--- title: "Auftragsverarbeitungsvertrag (AVV): Was ist das und wann ist er Pflicht? (2026)" description: "Was ist ein Auftragsverarbeitungsvertrag? Pflichtinhalte nach Art. 28 DSGVO, wann ein AVV erforderlich ist und welche KI-Tools einen AVV stellen." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/compliance/avv-auftragsverarbeitungsvertrag/" language: "de" --- ![Auftragsverarbeitungsvertrag AVV nach Art. 28 DSGVO für KI-Software](https://compound.law/assets/images/compliance/compliance_2.webp) Leitfäden # Auftragsverarbeitungsvertrag (AVV): Was ist das und wann ist er Pflicht? (2026) 8\. April 2026 Was ist ein Auftragsverarbeitungsvertrag (AVV)? Ein AVV ist ein nach Art. 28 DSGVO vorgeschriebener Vertrag, wenn ein Unternehmen einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt. Er regelt Daten, Zweck, Sicherheit und Rechte des Auftraggebers. - Ein AVV nach Art. 28 DSGVO ist bei jeder Auftragsverarbeitung gesetzlich vorgeschrieben. - Der Vertrag muss Gegenstand, Dauer, Art, Zweck, Datenkategorien und Pflichten des Auftragsverarbeiters regeln. - Fehlt ein AVV, drohen DSGVO-Bussgelder von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes. Ein **Auftragsverarbeitungsvertrag (AVV)** ist ein schriftlicher Vertrag zwischen einem Unternehmen als **Verantwortlichem** und einem externen Dienstleister als **Auftragsverarbeiter**, der personenbezogene Daten im Auftrag dieses Unternehmens verarbeitet. Art. 28 der Datenschutz-Grundverordnung (**DSGVO**) verpflichtet Unternehmen, diesen Vertrag vor Beginn der Datenverarbeitung abzuschliessen. Ohne gültigen AVV ist jede Datenübermittlung an den Dienstleister rechtswidrig — unabhängig davon, ob es sich um ein KI-Tool, einen Cloud-Anbieter oder einen klassischen IT-Dienstleister handelt. ## Was ist ein Auftragsverarbeitungsvertrag (AVV)? Ein AVV ist mehr als eine formale Pflichterfüllung. Er dokumentiert die Grundlage, auf der ein externer Dienstleister Daten für Ihr Unternehmen verarbeiten darf. Das Kernelement ist die **Weisungsgebundenheit**: Der Dienstleister handelt nicht eigenständig, sondern ausschliesslich nach Ihren Anweisungen und darf Daten nicht für eigene Zwecke nutzen. Aus DSGVO-Sicht bleibt das beauftragende Unternehmen immer der **Verantwortliche** — es trägt die datenschutzrechtliche Gesamtverantwortung gegenüber den betroffenen Personen. Der externe Dienstleister ist **Auftragsverarbeiter**: verlängerter Arm Ihres Unternehmens, nicht eigenständige datenverarbeitende Stelle. Dieses Prinzip hat praktische Konsequenzen. Wenn Ihr KI-Anbieter eine Datenpanne erleidet, sind Sie als Verantwortlicher gegenüber Betroffenen und Aufsichtsbehörden in der Pflicht — egal ob der Anbieter seinen Sitz in Hamburg oder San Francisco hat. Der AVV stellt sicher, dass Sie den Anbieter rechtlich in die Pflicht nehmen können. ## Wann ist ein AVV gesetzlich vorgeschrieben? Ein AVV ist immer dann erforderlich, wenn **drei Bedingungen** gleichzeitig erfüllt sind: 1. Ein **externes Unternehmen** (kein interner Mitarbeiter) verarbeitet personenbezogene Daten 2. Diese Verarbeitung erfolgt **im Auftrag** und nach Weisung Ihres Unternehmens 3. Die Daten betreffen **natürliche Personen** (Kunden, Mitarbeiter, Nutzer, Bewerber usw.) In der Praxis bedeutet das: Fast jedes digitale Business-Tool, das Sie einsetzen, löst eine AVV-Pflicht aus. E-Mail-Marketing-Plattformen, CRM-Systeme, HR-Tools, Cloud-Speicher und KI-Assistenten verarbeiten personenbezogene Daten — und damit brauchen Sie einen AVV, bevor Sie diese Dienste nutzen. **Kein AVV erforderlich ist** hingegen, wenn: - Ausschliesslich anonymisierte