Ein Auftragsverarbeitungsvertrag (AVV) ist bei jedem Cloud-ERP oder gehosteten WaWi-System Pflicht, sobald der Anbieter personenbezogene Daten im Auftrag des Unternehmens verarbeitet – etwa Kunden-, Mitarbeiter- oder Lieferantendaten in der Datenbank. Rechtsgrundlage ist Art. 28 der Datenschutz-Grundverordnung (DSGVO). Fehlt der Vertrag oder ist er unvollständig, drohen Bußgelder – auch wenn gar keine Daten abgeflossen sind, allein das Fehlen des Vertrags reicht für eine Sanktion.
Wann genau braucht ein ERP- oder WaWi-Anbieter einen AVV?
Ein AVV ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten verarbeitet, ohne selbst über deren Zweck zu entscheiden – der Anbieter handelt dabei „im Auftrag“ des Unternehmens. Das betrifft praktisch jedes Cloud-ERP– oder SaaS-Szenario: Kundenadressen in der Warenwirtschaft, Mitarbeiterdaten in der Lohnabrechnung, Bewerberdaten im Recruiting-Modul. Bei klassischem On-Premise-Betrieb auf eigener Hardware entfällt die AVV-Pflicht gegenüber dem Softwarehersteller in der Regel, kann aber bei Wartungszugriffen oder Remote-Support trotzdem greifen, sobald der Dienstleister Zugriff auf die Datenbank erhält. Auch reines Hosting bei einem Rechenzentrumsbetreiber, der nur die Server bereitstellt, löst in der Regel einen eigenen AVV mit dem Hoster aus – zusätzlich zu dem mit dem Softwareanbieter.
Pflichtinhalte nach Art. 28 Abs. 3 DSGVO
Der Gesetzestext schreibt vor, was ein AVV mindestens regeln muss. Diese Punkte fehlen in der Praxis am häufigsten oder sind nur oberflächlich formuliert:
- Gegenstand und Dauer der Verarbeitung sowie Art und Zweck (z. B. „Speicherung und Verarbeitung von Kundenstammdaten im ERP-System für die Dauer des Vertragsverhältnisses“).
- Art der personenbezogenen Daten und Kategorien betroffener Personen (Kunden, Mitarbeiter, Lieferanten).
- Verarbeitung nur auf dokumentierte Weisung des Unternehmens – der Anbieter darf Daten nicht eigenmächtig für eigene Zwecke nutzen.
- Vertraulichkeitsverpflichtung für alle Mitarbeiter des Anbieters mit Datenzugriff.
- Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO – Verschlüsselung, Zugriffskontrollen, Backup-Konzept.
- Regeln zu Subunternehmern (Sub-Auftragsverarbeiter) – etwa wenn der ERP-Anbieter seinerseits einen Cloud-Hoster wie AWS oder Hetzner einsetzt.
- Unterstützungspflichten bei Betroffenenrechten (Auskunft, Löschung) und bei Datenschutzverletzungen.
- Löschung oder Rückgabe der Daten nach Vertragsende, inklusive Löschnachweis.
- Kontroll- und Auditrechte des Unternehmens gegenüber dem Anbieter.
Fehlt auch nur einer dieser Punkte vollständig, ist der AVV im strengen Sinne unvollständig – in der Praxis sanktionieren Aufsichtsbehörden allerdings vor allem das komplette Fehlen eines schriftlichen Vertrags, nicht einzelne lückenhafte Klauseln.
Was ohne AVV passiert: zwei dokumentierte Bußgeldfälle
Dass ein fehlender AVV kein theoretisches Risiko ist, zeigen zwei veröffentlichte Entscheidungen deutscher Aufsichtsbehörden:
- Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit verhängte gegen ein Unternehmen ein Bußgeld von 5.000 Euro zzgl. 250 Euro Verfahrensgebühr, weil mit einem beauftragten Dienstleister kein AVV abgeschlossen worden war (veröffentlicht 28.02.2019). Das Unternehmen hatte argumentiert, der Dienstleister habe trotz mehrfacher Aufforderung keinen Vertrag zugeschickt – die Behörde stellte klar, dass beide Vertragspartner für den Abschluss verantwortlich sind.
- Der Landesbeauftragte für den Datenschutz Brandenburg verhängte laut seinem Tätigkeitsbericht 2019 (veröffentlicht 07.04.2020) ein Bußgeld von 50.000 Euro unter anderem wegen eines fehlenden schriftlichen AVV nach Art. 28 Abs. 9 DSGVO, zusätzlich zu Verstößen gegen den Transparenzgrundsatz.
Beide Fälle zeigen: Die Höhe hängt stark vom Kontext ab (Unternehmensgröße, Anzahl der Verstöße, Kooperationsbereitschaft gegenüber der Behörde), aber bereits ein isoliert fehlender AVV reicht für eine Sanktion im vierstelligen Bereich.
