# Was ist ein Auftragsverarbeitungsvertrag (AVV)? | Corex360

> Ein Auftragsverarbeitungsvertrag regelt, woran sich ein Anbieter hält, der für Sie Daten verarbeitet. Er belegt die gemeinsame Verantwortung nach dem KVKK.

Quelle: https://www.corex360.com/de/glossar/auftragsverarbeitungsvertrag
Zuletzt aktualisiert: 2026-09-28

---

[Startseite](https://www.corex360.com/de) [Glossar](https://www.corex360.com/de/glossar) Auftragsverarbeitungsvertrag (AVV)

Glossar · Recht und Daten

# Was ist ein Auftragsverarbeitungsvertrag (AVV)?

Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA) ist der Vertrag zwischen dem Unternehmen, das personenbezogene Daten im Auftrag eines anderen verarbeitet, und dem Unternehmen, das Verantwortlicher ist; er hält fest, zu welchem Zweck, wo und mit welchen Maßnahmen die Daten verarbeitet werden. Er wird beim Einkauf von Cloud-Software, Lohnabrechnungsdiensten und Hosting relevant. Er hält die gemeinsame Sicherheitsverantwortung nach dem KVKK (türkisches Datenschutzgesetz) schriftlich fest.

[Demo anfragen](https://www.corex360.com/de/kontakt?konu=governance#form)

Wozu es dientSo funktioniert esBeispielIrrtümerIn Corex360Oft verwechseltFragen

## Kurze Antwort

- Ein Auftragsverarbeitungsvertrag (AVV, englisch DPA) ist der Vertrag zwischen dem Unternehmen, das personenbezogene Daten im Auftrag eines anderen verarbeitet, und dem Unternehmen, das Verantwortlicher ist; er hält fest, zu welchem Zweck, wo und mit welchen Maßnahmen die Daten verarbeitet werden.
- Vertraut ein Unternehmen Kundendaten einem Cloud-CRM, Lohndaten einem Dienstleister oder seine E-Mails einem Hostinganbieter an, werden die Daten im System eines anderen verarbeitet.
- **Oft verwechselt mit:** [Verantwortlicher (Datenschutz)](https://www.corex360.com/de/glossar#veri-sorumlusu), [Auftragsverarbeiter](https://www.corex360.com/de/glossar#veri-isleyen)

## Warum verlangt man einen Auftragsverarbeitungsvertrag?

Vertraut ein Unternehmen Kundendaten einem Cloud-CRM, Lohndaten einem Dienstleister oder seine E-Mails einem Hostinganbieter an, werden die Daten im System eines anderen verarbeitet. Nach dem KVKK (türkisches Datenschutzgesetz) ist der Verantwortliche, dessen Daten in seinem Auftrag von einem anderen verarbeitet werden, gemeinsam mit diesem für die Sicherheitsmaßnahmen verantwortlich. Der Vertrag hält diese gemeinsame Verantwortung schriftlich fest.

Der Vertrag ist der Text, auf den man sich beruft, wenn es Probleme gibt. Wer wen bei einer Verletzung wann informiert, ob die Daten bei Vertragsende zurückgegeben oder gelöscht werden und ob Unterauftragnehmer eingesetzt werden dürfen, ist dann vorab festgehalten.

## Was steht in einem Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag legt fest, welche personenbezogenen Daten zu welchem Zweck und wie lange verarbeitet werden und dass der Auftragsverarbeiter nur auf Weisung des Verantwortlichen handelt. Der Vertrag regelt außerdem Maßnahmen wie Zugriffskontrolle, Verschlüsselung, Datensicherung und Zugriffsprotokoll, Frist und Form der Meldung einer Datenschutzverletzung, das Land, in dem die Daten gespeichert werden, sowie Rückgabe oder Löschung der Daten nach Vertragsende.

- **Thema und Zweck** Welche personenbezogenen Daten zu welchem Zweck und wie lange verarbeitet werden.

- **Anweisung** Dass der Auftragsverarbeiter nur auf Weisung des Verantwortlichen handelt.

- **Sicherheitsmaßnahmen** Technische und organisatorische Maßnahmen wie Zugriffskontrolle, Verschlüsselung, Sicherung und Zugriffsprotokoll.

- **Meldung von Verletzungen** Wie schnell und auf welchem Weg der Verantwortliche informiert wird, wenn eine Verletzung bemerkt wird.

- **Ort und Übermittlung** In welchem Land die Daten liegen; wenn sie ins Ausland übermittelt werden, auf welcher Grundlage.

- **Beendigung** Rückgabe oder Löschung der Daten bei Vertragsende und wie das dokumentiert wird.

## Ein Beispiel

Eine private Klinik beschließt, Patiententermine in eine Cloud-Software zu verlagern. Beim Kauf verlangt sie vom Softwareanbieter einen Auftragsverarbeitungsvertrag und achtet besonders darauf, in welchem Land die Daten liegen, ob Sicherungen verschlüsselt sind und wie die Daten bei Vertragsende übergeben werden. Weil die Antworten im Vertrag stehen, kann die Klinik zeigen, mit welchem Dokument sie ihre Pflichten erfüllt.

## Welche Irrtümer über KVKK und Datenverarbeitung sind verbreitet?

Beim Kauf von Cloud-Software hört man zum KVKK oft zwei Annahmen: Die Daten müssten immer in der Türkei bleiben, und mit dem Vertrag gehe die ganze Verantwortung auf den Anbieter über. Jeder Punkt nennt die verbreitete Annahme, die Regel des KVKK und den Link zu mevzuat.gov.tr; zu Regeln Ihrer Branche fragen Sie Ihre Beratung.

