AVV mit dem App-Anbieter: Checkliste (Art. 28 DSGVO)

Sobald Ihre Kommune eine App, ein Fachverfahren oder ein gehostetes Onlineangebot einsetzt, gibt sie personenbezogene Daten der Bürger:innen in fremde Hände – nämlich an den technischen Anbieter. Damit das rechtlich sauber läuft, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung, kurz AVV. Fehlt er, ist das ein eigenständiger Datenschutzverstoß. Dieser Beitrag erklärt, wann ein AVV Pflicht ist, was zwingend hineingehört und worauf Sie beim App-Anbieter achten sollten. Hinweis: Dies ist eine allgemeine Orientierung und keine Rechtsberatung; bei konkreten Fragen ziehen Sie bitte Ihre:n Datenschutzbeauftragte:n hinzu.

Was ist Auftragsverarbeitung?

Von Auftragsverarbeitung spricht man, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung einer anderen Stelle verarbeitet, ohne selbst über Zwecke und Mittel zu entscheiden. Die rechtliche Grundlage ist Art. 28 DSGVO. Für die Gemeinde-App heißt das: Der Anbieter betreibt die Technik, speichert und verarbeitet Daten – aber er tut das für Ihre Kommune, nicht für eigene Zwecke.

Entscheidend ist die Rollenverteilung: Ihre Kommune bleibt die Verantwortliche im Sinne der DSGVO. Sie bestimmt, welche Daten wofür verarbeitet werden, und trägt die Verantwortung gegenüber den Bürger:innen und der Aufsichtsbehörde. Der Anbieter ist Auftragsverarbeiter und handelt weisungsgebunden. Genau diese Konstellation muss der AVV verbindlich festhalten.

Wann ist ein AVV Pflicht?

Ein AVV ist immer dann erforderlich, wenn der Anbieter personenbezogene Daten im Auftrag verarbeitet. Bei gehosteten Apps und SaaS-Lösungen ist das praktisch immer der Fall – schon durch das reine Speichern und Bereitstellen auf den Servern des Anbieters. Aber auch Support, Wartung, Fehleranalyse oder statistische Auswertungen lösen die Pflicht aus, sobald dabei personenbezogene Daten berührt werden.

Wichtig für Kommunen: Ein fehlender AVV ist nicht bloß ein Formfehler, sondern ein eigener Verstoß gegen die DSGVO – unabhängig davon, ob mit den Daten sonst alles korrekt läuft. Deshalb sollte der Vertrag stehen, bevor die erste Verarbeitung beginnt, nicht erst im Nachhinein.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO gibt vor, was ein AVV mindestens regeln muss. Fehlt einer dieser Bausteine, ist der Vertrag lückenhaft. Die folgenden Punkte gehören zwingend hinein (Stand 2026, bitte prüfen):

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Kategorien der verarbeiteten personenbezogenen Daten und die betroffenen Personengruppen
• Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung der Kommune
• Vertraulichkeitsverpflichtung aller mit den Daten befassten Personen
• Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO
• Regelungen zum Einsatz von Sub-Auftragsverarbeitern
• Unterstützung der Kommune bei Betroffenenrechten und bei Meldepflichten für Datenpannen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweis- und Auditrechte der Kommune gegenüber dem Anbieter

Besonders die TOM nach Art. 32 sind mehr als eine Formalie: Sie beschreiben konkret, wie der Anbieter Daten schützt – etwa durch Verschlüsselung, Zugriffskontrollen, Backups und Protokollierung. Diese Angaben gehören idealerweise als eigene Anlage in den Vertrag.

Sub-Auftragsverarbeiter und Drittland

Kaum ein Anbieter erbringt alle Leistungen allein. Rechenzentren, E-Mail-Versand oder Monitoring werden oft von weiteren Dienstleistern übernommen – den Sub-Auftragsverarbeitern. Ihr Einsatz muss im AVV geregelt sein: Die Kommune muss zustimmen (allgemein oder im Einzelfall), und der Anbieter muss eine aktuelle Liste seiner Subunternehmer bereitstellen sowie über Änderungen informieren.

