AV-Vertrag für Makler: Wer braucht wirklich einen?

„Ohne unterschriebenen AV-Vertrag drohen Ihnen Bußgelder“ steht in der Mail vom Softwarehaus, gleich neben dem Link zum vorausgefüllten PDF. Solche Sätze lesen Sie in fast jeder zweiten Nachricht von Dienstleistern. Das Problem: Ein Auftragsverarbeitungsvertrag ist kein Ablasshandel, den Sie vorsorglich mit jedem abschließen, der Ihre Kundendaten zu Gesicht bekommt. Er ist ein präzises Instrument für eine ganz bestimmte Konstellation. Wer ihn dort abschließt, wo er hingehört, und dort weglässt, wo er sachlich falsch wäre, spart sich Papierkram und macht sein Büro sauberer aufgestellt als der Kollege, der blind überall unterschreibt.

Was ein AV-Vertrag ist und wann Art. 28 DSGVO greift

Der Auftragsverarbeitungsvertrag (kurz AVV oder AV-Vertrag) regelt das Verhältnis zwischen Ihnen als Verantwortlichem und einem Dienstleister, der personenbezogene Daten ausschließlich in Ihrem Auftrag und nach Ihrer Weisung verarbeitet. Die Rechtsgrundlage steht in Art. 28 DSGVO. Der Kern: Ihr Dienstleister entscheidet nicht selbst über Zweck und Mittel der Verarbeitung, sondern führt nur aus, was Sie vorgeben. Das klassische Bild ist der Rechenzentrumsbetreiber, der Ihre Daten speichert, aber inhaltlich nichts damit anfängt.

Art. 28 DSGVO schreibt vor, dass ein solcher Auftrag schriftlich fixiert wird, wobei ein elektronisches Format genügt. Der Vertrag muss unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen, die Weisungsbindung, die Vertraulichkeit, die technischen und organisatorischen Maßnahmen sowie den Umgang mit Unterauftragnehmern und die Löschung nach Auftragsende benennen. Fehlt dieser Vertrag, wo er gebraucht wird, ist das ein eigener Verstoß, unabhängig davon, ob je etwas mit den Daten passiert.

Auftragsverarbeitung vs. eigene Verantwortlichkeit: der entscheidende Unterschied

Ob Sie einen AVV brauchen, hängt an einer einzigen Frage: Wer entscheidet über die Zwecke der Datenverarbeitung? Die Antwort liefert Art. 4 DSGVO. Verantwortlicher (Nr. 7) ist, wer über Zweck und Mittel bestimmt. Auftragsverarbeiter (Nr. 8) ist, wer für den Verantwortlichen verarbeitet, ohne eigene Zwecke zu verfolgen.

Ein Beispiel aus Ihrem Alltag: Ihr Maklerverwaltungsprogramm speichert Kundenstammdaten, Verträge und Schadenshistorie. Der Softwareanbieter nutzt diese Daten zu nichts anderem, als Ihnen die Funktion bereitzustellen. Das ist Auftragsverarbeitung, hier passt Art. 28 DSGVO. Der Versicherer dagegen prüft mit denselben Daten sein eigenes Risiko, kalkuliert seine Prämie und erfüllt seine gesetzlichen Aufbewahrungspflichten. Er verfolgt eigene Zwecke, ist also selbst Verantwortlicher. Zwischen zwei Verantwortlichen gibt es keinen AV-Vertrag, sondern zwei getrennte Rechtsgrundlagen und, wo nötig, eine saubere Datenübermittlung.

Diese Unterscheidung ist die halbe Miete. Wer sie beherrscht, erkennt bei jedem Partner in Sekunden, was zu tun ist. Die Grundzüge dieser Rollenverteilung vertiefen wir im Beitrag zu den DSGVO-Grundlagen für Makler.

