Wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, braucht dafür nach Art. 28 DSGVO eine vertragliche Grundlage: den Auftragsverarbeitungsvertrag (AVV). Er regelt Umfang, Art und Zweck der Verarbeitung sowie die Pflichten des Auftragsverarbeiters. Ergänzt wird der AVV durch die technischen und organisatorischen Maßnahmen (TOMs), die konkret beschreiben, wie personenbezogene Daten geschützt werden.
Das Wichtigste vorab Sobald personenbezogene Daten auf zunicode-Infrastruktur verarbeitet werden – etwa in einer gehosteten Anwendung mit Nutzerkonten oder Kundendaten –, ist der Abschluss eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO erforderlich. Die TOMs sind fester Bestandteil des AVV und werden als Anlage mitgeliefert.
Was ein Auftragsverarbeitungsvertrag regelt
Beauftragt ein Unternehmen (Verantwortlicher) einen Dienstleister (Auftragsverarbeiter) damit, personenbezogene Daten zu verarbeiten, schreibt Art. 28 DSGVO dafür einen schriftlichen Vertrag vor. Er legt unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die betroffenen Personengruppen sowie die Rechte und Pflichten des Verantwortlichen fest.
Ohne einen solchen Vertrag ist die Auslagerung einer Datenverarbeitung an einen externen Dienstleister nicht DSGVO-konform – unabhängig davon, wie sorgfältig der Dienstleister technisch und organisatorisch arbeitet.
Was die TOMs enthalten
Die technischen und organisatorischen Maßnahmen sind die nach Art. 32 DSGVO vorgeschriebene Anlage zum AVV. Sie dokumentieren konkret, mit welchen Maßnahmen personenbezogene Daten geschützt werden – etwa Zugangs- und Zugriffskontrollen, Verschlüsselung, Verfügbarkeit und Vorgehen bei Sicherheitsvorfällen. Anhand der TOMs kann der Verantwortliche einschätzen, ob das Schutzniveau zum Risiko der jeweiligen Verarbeitung passt.
Wann der Abschluss relevant wird
- Betrieb einer Anwendung mit Kunden- oder Nutzerdaten auf zunicode-Infrastruktur.
- Speicherung oder Verarbeitung personenbezogener Daten in einem gehosteten Dienst.
- Weitergabe von Daten Dritter – etwa Mitarbeitende oder Kundinnen und Kunden – im Rahmen der genutzten Leistung.
So kommst du an die aktuellen Dokumente
Der Auftragsverarbeitungsvertrag steht oben auf dieser Seite als aktuelle Version zum Download bereit. Die dazugehörigen TOMs als Anlage 3 findest du hier. Da sich Vertragsinhalte und Maßnahmen mit der Zeit weiterentwickeln können, gilt für den einzelnen Vertragsabschluss die zu diesem Zeitpunkt aktuelle Fassung als verbindlich.
Hast du Fragen?
Bei Fragen zu Inhalt oder Anwendung von AVV und TOMs unterstützen wir gerne im direkten Austausch.
Quelle
- Verordnung (EU) 2016/679 (DSGVO) – EUR-Lex – amtlicher Text, insbesondere Art. 28 (Auftragsverarbeiter) und Art. 32 (Sicherheit der Verarbeitung).
Quelle abgerufen am 8. August 2026. Dieser Beitrag ist keine Rechtsberatung und ersetzt keine eigene rechtliche Prüfung des konkreten Einzelfalls; verbindlich sind die beim jeweiligen Vertragsabschluss geltenden Vertragsunterlagen.