oder aggregierte Daten übermittelt werden, die keinen Personenbezug mehr aufweisen - Der Dienstleister die Daten für **eigene Zwecke** nutzt (dann liegt gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder eigenständige Verarbeitung vor) - Es sich um interne Mitarbeiter handelt, die im Rahmen ihres Beschäftigungsverhältnisses tätig sind Gerade bei **KI-Tools** ist die Abgrenzung nicht immer eindeutig. Wenn ein Anbieter Eingabedaten zum Training seiner Modelle nutzt, kann das die Grenze zur eigenständigen Verarbeitung überschreiten. In solchen Fällen reicht ein AVV allein nicht aus — es braucht eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO. ## Was muss ein AVV enthalten? (Art. 28 DSGVO Mindestinhalt) Art. 28 Abs. 3 DSGVO schreibt den Mindestinhalt verbindlich vor. Der Vertrag muss folgende Punkte regeln: **Pflichtangaben zum Verarbeitungsgegenstand:** - **Gegenstand** der Verarbeitung (z.B. Speicherung von Kundendaten, Analyse von Kommunikationsinhalten) - **Dauer** der Verarbeitung (Vertragslaufzeit, Löschfristen nach Vertragsende) - **Art und Zweck** der Verarbeitung (konkrete Tätigkeiten und Verwendungszwecke) - **Art der personenbezogenen Daten** (z.B. Name, E-Mail-Adresse, IP-Adresse, Zahlungsdaten) - **Kategorien betroffener Personen** (z.B. Kunden, Mitarbeiter, Websitebesucher) **Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. a–h DSGVO):** - **Vertraulichkeit:** Nur autorisiertes Personal mit schriftlicher Verschwiegenheitspflicht darf auf Daten zugreifen - **Technische und organisatorische Massnahmen (TOMs):** Sicherheit nach Art. 32 DSGVO (Verschlüsselung, Zugangskontrolle, Verfügbarkeit, Integrität) - **Unterauftragsverarbeiter:** Neue Sub-Prozessoren nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen; der Auftragsverarbeiter bleibt haftbar - **Betroffenenrechte:** Unterstützung bei Auskunfts-, Lösch-, Berichtigungs- und Portabilitätsanfragen - **Meldepflichten:** Unverzügliche Information des Verantwortlichen bei Datenpannen und Datenschutzverletzungen - **Löschung oder Rückgabe:** Nach Vertragsende müssen alle Daten zurückgegeben oder sicher und nachweisbar gelöscht werden - **Nachweis- und Auditrechte:** Der Verantwortliche muss Kontrollen, Audits und Inspektionen durchführen können Ein AVV, dem einzelne dieser Elemente fehlen, ist unvollständig und begründet Compliance-Risiken — auch wenn der Anbieter einen Standardvertrag anbietet. ## AVV und KI-Tools: Was deutsche Unternehmen prüfen müssen Beim Einsatz von **KI-Software in deutschen Unternehmen** stellen sich über den Mindestinhalt des AVV hinaus spezifische Fragen. Als konkretes Beispiel für einen Enterprise-KI-Anbieter enthält unsere Seite zum [Claude AVV](https://compound.law/de-DE/tools/claude-avv/) eine vollständige Detailprüfung. ### Verarbeitungszweck und Weisungsgebundenheit Der KI-Anbieter darf Ihre Unternehmensdaten nicht zum Training eigener Modelle verwenden, ohne dass Sie dem ausdrücklich zugestimmt haben. Prüfen Sie in den Vertragsbedingungen: - Darf der Anbieter Eingabedaten oder Gesprächsverläufe für das Modelltraining nutzen? - Gibt es eine Option, das Training mit Ihren Daten zu deaktivieren (typischerweise bei Enterprise-Tarifen)? - Ist der Verarbeitungszweck klar auf den Betrieb des Dienstes beschränkt? ### Datenübertragung in Drittländer (SCCs, Standardvertragsklauseln) Die meisten KI-Anbieter haben ihren Sitz in den USA oder anderen Drittländern ausserhalb des Europäischen Wirtschaftsraums (EWR). Für diese Datentransfers ist ein zusätzliches Instrument erforderlich. In der Praxis sind das überwiegend **Standardvertragsklauseln (SCCs)** gemäss Art. 46 Abs. 2 lit. c DSGVO. Prüfen Sie: - Sind SCCs im AVV enthalten oder separat vereinbart? - Liegt ein **Transfer Impact Assessment (TIA)** vor, das die konkreten Risiken des Drittlandtransfers bewertet? - Bietet der Anbieter EU-Rechenzentren an, um Drittlandtransfers zu minimieren? ### Unterauftragsverarbeiter und Sub-DPA-Ketten Komplexe SaaS-Dienste nutzen selbst wieder Unterauftragsverarbeiter (Sub-Prozessoren) für Hosting, Analyse, Support oder Infrastruktur. Jeder Sub-Prozessor, der auf Ihre Daten zugreifen kann, muss im AVV oder in einer öffentlich zugänglichen Sub-Prozessor-Liste aufgeführt sein. Ihr Vertrag muss sicherstellen, dass: - Sie über neue Sub-Prozessoren informiert werden und ein Widerspruchsrecht haben - Sub-Prozessoren denselben Datenschutzstandards unterliegen wie der Hauptauftragsverarbeiter - Die Haftung des Hauptauftragsverarbeiters bei Verstössen der Sub-Prozessoren nicht eingeschränkt wird ## AVV-Übersicht: Diese KI-Tools stellen einen Vertrag bereit Die folgende Tabelle gibt einen Überblick über gängige KI-Tools und SaaS-Dienste. Alle verlinkten Detailseiten enthalten eine konkrete Prüfung des jeweiligen AVV. | Tool | AVV verfügbar | Detailanalyse | | -------------------------------------------------------------------------- | :-----------: | ----------------------------------------------------------------- | | [Claude Enterprise](https://compound.law/de-DE/tools/claude-enterprise/) | Ja | [Claude AVV prüfen](https://compound.law/de-DE/tools/claude-avv/) | | [ChatGPT Enterprise](https://compound.law/de-DE/tools/chatgpt-enterprise/) | Ja | Detailseite | | [OpenAI API](https://compound.law/de-DE/tools/openai-api/) | Ja | Detailseite | | [Cursor](https://compound.law/de-DE/tools/cursor/) | Ja | Detailseite | | [Notion AI](https://compound.law/de-DE/tools/notion-ai/) | Ja | Detailseite | | [ElevenLabs](https://compound.law/de-DE/tools/elevenlabs/) | Ja | Detailseite | | [Canva AI](https://compound.law/de-DE/tools/canva-ai/) | Ja | Detailseite | | [Grammarly](https://compound.law/de-DE/tools/grammarly/) | Ja | Detailseite | | [HubSpot](https://compound.law/de-DE/tools/hubspot/) | Ja | Detailseite | | [Whisper](https://compound.law/de-DE/tools/whisper/) | Ja | Detailseite | | [Zapier](https://compound.law/de-DE/tools/zapier/) | Ja | Detailseite | | [Slack](https://compound.law/de-DE/tools/slack/) | Ja | Detailseite | | [Make.com](https://compound.law/de-DE/tools/make/) | Ja | Detailseite | | [Zendesk](https://compound.law/de-DE/tools/zendesk/) | Ja | Detailseite | | [Perplexity](https://compound.law/de-DE/tools/perplexity/) | Ja | Detailseite | | [Descript](https://compound.law/de-DE/tools/descript/) | Ja | Detailseite | | [Figma AI](https://compound.law/de-DE/tools/figma-ai/) | Ja | Detailseite | | [DeepL](https://compound.law/de-DE/compliance/dsgvo-ki-beschaffung/) | Ja | Detailseite | | [Intercom](https://compound.law/de-DE/tools/intercom/) | Ja | Detailseite | | [AWS Bedrock](https://compound.law/de-DE/tools/aws-bedrock/) | Ja | Detailseite | | [Airtable](https://compound.law/de-DE/tools/airtable-ai/) | Ja | Detailseite | | [Asana](https://compound.law/de-DE/tools/asana-ai/) | Ja | Detailseite | > **Hinweis:** Ob ein vorliegender AVV für Ihren konkreten Anwendungsfall ausreicht, hängt von Ihren Datenflüssen, den verarbeiteten Datenarten und Ihren internen Compliance-Anforderungen ab. Diese Übersicht ersetzt keine individuelle Rechtsprüfung. ## Was tun, wenn ein Anbieter keinen AVV bereitstellt? Gelegentlich verweigern Anbieter — insbesondere kleinere oder nicht-europäische Dienste — den Abschluss eines AVV. In diesem Fall haben Sie mehrere Optionen: **1. Nutzung aussetzen oder beenden.