Auftragsverarbeitungsvertrag (AVV) Österreich

Der Auftragsverarbeitungsvertrag (AVV) in Österreich ist ein zwingend vorgeschriebener Vertrag nach DSGVO Art. 28 (Datenschutz-Grundverordnung, Verordnung EU 2016/679) zwischen einem Verantwortlichen (Controller) und einem Auftragsverarbeiter (Processor). Verantwortlicher ist die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (DSGVO Art. 4 Z 7). Auftragsverarbeiter ist jede natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (DSGVO Art. 4 Z 8).

Der AVV ist kein optionales Vertragszusatz, sondern eine gesetzliche Pflicht: DSGVO Art. 28 Abs. 3 bestimmt ausdrücklich, dass die Verarbeitung durch einen Auftragsverarbeiter auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments erfolgen muss, der den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien von betroffenen Personen und die Pflichten und Rechte des Verantwortlichen festlegt. Der AVV muss schriftlich oder in einem gleichwertigen elektronischen Format vorliegen (DSGVO Art. 28 Abs. 9).

In Österreich überwacht die Datenschutzbehörde (DSB) als nationale Aufsichtsbehörde gemäß DSGVO Art. 51 die Einhaltung der DSGVO-Pflichten. Das Fehlen eines DSGVO-konformen AVV stellt eine eigenständige Pflichtverletzung des Verantwortlichen dar, die gemäß DSGVO Art. 83 Abs. 4 lit. a mit Bußgeldern bis zu €10.000.000 oder 2% des gesamten weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist) sanktioniert werden kann. Neben der DSB können nach §29 DSG (Datenschutzgesetz BGBl I Nr. 165/1999 idF 2018) auch betroffene Personen eine Datenschutzbeschwerde einbringen.

Das österreichische Datenschutzgesetz (DSG) als nationales Durchführungsgesetz zur DSGVO enthält in §6 DSG ergänzende Regelungen zur Auftragsverarbeitung. Der OGH hat in seiner Rechtsprechung (z.B. OGH 6 Ob 171/22t) die zivilrechtliche Haftung zwischen Verantwortlichen und Auftragsverarbeitern für DSGVO-Verstöße konkretisiert: Auftragsverarbeiter haften betroffenen Personen direkt nach DSGVO Art. 82 Abs. 2, wenn sie gegen die ihnen nach DSGVO auferlegten Pflichten verstoßen haben oder außerhalb der rechtmäßigen Weisungen des Verantwortlichen gehandelt haben.

Einen Auftragsverarbeitungsvertrag (AVV) in Österreich benötigen Sie immer, wenn ein Dritter (externe Dienstleister, Subunternehmer, Cloud-Anbieter) personenbezogene Daten im Auftrag Ihres Unternehmens verarbeitet. Dies ist in folgenden typischen Situationen der Fall:

IT-Dienstleister und Managed Service Provider (MSP): Jeder IT-Support-Anbieter, der auf Server mit personenbezogenen Daten zugreift (Mitarbeiterdaten im Active Directory, E-Mail-Postfächer, CRM-Kundendaten), ist Auftragsverarbeiter. Ohne AVV zwischen Ihrem Unternehmen (Verantwortlicher) und dem IT-Dienstleister (Auftragsverarbeiter) ist die Auslagerung nicht DSGVO-konform.

Cloud-Computing und SaaS: Jeder Cloud-Dienst, der personenbezogene Daten speichert oder verarbeitet — von Microsoft 365 und Google Workspace über AWS bis zu branchenspezifischer Fachsoftware — erfordert einen AVV. Microsoft, Google und AWS bieten standardisierte Data Processing Addenda (DPA) an, die als AVV nach DSGVO Art. 28 qualifizieren.

Marketing und Newsletter-Dienstleister: E-Mail-Marketing-Plattformen (z.B. Mailchimp, CleverReach, GetResponse) verarbeiten personenbezogene Daten der Newsletter-Abonnenten im Auftrag des Unternehmens. Ohne AVV ist der Newsletter-Versand nicht DSGVO-konform — auch wenn die Empfänger eingewilligt haben, betrifft die AVV-Pflicht das Verhältnis zum Dienstleister, nicht zum Empfänger.