Mit wem Sie einen AVV brauchen: MVP, Cloud, IT (Checkliste)

Bei diesen Partnern ist der Auftragsverarbeitungsvertrag Pflicht, weil sie in Ihrem Auftrag arbeiten:

• Maklerverwaltungsprogramm (MVP): Der Anbieter Ihrer Bestandsverwaltung hostet und verarbeitet Ihre Kundendaten für Sie. Welche Kriterien bei der Auswahl sonst noch zählen, lesen Sie im Ratgeber Maklerverwaltungsprogramm auswählen.
• Cloud-Speicher und Hosting: Dropbox, ein Nextcloud-Hoster, Ihr Webhoster mit Kontaktformular, jede Ablage von Kundendokumenten in fremden Rechenzentren.
• IT-Dienstleister und Fernwartung: Wer Ihre Systeme betreut, per Fernzugriff auf Rechner mit Kundendaten schaut oder Ihr Netzwerk administriert.
• Newsletter- und E-Mail-Marketing-Tools: Versanddienstleister, die Ihre Empfängerlisten speichern und in Ihrem Auftrag verschicken.
• CRM- und Terminbuchungssysteme: Externe Tools, die Interessenten- und Kundendaten für Sie vorhalten.
• Aktenvernichter und externe Archivierung: Auch physische Dienstleister, die Kundenakten in Ihrem Auftrag lagern oder vernichten, fallen darunter.

Ein guter Test: Könnten Sie dem Dienstleister theoretisch per Weisung verbieten, die Daten anders zu nutzen? Wenn ja, ist es Auftragsverarbeitung.

Mit wem nicht: Versicherer, Pool, Steuerberater

Hier wird am häufigsten falsch unterschrieben. Diese Partner sind keine Auftragsverarbeiter:

• Versicherer und Produktgeber: Sie sind eigenständig Verantwortliche. Wenn Sie einen Antrag einreichen, entscheidet der Versicherer selbst über Annahme, Prämie und weitere Verarbeitung. Ein AVV wäre hier sachlich falsch. Grundlage der Weitergabe ist die Vertragserfüllung und die Einwilligung Ihres Kunden.
• Maklerpool und Verbund: Soweit der Pool Courtagen abrechnet, eigene Verträge betreut und als Vertragspartner der Gesellschaften auftritt, verfolgt er eigene Zwecke und ist selbst Verantwortlicher. Achtung auf die Ausnahme: Stellt Ihnen derselbe Pool zusätzlich rein technisch ein Vergleichs- oder Verwaltungstool bereit, kann für genau diese Funktion Auftragsverarbeitung vorliegen. Lassen Sie sich vom Pool schriftlich erklären, in welcher Rolle er welche Daten verarbeitet.
• Steuerberater, Rechtsanwalt, Wirtschaftsprüfer: Berufsgeheimnisträger handeln nach eigenem Berufsrecht und eigener fachlicher Verantwortung. Sie sind eigene Verantwortliche, kein AVV.
• Banken und Zahlungsdienstleister: Sie erfüllen eigene gesetzliche Pflichten, etwa aus dem Geldwäschegesetz, und sind damit selbst verantwortlich.
• Behörden und die Aufsicht (BaFin, IHK): Empfänger kraft gesetzlicher Aufgabe, niemals in Ihrem Auftrag.

Wo Sie zwei Verantwortliche haben, brauchen Sie keinen AVV, aber eine belastbare Rechtsgrundlage und einen sauberen Eintrag in Ihrem Verzeichnis von Verarbeitungstätigkeiten.

Drittland USA: Was bei Microsoft 365 und Co. zu beachten ist

Sobald ein Dienstleister Daten außerhalb der EU verarbeitet, kommt zum AVV eine zweite Ebene dazu. Die Übermittlung in Drittländer regeln Art. 44 ff. DSGVO. Für die USA hat die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss für das EU-U.S. Data Privacy Framework erlassen. Praktisch heißt das: Nutzen Sie einen US-Anbieter wie Microsoft 365, Google Workspace oder einen amerikanischen Cloud-Dienst, prüfen Sie, ob das konkrete Unternehmen unter diesem Framework zertifiziert ist. Ist es das, gilt der Datentransfer als angemessen abgesichert.

