Start / Glossar / Recht und Normen

Auftragsverarbeitungsvertrag (AVV)

Ein Auftragsverarbeitungsvertrag regelt nach Art. 28 DSGVO, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet. Bei der IT-Ausmusterung ist er nötig, solange auf den Geräten noch Daten liegen.

Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Datenschutzaufsichtsbehörden, nennt die Entsorgung von Datenträgern durch Dienstleister ausdrücklich als Beispiel für eine Auftragsverarbeitung. Der Bundesbeauftragte für den Datenschutz sieht das ebenso. Daran ändert sich auch nichts, wenn der Dienstleister die Geräte kauft: Solange personenbezogene Daten auf dem Datenträger sind, bleibt das abgebende Unternehmen für sie verantwortlich.

Art. 28 Abs. 3 DSGVO legt fest, was im Vertrag stehen muss. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten und die Kategorien der betroffenen Personen. Der Dienstleister muss sich verpflichten, nur auf Weisung zu handeln, seine Beschäftigten zur Vertraulichkeit zu verpflichten und die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen. Außerdem geregelt werden müssen der Einsatz von Unterauftragnehmern, die Unterstützung bei Anfragen Betroffener, die Löschung nach Abschluss und das Recht des Auftraggebers, die Einhaltung zu kontrollieren.

Die saubere Grenze verläuft bei der Löschung: Bis die Daten nachweislich gelöscht sind, ist der Dienstleister Auftragsverarbeiter. Danach handelt er mit den leeren Geräten in eigener Verantwortung. Den Nachweis für diesen Übergang liefert das Löschprotokoll.

Verwandte Begriffe

• Löschprotokoll
• Nachweiskette (Chain of Custody)
• ISO/IEC 21964 (vormals DIN 66399)
• ITAD (IT Asset Disposition)

Stand: 25.09.2026. Keine Rechtsberatung.