Auftragsverarbeitungsvertrag (AVV) online unterschreiben

Kaum ein Vertragstyp erzeugt so viel unnötige Unsicherheit wie der Auftragsverarbeitungsvertrag. Viele Ratgeber empfehlen vorsorglich eine qualifizierte elektronische Signatur - dabei beantwortet die DSGVO die Frage selbst: Nach Art. 28 Abs. 9 DSGVO ist der Vertrag schriftlich abzufassen, „was auch in einem elektronischen Format erfolgen kann". Das elektronische Format ist also ausdrücklich zugelassen.

Entscheidend ist die richtige Lesart: „Schriftlich" meint hier nicht die Schriftform des § 126 BGB mit eigenhändiger Unterschrift. Die DSGVO ist eine EU-Verordnung, ihr Formbegriff wird unionsweit autonom ausgelegt und zielt auf nachvollziehbare Dokumentation, nicht auf eine bestimmte Signaturstufe. Ein als PDF abgeschlossener und elektronisch signierter AVV erfüllt die Vorgabe damit ohne Weiteres.

Eine einfache elektronische Signatur leistet sogar mehr, als die Verordnung verlangt: Sie dokumentiert nicht nur den Vertragstext, sondern auch, wer wann zugestimmt hat. Eine QES ist für den AVV weder vorgeschrieben noch von Aufsichtsbehörden gefordert - wer sie dennoch verlangt, folgt einer internen Policy, keiner Rechtspflicht.

An dieser Rechtslage hat sich zwischen 2024 und 2026 nichts geändert. Auch das Bürokratieentlastungsgesetz IV, das zum 1. Januar 2025 viele nationale Formvorschriften gelockert hat, spielte für den AVV keine Rolle - Art. 28 Abs. 9 DSGVO war von Anfang an digitalfreundlich formuliert.

Für Agenturen, IT-Freelancer und SaaS-Anbieter ist der AVV kein Einzelfall, sondern Routine: Sobald ein Projekt personenbezogene Daten berührt - Kundendatenbank, Newsletter-Tool, Hosting, Support-Zugänge -, verlangt Art. 28 DSGVO den Vertrag, und zwar vor der ersten Datenübergabe. Genau hier hakt es im Alltag: Das PDF kursiert als E-Mail-Anhang, niemand fühlt sich zuständig, und beim Projektstart ist die Akte unvollständig.

Mit dem Signatur-Versand wird daraus ein planbarer Schritt im Onboarding. Sie laden Ihren AVV als PDF hoch, tragen die E-Mail-Adresse des Kunden ein und versenden den Signatur-Link - Ihr Gegenüber unterschreibt im Browser am Handy, Tablet oder PC, ganz ohne eigenes Konto. Auf Wunsch sichern Sie den Vorgang zusätzlich mit einem E-Mail-Code ab.

Technische und organisatorische Maßnahmen (TOM), Subunternehmer-Liste und gegebenenfalls der Hauptvertrag lassen sich im selben Versand bündeln - der Kunde signiert alles in einem Durchgang. Wer Dienstleistungsvertrag und AVV getrennt verschickt, eröffnet zwei Baustellen, wo eine genügt.

Für die Unterschrift sind standardmäßig 14 Tage vorgesehen; kurz vor Ablauf erinnert das System den Kunden automatisch. Reagiert er nicht oder lehnt ab, wird der eingesetzte Coin erstattet - ein liegengebliebener AVV kostet Sie damit kein Geld, nur einen neuen Anlauf.

Der zweite typische Moment ist nicht der Neukunde, sondern die Änderung: Sie wechseln den Hosting-Anbieter, nehmen ein neues Analyse-Tool in die Subunternehmer-Liste auf oder überarbeiten Ihre TOM. Dann braucht nicht ein einzelner Kunde eine neue AVV-Fassung, sondern der gesamte Bestand - und zwar dokumentiert, nicht per stillschweigender Website-Aktualisierung.

Für genau diesen Fall gibt es die Batch-Funktion: Sie legen viele Einzel-Anfragen in einem Durchgang an, jede mit eigenem Empfänger, und behalten den Rücklauf gesammelt im Blick. Pro Anfrage sind bis zu 10 Empfänger möglich - etwa wenn auf Kundenseite Geschäftsführung und Datenschutzbeauftragter gemeinsam zeichnen sollen, parallel oder in fester Reihenfolge.

Die Rollen sparen dabei Geld: Nur unterzeichnende Empfänger kosten einen Coin (~1,80 €, Mengenrabatt über Coin-Pakete). Wer den Vorgang nur prüfen oder mitlesen soll - etwa der eigene Datenschutzbeauftragte als Freigeber oder die Buchhaltung in Kopie -, läuft kostenlos mit. Mit dem Pro-Abo signieren Sie ganz ohne Coin-Verbrauch - bei wiederkehrenden AVV-Wellen die planbarere Variante.

Abgeschlossene AVVs übernehmen Sie kostenlos ins Vertragsarchiv - pro Kunde eine Akte, auffindbar nach Anbieter, Tag oder Vertragsnummer. Wenn drei Jahre später jemand wissen will, welche AVV-Fassung Kunde X unterschrieben hat, ist die Antwort ein Suchfeld entfernt.

Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Datenschutz-Grundsätze nachweisen zu können - die Rechenschaftspflicht. Fragt eine Aufsichtsbehörde nach der Grundlage einer Auftragsverarbeitung, genügt die Versicherung nicht, man habe irgendwann etwas vereinbart. Gefragt ist ein Dokument mit Datum, Parteien und nachvollziehbarem Zustandekommen.

Genau das liefert der signierte AVV: Nach Abschluss wird das PDF mit einem PAdES-Server-Siegel gegen nachträgliche Veränderung geschützt. Der Audit-Trail protokolliert Zeitstempel, Dokument-Hash und gehashte IP-Adresse jedes Beteiligten - wer wann welche Fassung gesehen und gezeichnet hat, ist lückenlos dokumentiert.

Das zahlt sich auch im Streitfall aus. Behauptet ein Auftragsverarbeiter später, eine bestimmte TOM-Anlage nie akzeptiert zu haben, entscheidet die freie Beweiswürdigung des Gerichts - und ein manipulationsgeschütztes PDF mit Protokoll wiegt deutlich schwerer als ein loser E-Mail-Anhang ohne jede Unterschrift.

Ein fehlender oder nicht nachweisbarer AVV ist dagegen kein Kavaliersdelikt: Art. 83 Abs. 4 DSGVO sieht für Verstöße gegen Art. 28 Geldbußen von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes vor - und trifft Verantwortlichen wie Auftragsverarbeiter gleichermaßen. Der Fünf-Minuten-Versand ist die deutlich günstigere Versicherung.