Buchhaltung und Lohnverrechnung: Steuerberater und externe Lohnverrechnungsstellen, die Mitarbeiterdaten (Löhne, Bankverbindungen, Sozialversicherungsnummern) verarbeiten, sind Auftragsverarbeiter. Die AVV ist neben dem Steuerberatungsvertrag ein eigenständiges DSGVO-Dokument.

Marktforschung und Datenanalyse: Externe Marktforschungsunternehmen, die Kundendaten analysieren, und Datenanalyse-Dienstleister (Business Intelligence, CRM-Analytics) sind Auftragsverarbeiter und benötigen eine AVV.

Die DSGVO Art. 28 Abs. 3 schreibt einen Pflichtinhalt für den AVV vor. Der forms-legal.com AVV Österreich enthält alle gesetzlich vorgeschriebenen und empfohlenen Elemente:

**1. Weisungsgebundenheit (DSGVO Art. 28 Abs. 3 lit. a):** Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (schriftliche Weisungen im Vertrag, per E-Mail oder in Änderungsaufträgen). Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Meinung ist, eine Weisung verstoße gegen DSGVO oder nationales Datenschutzrecht.

**2. Vertraulichkeit (Art. 28 Abs. 3 lit. b):** Alle Personen, die zur Verarbeitung personenbezogener Daten befugt sind (Mitarbeiter, Subunternehmer), wurden zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Schweigepflicht. Nachweis durch Vertraulichkeitserklärungen der Mitarbeiter.

**3. Technische und organisatorische Maßnahmen (TOMs) (Art. 28 Abs. 3 lit. c iVm Art. 32):** Sicherheitsmaßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus: Pseudonymisierung und Verschlüsselung; Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme; Wiederherstellung nach Datenpannen (Backup, Disaster Recovery); regelmäßige Überprüfung (Penetrationstests, Audits). TOM-Liste als verbindlicher Anhang zum AVV.

**4. Sub-Auftragsverarbeiter (Art. 28 Abs. 3 lit. d; Art. 28 Abs. 2):** Der Auftragsverarbeiter darf keine weiteren Auftragsverarbeiter (Sub-Auftragsverarbeiter) ohne vorherige schriftliche Genehmigung des Verantwortlichen einsetzen. Zwei Modelle: Einzelgenehmigung (für jeden Sub-AV) oder allgemeine Genehmigung (Liste der genehmigten Sub-AVs mit Widerspruchsrecht bei Änderungen). Der Auftragsverarbeiter stellt sicher, dass Sub-AVs denselben Datenschutzpflichten unterliegen (Art. 28 Abs. 4). Bei Nichterfüllung: Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen.

**5. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e):** Auskunftsrecht (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21): Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung dieser Rechte.

**6. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g):** Nach Abschluss der Verarbeitungsleistung: Rückgabe aller personenbezogenen Daten und Löschung bestehender Kopien, es sei denn, Unionsrecht oder nationales Recht schreibt die Speicherung vor. Löschbestätigung schriftlich binnen 30 Tagen nach Vertragsende.

**7. Prüfungen und Audits (Art. 28 Abs. 3 lit. h):** Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung und ermöglicht Audits und Inspektionen durch den Verantwortlichen oder einen beauftragten Prüfer.

**8. Meldepflicht bei Datenpannen (Art. 33 DSGVO; §22a DSG):** Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten (Datenpanne). Meldung an die DSB durch den Verantwortlichen binnen 72 Stunden (Art. 33 DSGVO); Information betroffener Personen bei hohem Risiko (Art. 34 DSGVO).

**9. Verarbeitungsverzeichnis (Art. 30 DSGVO):** Sowohl Verantwortlicher als auch Auftragsverarbeiter müssen ein Verarbeitungsverzeichnis führen. Im AVV klären: Wer führt welchen Teil des Verarbeitungsverzeichnisses?

Den AVV Österreich auf forms-legal.com befüllen Sie in folgenden Schritten DSGVO-konform:

**Schritt 1 — Parteien identifizieren:** Verantwortlicher: Ihr Unternehmen (Firma, Firmenbuchnummer FN, UID-Nummer ATU…, Adresse, Datenschutzbeauftragter falls vorhanden). Auftragsverarbeiter: Dienstleister (Firma, FN, UID, Adresse, Datenschutzbeauftragter). Tipp: Prüfen Sie auf firmenbuch.at, ob der Dienstleister korrekt eingetragen ist.

