ihr Auftragsverarbeiter außerhalb der Union, prüfen Sie beide Artikel.
10
Absätze in Artikel 28 DSGVO
8
Pflichten des Auftragsverarbeiters, Buchstaben a bis h
0
Überschriften der DSGVO, die Pflichten des Auftragsverarbeiters im Titel tragen
Die Null ist kein Fehler: Keine Artikelüberschrift der DSGVO nennt Pflichten des Auftragsverarbeiters. Rekvira verweist deshalb auf die Artikel, deren Überschrift die Rolle nennt: 27, 28, 29 und 79. Die Pflichten selbst stehen verteilt im Text, nicht in einem Katalog.
Aufgezeichneter Lauf
Die Frage:Was muss ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mindestens enthalten?
list_regulations()Prüfen, dass die DSGVO geladen ist, und den Textstand lesen.
lookup_obligations(regulation="gdpr", role="processor")Welche Artikel den Auftragsverarbeiter nennen, bevor man sucht.
0 Treffer für Pflichten-Überschriften, dafür die Artikel, die die Rolle nennen: "Representatives of controllers or processors not established in the Union", "Processor", "Processing under the authority of the controller or processor" und "Right to an effective judicial remedy against a controller or processor"
search_regulation(regulation="gdpr", query="contract between controller and processor minimum content sub-processor")Die Vertragsfrage an den Korpus stellen.
Erst "Article 46(3)" (Drittlandklauseln), dann "Article 28(3)"
read_unit(regulation="gdpr", kind="article", number="28")Artikel 28 vollständig lesen.
Artikel 28 in 10 Absätzen, darunter "processes the personal data only on documented instructions from the controller"
read_unit(regulation="gdpr", kind="article", number="29")Die Weisungsgebundenheit, auf die Absatz 3 verweist.
verify_citation(regulation="gdpr", citation="Article 28(3)", quote="Processing by a processor shall be governed by a contract or other legal act under Union or Member State law")Fundstelle und Wortlaut prüfen, bevor zitiert wird.
Wortlaut gefunden: "Article 28(3)"
Echte Aufrufe an Rekviras Produktionsserver, aufgezeichnet am 24. September 2026. Textstand des Korpus: 2. September 2026. Rekvira liefert den englischen EUR-Lex-Text; die deutschen Zitate auf dieser Seite stammen aus der deutschen Fassung im Amtsblatt.
Grenzen
Rekvira liefert den Verordnungstext mit Fundstelle und Textstand. Ob ein Dienstleister Auftragsverarbeiter oder selbst Verantwortlicher ist und ob Ihr Vertrag genügt, beurteilen Sie oder Ihr Datenschutzbeauftragter. Musterverträge der Aufsichtsbehörden, das BDSG und die Standardvertragsklauseln der Kommission sind nicht im Korpus.
So geht es in Ihrem Assistenten
Lies mit Rekvira Artikel 28 DSGVO. Ich gebe dir einen Auftragsverarbeitungsvertrag:
Prüf ihn gegen Absatz 3 Buchstaben a bis h und Absatz 2 und 4 und sag mir für jeden Punkt,
ob und wo er geregelt ist, mit Fundstelle im Gesetz und Stelle im Vertrag.Fügen Sie dies in Claude, ChatGPT, Cursor oder einen anderen MCP-Client ein, der mit https://mcp.rekvira.com/mcp verbunden ist. Zum Start melden Sie sich einmal mit Ihrer E-Mail an (kostenlos).Einrichtung je Client (Englisch)
Fundstellen in Ihrer KI.
Mit Ihrer E-Mail anmelden, ohne Schlüssel; während der Founding Beta wird nichts berechnet.
https://mcp.rekvira.com/mcp