Verlassen Sie sich nicht allein darauf. Das Framework ist der Nachfolger des vom Europäischen Gerichtshof im Schrems-II-Urteil (2020) gekippten Privacy Shield und kann rechtlich erneut angegriffen werden. Als zusätzliche Absicherung dienen die Standardvertragsklauseln der EU-Kommission, die viele Anbieter ohnehin in ihre Verträge einbinden. Dokumentieren Sie für jeden US-Dienst, auf welcher Grundlage Sie übermitteln, und halten Sie das im Verarbeitungsverzeichnis fest. Bei größeren Vorhaben lohnt eine kurze Rücksprache mit einem Datenschutzbeauftragten oder einer fachkundigen Beratung.

So prüfen Sie die technisch-organisatorischen Maßnahmen Ihres Dienstleisters

Der AVV verlangt nach Art. 32 DSGVO, dass Ihr Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen (TOM) trifft. Als Verantwortlicher müssen Sie das nicht blind glauben, sondern nachvollziehen können. Achten Sie auf:

• Verschlüsselung der Daten bei Übertragung und Speicherung.
• Zugriffskontrolle, also wer im Unternehmen des Dienstleisters an Ihre Daten kommt und wie das protokolliert wird.
• Standort der Rechenzentren und benannte Unterauftragnehmer.
• Zertifizierungen wie ISO 27001 oder ein testiertes TOM-Dokument als Anlage zum AVV.
• Verfahren bei Datenpannen, insbesondere die Zusage, Sie unverzüglich zu informieren.

Orientierung liefert der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (bsi.bund.de). Eine praxisnahe Vorlage für Ihr eigenes Haus finden Sie in unserer TOM-Checkliste fürs Maklerbüro.

Wer haftet bei einer Panne des Dienstleisters?

Ein weit verbreiteter Irrtum lautet, ein unterschriebener AVV schiebe die Haftung komplett zum Dienstleister. So funktioniert es nicht. Nach Art. 82 DSGVO können betroffene Personen Schadenersatz geltend machen, und im Außenverhältnis bleiben Sie als Verantwortlicher gegenüber Ihren Kunden zunächst in der Verantwortung. Der Auftragsverarbeiter haftet, wenn er seine spezifischen Pflichten verletzt oder gegen Ihre rechtmäßigen Weisungen gehandelt hat.

Der AVV schützt Sie an einer anderen Stelle: Er dokumentiert, dass Sie den Dienstleister sorgfältig ausgewählt und vertraglich gebunden haben. Wer einen Auftragsverarbeiter nach Art. 28 DSGVO ohne hinreichende Garantien beauftragt, verletzt bereits selbst eine Pflicht. Ein sauberer Vertrag mit geprüften TOM ist also Ihr Nachweis, Ihrer Sorgfaltspflicht nachgekommen zu sein, und im Innenverhältnis die Grundlage, um Regress zu nehmen.

Kommt es zur Panne, zählt jede Stunde. Wie Sie eine meldepflichtige Verletzung fristgerecht behandeln, lesen Sie im Beitrag Datenpanne in 72 Stunden melden.

Fazit für Ihr Büro

Gehen Sie Ihre Dienstleisterliste einmal durch und stellen Sie zu jedem Partner die eine Frage: Verarbeitet er in meinem Auftrag oder verfolgt er eigene Zwecke? MVP, Cloud, IT und Newsletter gehören auf die AVV-Seite, Versicherer, Pool, Steuerberater und Behörden auf die Seite der eigenen Verantwortlichen. Nutzen Sie die Vertragsvorlagen, die seriöse Anbieter mitliefern, und lassen Sie diese im Zweifel von einem Datenschutzbeauftragten prüfen. Dieser Beitrag ersetzt keine Rechtsberatung, aber er verhindert, dass Sie aus Angst Verträge schließen, die keiner braucht, und die wichtigen dort abschließen, wo es zählt.