Achten Sie außerdem auf den Verarbeitungsort. Werden Daten in Drittländern außerhalb der EU verarbeitet, sind zusätzliche Garantien nötig, und das Risiko steigt. Für kommunale Daten empfiehlt sich klar ein Hosting in Deutschland oder zumindest innerhalb der EU. Das reduziert rechtliche Unsicherheiten und schafft Vertrauen bei den Bürger:innen.

Warum ein Standard-AVV oft nicht reicht

Viele Anbieter legen ein generisches AVV-Muster vor. Rechtlich ist ein Muster als Grundgerüst zulässig – aber es muss zur tatsächlichen Verarbeitung passen. Genau daran scheitern viele Standardverträge: Sie beschreiben die konkreten Datenarten, Zwecke und Schutzmaßnahmen nur allgemein oder gar nicht.

Für einen belastbaren AVV brauchen Sie eine konkrete Verarbeitungsbeschreibung und aktuelle TOM als Anlage, die wirklich auf die eingesetzte App zugeschnitten sind. Prüfen Sie deshalb kritisch, ob der vorgelegte Vertrag Ihre reale Datenverarbeitung abbildet – oder ob er nur pauschal formuliert ist.

Checkliste: AVV mit dem App-Anbieter prüfen

Mit dieser Checkliste prüfen Sie einen vorgelegten AVV strukturiert (Stand 2026, bitte prüfen):

• Liegt überhaupt ein schriftlicher AVV vor, bevor Daten verarbeitet werden?
• Sind Gegenstand, Dauer, Art, Zweck sowie Datenarten und Betroffenengruppen konkret beschrieben?
• Ist die Weisungsbindung eindeutig geregelt und die Kommune als Verantwortliche benannt?
• Sind aktuelle TOM nach Art. 32 als Anlage beigefügt und nicht nur pauschal erwähnt?
• Gibt es eine transparente Liste der Sub-Auftragsverarbeiter mit Informationspflicht bei Änderungen?
• Findet die Verarbeitung in Deutschland oder der EU statt – oder sind Drittland-Garantien geregelt?
• Ist geregelt, wie der Anbieter bei Betroffenenrechten und Datenpannen unterstützt?
• Sind Löschung oder Rückgabe der Daten nach Vertragsende festgelegt?
• Räumt der Vertrag der Kommune Nachweis- und Auditrechte ein?

Risiko bei fehlendem AVV

Wer ohne gültigen AVV arbeitet, riskiert mehr als eine Rüge. Ein fehlender oder unzureichender AVV ist ein eigenständiger DSGVO-Verstoß. Der Bußgeldrahmen kann bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes betragen (Stand 2026, bitte prüfen). Für Kommunen kommt der Reputationsschaden hinzu: Bürger:innen erwarten von ihrer Verwaltung einen besonders sorgfältigen Umgang mit ihren Daten.

Der gute Weg ist also, den AVV nicht als lästige Pflicht, sondern als Teil einer sauberen Beschaffung zu behandeln. Ein Anbieter, der einen durchdachten AVV mit passenden Anlagen bereitstellt, nimmt Ihrer Verwaltung Arbeit ab und signalisiert, dass er Datenschutz ernst nimmt.

Für die Gemeinde-App liegt ein AVV nach Art. 28 DSGVO bereit – inklusive konkreter Verarbeitungsbeschreibung, dokumentierter TOM und transparenter Übersicht der Sub-Auftragsverarbeiter. Das Hosting erfolgt in Deutschland, die App ist werbefrei und startet ab 19 Euro pro Monat ohne Einrichtungsgebühr – wahlweise als günstige virtuelle App oder als eigene App Ihrer Kommune. Die Grundlagen und den fertigen Vertrag finden Sie unter /auftragsverarbeiter, sodass Sie rechtssicher starten statt mit einem selbstgebauten Vertrag.

Ein AVV ist kein bürokratisches Beiwerk, sondern der rechtliche Rahmen, der Datenverarbeitung im Auftrag Ihrer Kommune überhaupt zulässig macht – prüfen Sie ihn, bevor die erste Verarbeitung beginnt.