AVV bei Cloud-ERP vs. On-Premise: der Unterschied
Bei Cloud-ERP-Lösungen übernimmt der Anbieter Hosting und Betrieb – damit ist praktisch immer ein AVV nötig, oft inklusive einer Kette von Sub-Auftragsverarbeitern (z. B. der zugrunde liegende Cloud-Infrastruktur-Anbieter). Hier lohnt sich ein Blick auf Private- vs. Public-Cloud-Modelle, da bei Public-Cloud-Setups meist mehr Subunternehmer in der Kette stehen und entsprechend mehr Transparenzpflichten gelten. Bei On-Premise-Betrieb liegt die Verantwortung näher beim Unternehmen selbst; ein AVV wird trotzdem relevant, sobald der Softwarehersteller per Fernwartung auf die Datenbank zugreift oder Cloud-Backups als Zusatzdienst anbietet. Wer sich generell mit Datenschutz und Serverstandort bei Cloud-ERP beschäftigt, findet dort die Ebene davor – den AVV regelt dann die vertragliche Umsetzung dieser Anforderungen. Auch für den Ernstfall eines Cloud-ERP-Ausfalls lohnt der Blick in den AVV: Rückgabe- und Löschfristen sowie Haftungsregeln bei Datenverlust sollten dort klar stehen.
Checkliste: Worauf beim AVV mit dem ERP-Anbieter achten
- Liegt überhaupt ein unterschriebener, schriftlicher (oder elektronisch dokumentierter) AVV vor – nicht nur eine Erwähnung in den AGB?
- Sind alle Sub-Auftragsverarbeiter namentlich oder zumindest kategorisch gelistet, inklusive Serverstandort?
- Gibt es eine konkrete Lösch- und Rückgabefrist für den Fall der Vertragsbeendigung?
- Sind die TOM nach Art. 32 DSGVO als Anlage beigefügt und nicht nur pauschal behauptet?
- Räumt der Vertrag dem Unternehmen ein Kontroll- oder Auditrecht ein, etwa durch Testierungen (ISO 27001, BSI C5) statt eines Vor-Ort-Audits?
Viele Anbieter im Anbieter-Verzeichnis stellen ihren AVV standardisiert zum Download bereit – ein Blick ins Kleingedruckte vor Vertragsunterschrift bleibt trotzdem Pflicht der datenschutzrechtlich verantwortlichen Stelle, also des Unternehmens selbst.
Das Wichtigste in Kürze
- Ein AVV ist nach Art. 28 DSGVO bei praktisch jedem Cloud-ERP oder SaaS-System Pflicht, sobald personenbezogene Daten verarbeitet werden.
- Pflichtinhalte sind unter anderem Weisungsgebundenheit, TOM nach Art. 32 DSGVO, Regeln zu Subunternehmern und Löschung nach Vertragsende.
- Deutsche Aufsichtsbehörden haben fehlende AVV bereits mit Bußgeldern von 5.000 bis 50.000 Euro sanktioniert.
- Verantwortlich für den Abschluss sind beide Vertragspartner – „der Anbieter hat nichts geschickt“ schützt nicht vor einem Bußgeld.
- Bei On-Premise-Betrieb entfällt die Pflicht nicht automatisch, sobald Fernwartung oder Cloud-Zusatzdienste im Spiel sind.
Häufige Fragen zum AVV bei ERP-Software
Reicht eine AVV-Klausel in den allgemeinen Geschäftsbedingungen des Anbieters aus?
Nein. Art. 28 Abs. 9 DSGVO verlangt einen eigenständigen schriftlichen oder elektronisch dokumentierten Vertrag mit allen in Abs. 3 genannten Pflichtinhalten – eine knappe AGB-Klausel erfüllt diese Anforderungen in der Regel nicht vollständig.
Wer ist verantwortlich, wenn der ERP-Anbieter keinen AVV anbietet?
Beide Seiten. Wie der Hamburger Bußgeldfall zeigt, schützt es das beauftragende Unternehmen nicht vor einer Sanktion, wenn der Anbieter auf Anfragen nicht reagiert – im Zweifel muss das Unternehmen selbst einen Vertragsentwurf vorlegen.
Brauche ich für jeden Sub-Dienstleister einen eigenen AVV?
Nicht direkt mit dem Unternehmen, aber der Hauptauftragsverarbeiter muss mit jedem Sub-Auftragsverarbeiter seinerseits einen AVV abschließen und diese Kette im eigenen Vertrag mit dem Unternehmen offenlegen beziehungsweise genehmigen lassen.
Gilt die AVV-Pflicht auch für kostenlose Testphasen?
Ja. Sobald im Testzeitraum echte personenbezogene Daten verarbeitet werden – etwa reale Kundendaten statt Testdaten – gelten dieselben Pflichten wie im produktiven Betrieb.
Was passiert mit den Daten, wenn der ERP-Vertrag endet?
Das regelt ebenfalls der AVV: Er muss festlegen, ob Daten gelöscht oder zurückgegeben werden, und innerhalb welcher Frist das zu geschehen hat.
Meine Einschätzung: Der AVV wird in ERP-Projekten oft als reine Formalie am Ende der Vertragsverhandlung behandelt – dabei lohnt sich der Blick hinein schon bei der Anbieterauswahl, nicht erst kurz vor der Unterschrift. Wer die Sub-Auftragsverarbeiter-Liste und die Löschfristen vorab mit der eigenen Rechtsabteilung oder einem externen Datenschutzbeauftragten abgleicht, erspart sich im Zweifel genau die Art von Nachfragen, die im Hamburger Fall zum Bußgeld führten.