- **Irrtum:** Das KVKK schreibt vor, Daten in jedem Fall in der Türkei zu speichern.

**Richtig ist:** Das KVKK knüpft Übermittlungen ins Ausland an Bedingungen: Liegen eine der Verarbeitungsvoraussetzungen und ein Angemessenheitsbeschluss für das Zielland vor, ist die Übermittlung zulässig; fehlt der Beschluss, ist eine der im Gesetz genannten geeigneten Garantien erforderlich (KVKK Art. 9). In einigen besonders regulierten Branchen kann zusätzlich eine Pflicht zur Speicherung im Inland bestehen. [KVKK Art. 9](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5)

- **Irrtum:** Mit der Unterzeichnung eines Auftragsverarbeitungsvertrags geht die Verantwortung für die Sicherheit vollständig auf den Softwareanbieter über.

**Richtig ist:** Auch wenn die Daten von einem anderen verarbeitet werden, haftet der Verantwortliche gemeinsam mit diesem für die Sicherheitsmaßnahmen (KVKK Art. 12 Abs. 2). Der Vertrag hält diese gemeinsame Verantwortung fest, er hebt sie nicht auf. [KVKK Art. 12](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5)

Diese Seite enthält allgemeine Informationen und ist keine Rechtsberatung; die Rechtslage wurde zuletzt am 25. September 2026 geprüft. **Amtlicher Text:** [Gesetz zum Schutz personenbezogener Daten (mevzuat.gov.tr)](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), [Türkische Datenschutzbehörde (kvkk.gov.tr)](https://www.kvkk.gov.tr)

## Wie sieht das in Corex360 aus?

Corex360 läuft auf zwei Arten: in einem eigenen Bereich für Ihr Unternehmen in der Corex360 Cloud oder auf Ihrem [eigenen Server](https://www.corex360.com/de/loesungen/eigener-server); die Wahl steht im Vertrag. Jede Anmeldung, jedes Gerät und jeder Zugriff wird protokolliert. Personenbezogene Daten werden im Rahmen des KVKK (türkisches Datenschutzgesetz) verarbeitet.

[Sicherheit und Hosting](https://www.corex360.com/de/sicherheit)[KVKK: Cloud oder eigener Server](https://www.corex360.com/de/blog/kvkk-cloud-oder-eigener-server)

## Häufig verwechselte Begriffe

| [Verantwortlicher (Datenschutz)](https://www.corex360.com/de/glossar#veri-sorumlusu) | Der Verantwortliche ist die Partei, die entscheidet, warum und wie Daten verarbeitet werden; meist das Unternehmen, das die Software kauft. Der Vertrag hält seine Weisungen fest. |

| [Auftragsverarbeiter](https://www.corex360.com/de/glossar#veri-isleyen) | Der Auftragsverarbeiter ist die Partei, die Daten im Namen und nach Weisung des Verantwortlichen verarbeitet; ein Cloud-Softwareanbieter ist das typische Beispiel. Die meisten Pflichten im Vertrag liegen bei ihm. |

**Verwandte Begriffe:** [Auftragsverarbeiter](https://www.corex360.com/de/glossar#veri-isleyen), [Verantwortlicher (Datenschutz)](https://www.corex360.com/de/glossar#veri-sorumlusu), [VERBİS (Register der Verantwortlichen)](https://www.corex360.com/de/glossar/verbis-register-fuer-verantwortliche)

## Häufige Fragen

### Macht das KVKK einen Auftragsverarbeitungsvertrag zur Pflicht?

Das KVKK schreibt keinen eigenen Vertrag unter diesem Namen vor. Weil der Verantwortliche aber gemeinsam mit dem, der Daten in seinem Auftrag verarbeitet, für die Sicherheitsmaßnahmen einsteht, ist es in der Praxis üblich, diese Maßnahmen in einem schriftlichen Vertrag festzulegen. In der Europäischen Union verlangt die DSGVO einen solchen Vertrag ausdrücklich.

### Ist der Cloud-Softwareanbieter im Auftragsverarbeitungsvertrag der Verantwortliche?

Meist nicht. Weil er Daten im Auftrag seines Kunden verarbeitet, ist er Auftragsverarbeiter. Für Daten, die er zu eigenen Zwecken verarbeitet, etwa die Rechnungsdaten seiner Kunden, ist er Verantwortlicher.

### Was passiert mit den Daten, wenn der Auftragsverarbeitungsvertrag endet?

Je nach Vertrag werden die Daten dem Verantwortlichen zurückgegeben, gelöscht oder beides. Wie die Löschung dokumentiert wird, sollte ebenfalls im Vertrag stehen.

[Glossar für Unternehmenssoftware](https://www.corex360.com/de/glossar)

## Verwandte Fragen

**[Werden Daten einzelner Personen in VERBİS eingetragen?](https://www.corex360.com/de/glossar/verbis-register-fuer-verantwortliche#sss)**
Nein. An das Register gemeldet werden Zwecke, Personengruppen, Datenkategorien, Empfängergruppen, Übermittlungen ins Ausland, Sicherheitsmaßnahmen und die maximale Speicherdauer (KVKK Art. 16 Abs. 3). Name oder Telefonnummer eines Kunden werden nicht in das Register geschrieben.

War diese Seite hilfreich?