** Wenn ein Tool personenbezogene Daten verarbeitet und kein AVV abgeschlossen werden kann, ist die Nutzung rechtswidrig. Die sicherste Option ist die Einstellung des Einsatzes. **2. Datenschutzfreundliche Alternative prüfen.** Oft gibt es europäische oder datenschutzkonformere Dienste, die einen vollständigen AVV anbieten und EU-Hosting bereitstellen. **3. Datenmenge minimieren.** Falls ein Tool unverzichtbar ist, prüfen Sie, ob der Dateneinsatz so reduziert werden kann, dass keine personenbezogenen Daten mehr übermittelt werden — etwa durch Pseudonymisierung vor der Übertragung. **4. Rechtliche Prüfung im Einzelfall.** In Ausnahmefällen lässt sich prüfen, ob die Verarbeitung auf eine andere Rechtsgrundlage gestützt werden kann — etwa auf die ausdrückliche Einwilligung jeder betroffenen Person. Das ist aufwendig und selten praxistauglich. Ohne AVV weiterzumachen und darauf zu hoffen, dass es gut geht, ist keine Compliance-Strategie. Aufsichtsbehörden wie der **Berliner Beauftragte für Datenschutz**, das **Bayerische Landesamt für Datenschutzaufsicht (BayLDA)** oder die **Hamburgische Datenschutzbehörde** kontrollieren die Einhaltung aktiv. ## AVV-Checkliste vor dem Tool-Einsatz Bevor Sie ein neues Tool in Betrieb nehmen, das personenbezogene Daten verarbeitet: - [ ] AVV vom Anbieter angefordert und erhalten? - [ ] AVV enthält alle Pflichtinhalte nach Art. 28 Abs. 3 DSGVO? - [ ] Verarbeitungszweck klar definiert und auf den Dienstbetrieb beschränkt? - [ ] SCCs oder anderes Transferinstrument für Drittlandtransfer vorhanden? - [ ] Sub-Prozessor-Liste geprüft und akzeptiert? - [ ] AVV im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert? - [ ] Technische und organisatorische Massnahmen (TOMs) beschrieben und ausreichend? - [ ] Regelung für Datenpannen und Meldepflichten vorhanden? - [ ] Löschregelung nach Vertragsende vereinbart? ## So unterstützt Compound Law Compound Law prüft AVVs für den konkreten Einsatzkontext — nicht nur, ob ein AVV formal vorhanden ist, sondern ob er zu Ihren tatsächlichen Datenflüssen, Mitarbeiter- oder Kundendaten und Compliance-Anforderungen passt. Typische Leistungen: - **AVV-Prüfung:** Vollständigkeit, Drittlandtransfer, Sub-Prozessor-Ketten - **Muster-AVV:** Erstellung eines maßgeschneiderten Vertrags für Ihre Auftragsverarbeiter - **Verarbeitungsverzeichnis:** Dokumentation aller Auftragsverarbeitungen nach Art. 30 DSGVO - **DSGVO-Beratung:** Überblick über alle relevanten Pflichten für Ihr Unternehmen Nehmen Sie Kontakt auf — wir prüfen, ob Ihre KI-Tools und SaaS-Dienste DSGVO-konform abgesichert sind. ## Häufig gestellte Fragen zum Auftragsverarbeitungsvertrag ### Wann brauche ich einen AVV? Ein AVV ist erforderlich, sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet. Das betrifft alle SaaS-Dienste, Cloud-Anbieter und KI-Tools, die auf Kunden-, Mitarbeiter- oder Nutzerdaten zugreifen — unabhängig davon, ob die Nutzung kostenpflichtig ist. ### Ist ein mündlicher AVV nach DSGVO gültig? Nein. Art. 28 Abs. 9 DSGVO schreibt die Schriftform ausdrücklich vor. Die Schriftform kann elektronisch erfüllt werden (z.B. durch Akzeptanz eines Online-Vertrags), ein mündlicher AVV ist jedoch rechtlich unwirksam. ### Was passiert, wenn ich keinen AVV habe? Ohne AVV ist die Datenverarbeitung durch den Dienstleister rechtswidrig. Aufsichtsbehörden können Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen. Hinzu kommen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO. ### Muss ich einen AVV mit jedem SaaS-Anbieter