Du buchst eine Online-Buchungssoftware, trägst deine Leistungen ein, und schon am ersten Tag landen Name, Telefonnummer und E-Mail deiner Kunden auf einem Server, der dir nicht gehört. Genau in dem Moment brauchst du einen Auftragsverarbeitungsvertrag. Ohne ihn verarbeitest du personenbezogene Daten über einen Dienstleister, ohne dass das rechtlich sauber geregelt ist – und die Verantwortung dafür trägst nicht der Anbieter, sondern du.
Klingt nach Bürokratie? Ist es zum Teil auch. Aber der Teil, den du wirklich verstehen musst, passt in ein paar Minuten. Und wenn dein Anbieter seinen Job macht, hast du am Ende nichts weiter zu tun, als einmal zu klicken.
Was ist ein Auftragsverarbeitungsvertrag überhaupt?
Ein Auftragsverarbeitungsvertrag – kurz AVV – ist der Vertrag zwischen dir und einem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet. Er hält fest, was der Dienstleister mit diesen Daten tun darf, wie er sie schützt und dass er sie nur nach deiner Weisung nutzt.
Übersetzt auf deinen Alltag: Du bist der Verantwortliche für die Daten deiner Kunden. Die Buchungssoftware speichert und verarbeitet diese Daten technisch, entscheidet aber nicht selbst über deren Zweck. Sie handelt in deinem Auftrag. Genau dieses Verhältnis regelt der AVV.
Rechtsgrundlage ist Art. 28 DSGVO. Dort steht ausdrücklich, dass eine Auftragsverarbeitung auf Grundlage eines Vertrags erfolgen muss. Kein „Kann", kein „Sollte". Sobald ein externer Anbieter Kundendaten für dich verarbeitet, gehört dieser Vertrag dazu.
Warum ist ein AVV bei Buchungssoftware Pflicht?
Weil eine Terminbuchungssoftware praktisch nie ohne personenbezogene Daten auskommt. Jeder Termin hat einen Namen dran, meist eine Telefonnummer, eine E-Mail-Adresse, manchmal einen Grund für den Besuch. Das sind personenbezogene Daten im Sinne der DSGVO, und du gibst sie an einen Dienstleister weiter, der sie auf seinen Systemen verarbeitet.
In dem Moment greift Art. 28 DSGVO. Du als Betrieb bleibst der Verantwortliche gegenüber deinen Kunden – auch wenn die Daten technisch woanders liegen. Kommt es zu einer Prüfung durch die Datenschutzaufsicht oder beschwert sich ein Kunde, wirst du gefragt, nicht dein Softwareanbieter. Ein fehlender AVV ist einer der Klassiker, die bei Datenschutzprüfungen zuerst auffallen, weil er so leicht abzuhaken ist.
Ehrlich gesagt: Das ist der Punkt, den viele Selbstständige komplett überspringen, weil sie denken, der Anbieter kümmere sich schon. Der Anbieter stellt den Vertrag bereit – aber abschließen musst du ihn.
Was muss in einem AVV drinstehen?
Art. 28 Abs. 3 DSGVO gibt die Pflichtinhalte ziemlich klar vor. Ein brauchbarer AVV regelt mindestens:
- Gegenstand und Dauer der Verarbeitung – also was verarbeitet wird und wie lange.
- Art und Zweck der Verarbeitung sowie die betroffenen Datenkategorien (Name, Kontaktdaten, Termindaten).
- Weisungsbindung: Der Anbieter darf die Daten nur nach deinen Anweisungen verarbeiten, nicht für eigene Zwecke.
- Vertraulichkeit: Die Mitarbeiter des Anbieters sind zur Verschwiegenheit verpflichtet.
- Technische und organisatorische Maßnahmen (TOM) – wie die Daten konkret geschützt werden, etwa durch Verschlüsselung und Zugriffskontrollen.
- Umgang mit Unterauftragsverarbeitern: Setzt der Anbieter selbst Dienstleister ein (etwa fürs Hosting oder den E-Mail-Versand), muss geregelt sein, dass du davon erfährst.
- Unterstützung bei Betroffenenrechten und Datenpannen sowie die Löschung oder Rückgabe der Daten nach Vertragsende.
Das klingt nach viel, ist bei einem guten Anbieter aber ein fertiges Dokument, das genau diese Punkte enthält. Du musst es nicht selbst schreiben. Du musst nur prüfen, ob sie drinstehen.
