{
    "slug": "dsgvo-auftragsverarbeitung-art-28",
    "titre": "DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter \u0026 Bußgelder",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Immer wenn ein Unternehmen personenbezogene Daten nicht selbst, sondern durch einen externen Dienstleister verarbeiten lässt – etwa durch einen…",
    "resume_court": "Immer wenn ein Unternehmen personenbezogene Daten **nicht selbst**, sondern durch einen **externen Dienstleister** verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine **Auftragsverarbeitung** im Sinne von **Art. 28 der Datenschutz-Grundverordnung (VO (EU) 2016/679, DSGVO)** vor. Der Auftraggeber bleibt **„Verantwortlicher\u0022** (Art. 4 Nr. 7 DSGVO), der Dienstleister ist **„Auftragsverarbeiter\u0022** (Art. 4 Nr. 8 DSGVO).\n\nNach **Art. 28 Abs. 3 DSGVO** muss die Verarbeitung durch einen Auftragsverarbeiter auf Grundlage eines **Vertrags oder eines anderen Rechtsinstruments** erfolgen – dem **Auftragsverarbeitungsvertrag (AVV)**, auch „Data Processing Agreement\u0022 (DPA) genannt. Dieser Vertrag ist **gesetzlich vorgeschrieben** und muss **schriftlich**, auch in **elektronischem Format**, geschlossen werden. Fehlt der AVV oder ist er unvollständig, ist die Verarbeitung **rechtswidrig** – und zwar für **beide** Seiten.\n\nDie DSGVO gilt als **EU-Verordnung unmittelbar** in Deutschland; ein nationales Umsetzungsgesetz ist **nicht** erforderlich. Verstöße gegen Art. 28 werden nach **Art. 83 Abs. 4 lit. a DSGVO** mit Geldbußen von bis zu **10 Mio. €** oder **2 % des weltweiten Jahresumsatzes** (je nachdem, welcher Betrag höher ist) geahndet.",
    "faits": [
        {
            "point": "EU-Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Art. 28 [EUR-Lex, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
            "autorite": "A"
        },
        {
            "point": "Geltung seit",
            "valeur": "25. Mai 2018 (Art. 99 Abs. 2 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Kernpflicht",
            "valeur": "schriftlicher Auftragsverarbeitungsvertrag (AVV/DPA) vor Beginn der Verarbeitung (Art. 28 Abs. 3)",
            "autorite": "A"
        },
        {
            "point": "Form",
            "valeur": "schriftlich, ausdrücklich auch elektronisches Format zulässig (Art. 28 Abs. 9)",
            "autorite": "A"
        },
        {
            "point": "Rollen",
            "valeur": "Verantwortlicher (Art. 4 Nr. 7) beauftragt Auftragsverarbeiter (Art. 4 Nr. 8)",
            "autorite": "A"
        },
        {
            "point": "Pflicht-Inhalte AVV",
            "valeur": "Gegenstand, Dauer, Art und Zweck, Art der Daten, Kategorien Betroffener, Rechte/Pflichten des Verantwortlichen (Art. 28 Abs. 3 Satz 1)",
            "autorite": "A"
        },
        {
            "point": "8 Mindestklauseln",
            "valeur": "Weisungsbindung, Vertraulichkeit, Art.-32-Sicherheit, Sub-AV-Regeln, Unterstützung Betroffenenrechte, Unterstützung Art. 32–36, Löschung/Rückgabe, Nachweis/Audits (Art. 28 Abs. 3 lit. a–h)",
            "autorite": "A"
        },
        {
            "point": "Auswahlpflicht",
            "valeur": "nur Auftragsverarbeiter mit hinreichenden Garantien für DSGVO-konforme Verarbeitung (Art. 28 Abs. 1)",
            "autorite": "A"
        },
        {
            "point": "Sub-Auftragsverarbeiter",
            "valeur": "nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen (spezifisch oder allgemein), Art. 28 Abs. 2",
            "autorite": "A"
        },
        {
            "point": "Weiterreichung an Sub-AV",
            "valeur": "Sub-AV muss dieselben Datenschutzpflichten auferlegt bekommen (Art. 28 Abs. 4)",
            "autorite": "A"
        },
        {
            "point": "Hinweispflicht",
            "valeur": "Auftragsverarbeiter muss melden, wenn eine Weisung gegen die DSGVO verstößt (Art. 28 Abs. 3 Satz 2 lit. h a. E.)",
            "autorite": "A"
        },
        {
            "point": "„Exzess\u0022-Folge",