**Schritt 2 — Verarbeitung beschreiben:** Gegenstand der Verarbeitung: Was für Daten werden verarbeitet? (z.B. Namen, E-Mail-Adressen, Telefonnummern, Zahlungsdaten, Gesundheitsdaten). Kategorien betroffener Personen: Kunden, Mitarbeiter, Interessenten, Webseitenbesucher. Zweck der Verarbeitung: IT-Support, Buchhaltung, E-Mail-Marketing, Lohnverrechnung. Dauer der Verarbeitung: Vertragslaufzeit plus Aufbewahrungsfristen nach §132 BAO (7 Jahre für steuerrelevante Daten).

**Schritt 3 — Weisungen dokumentieren:** Legen Sie fest, in welcher Form Weisungen erteilt werden: per E-Mail, im Ticket-System, als schriftliche Änderungsaufträge. Legen Sie fest, wer auf Kundenseite weisungsbefugt ist (z.B. nur Datenschutzbeauftragter und Geschäftsführer).

**Schritt 4 — TOM-Anhang erstellen:** Technische und organisatorische Maßnahmen: Beschreiben Sie konkret, welche Sicherheitsmaßnahmen der Auftragsverarbeiter implementiert: Verschlüsselung (TLS 1.3, AES-256); Zugriffskontrolle (Multi-Faktor-Authentifizierung, Role-Based Access Control); Logging und Monitoring; Backup-Konzept; Schulungen der Mitarbeiter. Die DSB und betroffene Personen können im Streitfall die Einhaltung prüfen.

**Schritt 5 — Sub-Auftragsverarbeiter genehmigen:** Listen Sie alle Sub-Auftragsverarbeiter des Dienstleisters auf (z.B. Cloud-Provider: Microsoft Azure, EU-Rechenzentrum Frankfurt; E-Mail-Server: Google Workspace). Entscheiden Sie: Einzelgenehmigung oder allgemeine Genehmigung mit Widerspruchsrecht (Ankündigungsfrist: mindestens 30 Tage vor Einsatz eines neuen Sub-AVs).

**Schritt 6 — Löschkonzept festlegen:** Nach Vertragsende: Welche Daten werden wann gelöscht? Wo werden Datenkopien aufbewahrt? Wer bestätigt die vollständige Löschung schriftlich? Löschfristen beachten: §132 BAO (7 Jahre für steuerrelevante Daten) geht der DSGVO-Löschpflicht vor.

**Schritt 7 — Unterzeichnen und aufbewahren:** AVV und TOM-Anhang unterzeichnen (elektronische Signatur nach eIDAS-Verordnung rechtlich gleichwertig). Aufbewahrung für die Dauer der Verarbeitung plus 3 Jahre (DSGVO Art. 5 Abs. 2 — Rechenschaftspflicht).

Der AVV in Österreich muss folgende gesetzliche Anforderungen erfüllen:

**DSGVO Art. 28 — Pflichtinhalt:** Der AVV muss schriftlich oder elektronisch (Art. 28 Abs. 9) vorliegen und alle in Art. 28 Abs. 3 lit. a–h genannten Pflichten des Auftragsverarbeiters festlegen. Die Europäischen Standardvertragsklauseln (Durchführungsbeschluss EU 2021/915 der Europäischen Kommission) können als Vorlage verwendet werden und gelten als DSGVO-konform.

**Datenschutzbehörde (DSB) als österreichische Aufsichtsbehörde:** Die DSB (dsb.gv.at) ist nach DSGVO Art. 51 iVm §18 DSG die österreichische Aufsichtsbehörde. Die DSB kann nach DSGVO Art. 58 untersuchungs- und abhilfebefugte Maßnahmen ergreifen (Prüfungen, Weisungen, vorübergehende/dauerhafte Verarbeitungsverbote) und Bußgelder nach Art. 83 verhängen. Verstöße gegen Art. 28 (fehlender AVV, unvollständiger AVV): bis zu €10.000.000 oder 2% des Jahresumsatzes.