abschliessen? Ja, wenn der Anbieter personenbezogene Daten Ihrer Kunden, Nutzer oder Mitarbeiter verarbeitet. Das gilt für CRM-Systeme, E-Mail-Marketing, HR-Software, Cloud-Speicher und KI-Assistenten gleichermassen. ### Gilt der AVV auch für kostenlose Tools? Ja. Die DSGVO-Pflicht hängt nicht davon ab, ob ein Dienst kostenpflichtig ist. Auch bei kostenlosen Tools, die Datenzugang haben, brauchen Sie einen AVV — sofern der Anbieter einen solchen anbietet, was bei kostenlosen Diensten oft nicht der Fall ist. ### Wie lange muss ich den AVV aufbewahren? Den AVV sollten Sie mindestens für die Dauer der Zusammenarbeit und darüber hinaus für die Dauer etwaiger Verjährungsfristen aufbewahren, in der Regel drei bis fünf Jahre nach Vertragsende. ## Weitere Compliance-Guides [![EU KI-Verordnung Beschaffung vor 2027 fuer deutsche Einkaeufer](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [compliance](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) ### [EU KI-Verordnung Beschaffung vor 2027 Deutschland](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [EU KI-Verordnung Beschaffung vor 2027: Deutsche Einkaeufer sollten Vertragslogik und Betreiberunterstuetzung vor dem Rollout klaeren.](https://compound.law/de-DE/compliance/eu-ki-beschaffung-vor-2027/) [![KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Leitfäden](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) ### [KI-Rechtsberatung vs KI-Rechtsassistent fuer Unternehmen](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [Vergleichen Sie KI-Rechtsberatung mit einem KI-Rechtsassistenten fuer deutsche Unternehmen bei KI-Beschaffung, DSGVO, KI-Verordnung und Haftung.](https://compound.law/de-DE/compliance/ki-rechtsberatung-vs-ki-rechtsassistent/) [![EU AI Act Fristen Deutschland mit den Daten 2026 2027 und 2028](https://compound.law/assets/images/compliance/compliance_3.webp)](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [compliance](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ### [EU AI Act Fristen Deutschland: 2026, 2027 und 2028](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) [EU AI Act Fristen Deutschland: was am 2. August 2026, 2. Dezember 2027 und 2. August 2028 fuer KI-Beschaffung und Compliance zaehlt.](https://compound.law/de-DE/compliance/eu-ki-verordnung-beschaffung-fristen/) ## Häufige Fragen Ein AVV ist immer dann gesetzlich vorgeschrieben, wenn ein Unternehmen einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt und dieser weisungsgebunden handelt. Das gilt fuer alle SaaS-Tools, Cloud-Dienste, IT-Dienstleister und KI-Anwendungen, die auf Unternehmensdaten zugreifen. Ein AVV muss gemaess Art. 28 Abs. 3 DSGVO mindestens regeln: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen sowie konkrete Pflichten des Auftragsverarbeiters zu Vertraulichkeit, Sicherheit, Unterauftragsverarbeitern, Betroffenenrechten, Meldepflichten und Loeschung. Nein. Art. 28 Abs. 9 DSGVO schreibt ausdruecklich die Schriftform vor. Ein muendlicher AVV ist nicht wirksam. Die Schriftform kann auch in elektronischer Form erfuellt werden. Ohne AVV ist die Datenverarbeitung durch den Dienstleister rechtswidrig. Aufsichtsbehoerden koennen Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhaengen. Zusaetzlich drohen Schadenersatzansprueche betroffener Personen. Ja, wenn der SaaS-Anbieter personenbezogene Daten Ihrer Nutzer, Kunden oder Mitarbeiter verarbeitet. Das betrifft praktisch alle gaengigen Business-Tools: E-Mail-Marketing, CRM, HR-Software, KI-Assistenten und Cloud-Speicher. Die meisten Anbieter kommerzieller KI-Produkte stellen einen AVV bereit. OpenAI, Anthropic, Google und Microsoft bieten fuer ihre Enterprise-Produkte und APIs entsprechende Vertraege einschliesslich Standardvertragsklauseln (SCCs). Ob dieser AVV fuer den konkreten Einsatz ausreicht, muss im Einzelfall geprueft werden. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "Auftragsverarbeitungsvertrag (AVV): Was ist das und wann ist er Pflicht? (2026)", "description": "Was ist ein Auftragsverarbeitungsvertrag? Pflichtinhalte nach Art. 28 DSGVO, wann ein AVV erforderlich ist und welche KI-Tools einen AVV stellen.", "image": "https://compound.law/assets/images/compliance/compliance_2.webp", "datePublished": "2026-04-08T00:00:00.000Z", "dateModified": "2026-04-08T00:00:00.000Z", "author": { "@type": "Person", "name": "Julian Jantze", "image": "https://compound.law/assets/images/team/julianjantze.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/compliance/avv-auftragsverarbeitungsvertrag/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "Compliance-Guides", "item": "https://compound.law/de-DE/compliance/" }, { "@type": "ListItem", "position": 3, "name": "Auftragsverarbeitungsvertrag (AVV): Was ist das und wann ist er Pflicht?", "item": "https://compound.law/de-DE/compliance/avv-auftragsverarbeitungsvertrag/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Wann ist ein Auftragsverarbeitungsvertrag gesetzlich vorgeschrieben?", "acceptedAnswer": { "@type": "Answer", "text": "Ein AVV ist immer dann gesetzlich vorgeschrieben, wenn ein Unternehmen einen externen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt und dieser weisungsgebunden handelt. Das gilt fuer alle SaaS-Tools, Cloud-Dienste, IT-Dienstleister und KI-Anwendungen, die auf Unternehmensdaten zugreifen." } }, { "@type": "Question", "name": "Was muss ein AVV nach Art. 28 DSGVO enthalten?", "acceptedAnswer": { "@type": "Answer", "text": "Ein AVV muss gemaess Art. 28 Abs. 3 DSGVO mindestens regeln: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen sowie konkrete Pflichten des Auftragsverarbeiters zu Vertraulichkeit, Sicherheit, Unterauftragsverarbeitern, Betroffenenrechten, Meldepflichten und Loeschung." } }, { "@type": "Question", "name": "Ist ein muendlicher AVV gueltig?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Art. 28 Abs. 9 DSGVO schreibt ausdruecklich die Schriftform vor. Ein muendlicher AVV ist nicht wirksam. Die Schriftform kann auch in elektronischer Form erfuellt werden." } }, { "@type": "Question", "name": "Was passiert ohne AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Ohne AVV ist die Datenverarbeitung durch den Dienstleister rechtswidrig. Aufsichtsbehoerden koennen Bussgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhaengen. Zusaetzlich drohen Schadenersatzansprueche betroffener Personen." } }, { "@type": "Question", "name": "Muss ich einen AVV mit jedem SaaS-Anbieter abschliessen?", "acceptedAnswer": { "@type": "Answer", "text": "Ja, wenn der SaaS-Anbieter personenbezogene Daten Ihrer Nutzer, Kunden oder Mitarbeiter verarbeitet. Das betrifft praktisch alle gaengigen Business-Tools: E-Mail-Marketing, CRM, HR-Software, KI-Assistenten und Cloud-Speicher." } }, { "@type": "Question", "name": "Stellen KI-Tools wie ChatGPT Enterprise oder Claude einen AVV?", "acceptedAnswer": { "@type": "Answer", "text": "Die meisten Anbieter kommerzieller KI-Produkte stellen einen AVV bereit. OpenAI, Anthropic, Google und Microsoft bieten fuer ihre Enterprise-Produkte und APIs entsprechende Vertraege einschliesslich Standardvertragsklauseln (SCCs). Ob dieser AVV fuer den konkreten Einsatz ausreicht, muss im Einzelfall geprueft werden." } } ] } ] ```