# Wer für Sie Daten verarbeitet, braucht einen Vertrag — auch Ihre Software. Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, verlangt Art. 28 DSGVO einen Vertrag über die Auftragsverarbeitung. Das betrifft die Software, in der Ihre Kundendaten liegen, ebenso wie das Lohnbüro, den IT-Dienstleister und den Cloud-Speicher. Verantwortlich gegenüber den Betroffenen bleiben Sie — nicht der Dienstleister. > Stand: 2026-09-03 · Nächste Prüfung: 2027-03-01 · Verfasst von Stephan Grundmeyer > Quelle: https://nexdeck.de/wissen/auftragsverarbeitung-handwerksbetrieb/ ## Wann brauche ich einen Auftragsverarbeitungsvertrag? Immer dann, wenn ein Dienstleister personenbezogene Daten **weisungsgebunden für Sie** verarbeitet — er entscheidet nicht über Zwecke und Mittel, sondern führt aus. Typische Fälle im Handwerksbetrieb: die Betriebssoftware mit Kunden- und Mitarbeiterdaten, der Cloud-Speicher, das Lohnbüro, der IT-Dienstleister mit Fernwartungszugang, ein Callcenter, ein Newsletter-Versender. Kein Auftragsverarbeiter ist, wer **eigenverantwortlich** handelt: die Steuerkanzlei bei der Erstellung des Jahresabschlusses, der Rechtsanwalt, der Wirtschaftsprüfer. Sie sind selbst Verantwortliche. Die Abgrenzung ist nicht immer eindeutig — die Steuerkanzlei etwa ist bei der reinen Lohnabrechnung nach verbreiteter Auffassung Auftragsverarbeiterin, bei der Beratung nicht. Im Zweifel klärt das Ihre Datenschutzberatung. ## Was muss in dem Vertrag stehen? Art. 28 Abs. 3 DSGVO gibt einen festen Katalog vor: **Gegenstand und Dauer**, **Art und Zweck** der Verarbeitung, **Art der Daten** und **Kategorien betroffener Personen**, sowie die Pflichten und Rechte des Verantwortlichen. Dazu die Zusagen des Auftragsverarbeiters: Verarbeitung nur auf **dokumentierte Weisung**, **Vertraulichkeit** der eingesetzten Personen, technische und organisatorische Maßnahmen nach **Art. 32**, Regelungen zu **Unterauftragsverarbeitern**, Unterstützung bei Betroffenenrechten und Meldepflichten, **Löschung oder Rückgabe** am Ende, und Nachweise für Kontrollen. „Unterauftragsverarbeiter" ist der Punkt, an dem Verträge unvollständig sind. Ihre Software nutzt selbst Dienstleister — Hosting, E-Mail-Versand, Fehlerdiagnose. Sie haben Anspruch darauf, sie zu kennen und einer Änderung widersprechen zu können. ## Was bedeutet das für meine eigene Verantwortung? Sie bleibt bei Ihnen. Der Auftragsverarbeiter haftet für seine eigenen Verstöße; **verantwortlich gegenüber Kunden und Mitarbeitern** sind Sie. Praktisch heißt das: Sie müssen Ihre Dienstleister **auswählen** und dabei prüfen, ob sie hinreichende Garantien bieten (Art. 28 Abs. 1 DSGVO). Ein AVV, den man unterschreibt, ohne hineinzusehen, erfüllt das nicht. Und Sie müssen Auskunfts- und Löschverlangen beantworten können — auch wenn die Daten in einem System liegen, das jemand anders betreibt. Deshalb ist eine funktionierende **Exportmöglichkeit** kein Komfortmerkmal. ## Welche Unterlagen sollte ich ohnehin haben? Ein **Verzeichnis von Verarbeitungstätigkeiten** nach Art. 30 DSGVO. Die Ausnahme für Betriebe unter 250 Beschäftigten greift praktisch nie, weil sie bei nicht nur gelegentlicher Verarbeitung entfällt — und Kunden- und Personaldaten verarbeitet jeder Betrieb regelmäßig. Die **AVV** mit allen Auftragsverarbeitern, gesammelt an einer Stelle. Ein **Löschkonzept**: welche Datenart, welche Frist, welches Ereignis startet sie. Die **Informationen nach Art. 13/14 DSGVO** für Kunden und Beschäftigte. Eine **Meldekette** für den Fall einer Datenpanne — Art. 33 DSGVO verlangt die Meldung an die Aufsichtsbehörde binnen **72 Stunden**, und diese Frist läuft auch am Wochenende. Ein **Datenschutzbeauftragter** ist nach § 38 BDSG zu benennen, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung personenbezogener Daten beschäftigt sind — oder unabhängig davon in bestimmten Fällen des Art. 37 DSGVO. ## Was ist mit Daten, die auf dem Handy des Monteurs liegen? Sie unterliegen denselben Regeln. Fotos einer Baustelle mit Personen darauf, Kundenadressen im Telefonbuch, Nachrichten in einem privaten Messenger — all das ist Verarbeitung personenbezogener Daten in Ihrem Betrieb. Der praktisch häufigste Verstoß im Handwerk ist deshalb kein fehlender Vertrag, sondern ein **privater Messenger** als Baustellen-Kommunikation: Daten auf privaten Geräten, bei einem Anbieter ohne AVV, ohne Löschkonzept und ohne Zugriff des Betriebs. Eine betriebliche Lösung mit klarem Zugriff und klarer Löschung ist hier kein Komfort, sondern der Unterschied zwischen dokumentierbarer und undokumentierter Verarbeitung. ## Wie hält NexDeck es damit? NexDeck ist **Auftragsverarbeiter** seiner Mandanten. Ein AVV nach Art. 28 DSGVO steht bereit; das Verzeichnis der **Unterauftragsverarbeiter** ist öffentlich einsehbar, mit Rechtsträger, Land und Zweck. Die Verarbeitung findet **in der EU** statt. Die technischen und organisatorischen Maßnahmen sind dokumentiert. Ein **Datenexport** des gesamten Mandanten ist eingebaut — Datensätze und Belege. Das ist die Voraussetzung dafür, dass Sie Auskunfts- und Löschverlangen beantworten und den Anbieter wechseln können. Ein AVV mit uns deckt **uns** ab, nicht Ihre übrigen Dienstleister. Das Thema ist mit einer Unterschrift nicht erledigt. ## Woher das kommt - **Art. 28 DSGVO** — Auftragsverarbeitung; Abs. 1 Auswahlpflicht, Abs. 3 Pflichtinhalte des Vertrags. (abgerufen am 03.09.2026) - **Art. 30 DSGVO** — Verzeichnis von Verarbeitungstätigkeiten; die 250-Personen-Ausnahme entfällt bei nicht nur gelegentlicher Verarbeitung. (abgerufen am 03.09.2026) - **Art. 32 DSGVO** — Technische und organisatorische Maßnahmen. (abgerufen am 03.09.2026) - **Art. 33 DSGVO** — Meldung einer Verletzung des Schutzes personenbezogener Daten binnen 72 Stunden. (abgerufen am 03.09.2026) - **Art. 13 und 14 DSGVO** — Informationspflichten gegenüber betroffenen Personen. (abgerufen am 03.09.2026) - **§ 38 BDSG** — Benennung eines Datenschutzbeauftragten ab in der Regel 20 ständig mit automatisierter Verarbeitung beschäftigten Personen. (abgerufen am 03.09.2026) Dieser Artikel gibt den Stand der Veröffentlichung wieder und ersetzt keine Beratung im Einzelfall.