            "valeur": "Überschreitet der AV die Weisungen und bestimmt Zwecke/Mittel selbst, gilt er für diese Verarbeitung als Verantwortlicher (Art. 28 Abs. 10)",
            "autorite": "A"
        },
        {
            "point": "Standardvertragsklauseln",
            "valeur": "vorab genehmigte SCC der EU-Kommission: Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 lit. a)",
            "autorite": "A"
        },
        {
            "point": "Auslegungshilfe",
            "valeur": "EDSA/EDPB-Leitlinien 07/2020 zu „Verantwortlicher\u0022 und „Auftragsverarbeiter\u0022 (final 2021)",
            "autorite": "A"
        },
        {
            "point": "Betroffener Nutzerkreis",
            "valeur": "alle Unternehmen, Vereine, Behörden, die Datenverarbeitung auslagern (Cloud, IT, Marketing, Payroll, Hosting) – und deren Dienstleister",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), Art. 28 (Auftragsverarbeiter) – Volltext (EUR-Lex, DE)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "DSGVO Art. 28 – konsolidierte Fassung mit Erwägungsgründen (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:02016R0679-20160504",
            "autorite": "A"
        },
        {
            "titre": "Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021 über Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern (EUR-Lex, DE)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915",
            "autorite": "A"
        },
        {
            "titre": "Europäischer Datenschutzausschuss (EDSA/EDPB) – Leitlinien 07/2020 zu den Begriffen „Verantwortlicher\u0022 und „Auftragsverarbeiter\u0022 (finale Fassung, DE)",
            "url": "https://www.edpb.europa.eu/system/files/documents/2023-10/edpb_guidelines_202007_controllerprocessor_final_de.pdf",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Standardvertragsklauseln für die Auftragsverarbeitung (Übersicht)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de",
            "autorite": "A"
        },
        {
            "titre": "§ 62 BDSG (Verarbeitung im Auftrag, öffentliche Stellen) – amtlicher Text (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/__62.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 28 (VO 2016/679) – Auftragsverarbeitung (AVV): Pflichtinhalte, Sub-Auftragsverarbeiter \u0026 Bußgelder?",
            "reponse": "Immer wenn ein Unternehmen personenbezogene Daten nicht selbst, sondern durch einen externen Dienstleister verarbeiten lässt – etwa durch einen Cloud-Anbieter, ein Rechenzentrum, einen Newsletter-Versender, eine Lohnbuchhaltung oder einen IT-Wartungsdienst – liegt eine Auftragsverarbeitung im Sinne von Art. 28 der Datenschutz-Grundverordnung (VO (EU) 2016/679, DSGVO) vor."
        },
        {
            "question": "Für wen gilt DSGVO Art. 28 (VO 2016/679)?",
            "reponse": "Art. 28 DSGVO greift, sobald ein Verantwortlicher einen externen Dienstleister weisungsgebunden personenbezogene Daten verarbeiten lässt. Typische Fälle sind Cloud- und Hosting-Anbieter, Rechenzentren, Software-as-a-Service (SaaS), Newsletter- und E-Mail-Dienste, Lohn- und Gehaltsabrechnung, externe IT-Wartung und Fernwartung, Webanalyse-Dienstleister, Callcenter sowie Akten- und Datenträgervernichter."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 28 (VO 2016/679)?",
            "reponse": "Kein AVV geschlossen: Wird ein Cloud-, Hosting- oder Marketing-Dienstleister ohne AVV eingesetzt, ist die Verarbeitung von Anfang an rechtswidrig – der AVV muss vor Verarbeitungsbeginn vorliegen (Art. 28 Abs. 3). Auftragsverarbeitung mit eigener Verantwortlichkeit verwechseln: Steuerberater, Rechtsanwälte oder Banken sind i. d. R. keine Auftragsverarbeiter, sondern eigene Verantwortliche – ein AVV wäre hier falsch."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q1172074"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-10-20",
    "derniere_verification": "2026-10-20",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-auftragsverarbeitung-art-28"
}