**DSG §6 — Nationales Durchführungsrecht:** Das österreichische DSG ergänzt die DSGVO in Bereichen, die Mitgliedstaaten regeln dürfen: Datenverarbeitung im öffentlichen Bereich; strafrechtliche Sanktionen nach §62–64 DSG (Freiheitsstrafe bis zu 1 Jahr oder Geldstrafe bei vorsätzlichem unbefugtem Zugriff auf Daten). Die §§27–31 DSG regeln die Rechte betroffener Personen in Österreich.

**Drittlandtransfers (DSGVO Kapitel V):** Wenn Daten an Auftragsverarbeiter in Drittländern (außerhalb EU/EWR) übermittelt werden, ist ein Angemessenheitsbeschluss (Art. 45) oder ein geeignetes Schutzinstrument (Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c; verbindliche interne Datenschutzvorschriften nach Art. 47; EU-US Data Privacy Framework nach Durchführungsbeschluss 2023/1795) erforderlich. Im AVV muss geregelt sein, ob und in welche Drittländer Daten übermittelt werden.

**Besondere Datenkategorien (DSGVO Art. 9):** Gesundheitsdaten, biometrische Daten, religiöse Überzeugungen und andere besondere Kategorien personenbezogener Daten erfordern eine ausdrückliche Rechtsgrundlage nach Art. 9 Abs. 2. Im AVV sollte dies ausdrücklich geregelt sein.

Häufige Fehler bei Auftragsverarbeitungsverträgen in Österreich:

**Fehler 1 — Fehlen des AVV:** Viele Unternehmen beauftragen IT-Dienstleister, Marketingagenturen oder externe Buchhaltungsstellen ohne AVV und bemerken den Verstoß erst bei einer DSB-Prüfung oder nach einem Datenschutzvorfall. Jede Beauftragung eines externen Dienstleisters, der personenbezogene Daten verarbeitet, erfordert einen AVV — ohne Ausnahme.

**Fehler 2 — Unvollständiger AVV ohne TOM-Anhang:** Viele AVV enthalten keine konkreten technischen und organisatorischen Maßnahmen (TOMs) oder verweisen nur vage auf „angemessene Sicherheitsmaßnahmen“. Die DSGVO Art. 32 erfordert ein dem Risiko angemessenes Schutzniveau; abstrakte Formulierungen sind nicht ausreichend. Lösung: Konkrete TOM-Liste als AVV-Anhang mit Angaben zu Verschlüsselung, Zugriffskontrolle, Backup, Löschkonzept.

**Fehler 3 — Sub-Auftragsverarbeiter nicht genehmigt:** Cloud-Provider (AWS, Azure, Google Cloud), E-Mail-Anbieter und andere Sub-Auftragsverarbeiter des Dienstleisters müssen entweder einzeln genehmigt oder durch eine allgemeine Genehmigungsklausel mit Widerspruchsrecht abgedeckt sein. Fehlende Genehmigung ist eine eigenständige DSGVO-Pflichtverletzung nach Art. 28 Abs. 2.

**Fehler 4 — Kein Drittlandtransfer-Kapitel trotz US-Cloud:** US-amerikanische Cloud-Dienste (AWS, Google, Microsoft) waren nach dem Schrems-II-Urteil des EuGH (C-311/18, 16.7.2020) ohne gültige Übermittlungsgrundlage problematisch. Seit dem EU-US Data Privacy Framework (Durchführungsbeschluss 2023/1795) können Übermittlungen an zertifizierte US-Unternehmen wieder einfacher erfolgen. Im AVV muss die Übermittlungsgrundlage ausdrücklich angegeben werden.

**Fehler 5 — Keine Löschbestätigung nach Vertragsende:** DSGVO Art. 28 Abs. 3 lit. g schreibt vor, dass nach Ende der Verarbeitung alle personenbezogenen Daten gelöscht oder zurückgegeben werden müssen. Viele Dienstleister versäumen die Löschbestätigung; viele Auftraggeber fragen nicht nach. Lösung: Im AVV konkrete Löschfrist (z.B. 30 Tage nach Vertragsende) und Pflicht zur schriftlichen Löschbestätigung festlegen.