Woran erkennst du einen Anbieter, der das ernst nimmt?
Hier trennt sich die Spreu vom Weizen. Ein Anbieter, der Datenschutz ernst nimmt, macht dir den AVV leicht – nicht schwer.
Achte auf drei Dinge. Erstens: Der AVV ist ohne Nachfragen abrufbar, idealerweise direkt im Konto oder mit ein, zwei Klicks abschließbar. Musst du erst per Support-Ticket darum betteln, ist das ein schlechtes Zeichen. Zweitens: Die Unterauftragsverarbeiter sind transparent gelistet – du siehst, wer sonst noch an der Verarbeitung beteiligt ist. Drittens: Es gibt eine klare Angabe zum Server-Standort. Liegen die Daten in Deutschland oder der EU, ersparst du dir die zusätzliche Frage nach Drittlandtransfers komplett.
Genau an diesem Punkt setzt TerminKasten an: Der Auftragsverarbeitungsvertrag ist fertig ausgearbeitet inklusive, die Server stehen in Deutschland, und die Verarbeitung läuft DSGVO-konform. Du schließt den AVV mit wenigen Klicks ab und hast den rechtlichen Teil damit abgehakt, statt Vorlagen aus dem Netz zusammenzusuchen.
Ein kurzer, aber wichtiger Hinweis: Das hier ist keine Rechtsberatung. Für deine individuelle Situation – etwa wenn du mit besonders sensiblen Daten arbeitest – lohnt der Blick eines Fachanwalts. Das Grundprinzip aus Art. 28 DSGVO gilt trotzdem für jeden.
Was passiert, wenn der AVV fehlt?
Formal liegt dann ein Verstoß gegen Art. 28 DSGVO vor. In der Praxis führt das selten sofort zu einem Bußgeld, aber es ist ein Einfallstor. Beschwert sich ein Kunde oder prüft die Aufsichtsbehörde, ist der fehlende Vertrag ein leicht feststellbarer Mangel – und er zeigt, dass der Datenschutz insgesamt nicht sauber aufgesetzt ist. Das wiegt bei einer Bewertung schwerer als der einzelne fehlende Zettel.
Der Aufwand, es richtig zu machen, steht in keinem Verhältnis zum Risiko. Ein AVV ist bei einem ordentlichen Anbieter eine Sache von Minuten.
Häufige Fragen
Wer muss den AVV abschließen – ich oder der Anbieter?
Beide unterschreiben, aber die Verantwortung, dass es passiert, liegt bei dir. Du bist der Verantwortliche im Sinne der DSGVO. Der Anbieter stellt den Vertrag bereit; abschließen und für die Ablage sorgen musst du.
Reicht eine AVV-Vorlage aus dem Internet?
Für deine eigene Rolle als Verantwortlicher hilft dir eine allgemeine Vorlage kaum, weil der AVV konkret die Verarbeitung durch deinen jeweiligen Anbieter beschreiben muss. Nutze den AVV, den dein Softwareanbieter bereitstellt – der ist auf dessen tatsächliche Verarbeitung zugeschnitten.
Brauche ich für jeden Dienstleister einen eigenen AVV?
Ja, für jeden, der in deinem Auftrag personenbezogene Daten verarbeitet. Das betrifft die Buchungssoftware, aber genauso den Newsletter-Dienst, den Cloud-Speicher oder das Rechnungstool. Jede externe Datenverarbeitung braucht ihre eigene Grundlage.
Was hat der Server-Standort mit dem AVV zu tun?
Der AVV regelt das Verhältnis zwischen dir und dem Anbieter. Liegen die Server außerhalb der EU, kommt eine zweite Frage dazu: die nach einem zulässigen Drittlandtransfer. Server in Deutschland oder der EU ersparen dir diesen zusätzlichen Prüfschritt.
---
Ein AVV ist kein Papiertiger, aber auch kein Ungeheuer. Er ist der eine Vertrag, der klarstellt, dass die Daten deiner Kunden auch beim Dienstleister in guten Händen sind. Wähle einen Anbieter, der ihn fertig mitliefert – dann ist der ganze Punkt für dich in fünf Minuten erledigt.
Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt. Trotz sorgfältiger Erstellung können Fehler oder veraltete Informationen nicht ausgeschlossen werden. Bitte prüfen Sie die Angaben vor einer konkreten geschäftlichen Nutzung.