Was ist ein AV-Vertrag?
Ein AV-Vertrag – ausgeschrieben Vertrag zur Auftragsverarbeitung, oft auch AVV – regelt, wie ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet. Grundlage ist Art. 28 DSGVO. Du bleibst Verantwortlicher und bestimmst, was mit den Daten geschieht; der Dienstleister ist Auftragsverarbeiter und darf sie nur nach deinen Weisungen verwenden.
Art. 28 Abs. 3 DSGVO schreibt vor, was mindestens darin stehen muss:
- Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der Daten und Kreis der Betroffenen
- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeit der Personen, die Zugang haben
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Regeln für weitere Dienstleister (Unterauftragsverarbeiter)
- Unterstützung bei Anfragen Betroffener und bei Datenpannen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweise und Kontrollen
Der Vertrag darf elektronisch geschlossen werden (Art. 28 Abs. 9 DSGVO). Papier und Unterschrift sind nicht nötig.
Wann brauchst du einen AV-Vertrag?
Sobald du einen Cloud-Speicher nutzt, um personenbezogene Daten anderer Menschen beruflich abzulegen. Typische Beispiele:
- Angebote, Rechnungen und Verträge mit Namen und Anschriften deiner Kundschaft
- Befunde und Berichte in einer Praxis, Schriftsätze in einer Kanzlei, Belege im Steuerbüro
- Bewerbungen und Personalunterlagen, auch wenn du nur eine Aushilfe beschäftigst
- Fotos und Projektdateien, auf denen Kundinnen oder Kunden zu erkennen sind
Das gilt unabhängig von der Größe: auch für Einzelunternehmen, Freiberufler und kleine Büros. Keinen AV-Vertrag brauchst du für rein private Dateien – die DSGVO gilt nicht für ausschließlich persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO). Deshalb gibt es bei SafeDoc im kostenlosen Tarif, der für die private Nutzung gedacht ist, keinen AV-Vertrag.
Das ist eine allgemeine Orientierung, keine Rechtsberatung.
Was SafeDoc anbietet
| Frage | Bei SafeDoc | Stand |
|---|---|---|
| Für wen? | Jeder bezahlte Tarif ab Plus – auch für Einzelpersonen, nicht erst ab einer Mindestzahl an Nutzern. | Fertig · startet mit Bezahltarifen |
| Wo? | Im Konto unter Einstellungen → Verträge. | |
| Organisationen | Eigentümer und Admins schließen ihn in der Organisation ab. | Fertig · startet mit Business-Tarifen |
| Vorher lesen | Der volle Wortlaut ist in jedem Konto lesbar, auch im kostenlosen. | |
| Nachweis | Gespeichert werden Fassung, Prüfsumme des Wortlauts, deine Angaben, wer angenommen hat und wann. Zum Speichern als PDF oder HTML. | |
| Sprache | Der Vertrag liegt auf Deutsch vor; verbindlich ist der deutsche Wortlaut. |
Kosten entstehen dafür nicht zusätzlich: Der AV-Vertrag ist im Tarif enthalten.
So schließt du ihn ab
- Konto anlegen und einen bezahlten Tarif wählen (ab Plus).
- Im Konto Einstellungen → Verträge öffnen.
- Name bzw. Firma, Anschrift und vertretende Person eintragen und den Wortlaut lesen.
- Bestätigen, dass du den Vertrag gelesen hast, und auf „Vertrag abschließen“ klicken.
- Den Vertrag als PDF oder HTML speichern und zu deinen Unterlagen nehmen.
Technische und organisatorische Maßnahmen
Abschnitt 5 des Vertrags nennt diese Maßnahmen nach Art. 32 DSGVO:
- Verschlüsselte Übertragung (HTTPS/TLS)
- Passwörter nur als Argon2id-Hash; Zwei-Faktor-Anmeldung per App
- Rechteprüfung bei jedem Zugriff auf dem Server; Trennung der Kunden über eigene Speicherbereiche; kurzlebige Download-Adressen
- Bremsen gegen das Durchprobieren von Passwörtern; Protokoll wichtiger Aktionen wie Freigaben, Rollenwechsel und Löschungen
- Dateien und Datenbank liegen in Rechenzentren in Deutschland. Die Sicherungen sind ebenfalls für Deutschland vorgesehen; sie werden gerade aufgebaut.
Wir verwenden die Inhalte deiner Dateien nicht zum Training von KI-Modellen und geben sie nicht an Anbieter von KI-Diensten weiter. Auch das steht im Vertrag. Mehr zu den Maßnahmen und ihrem Stand steht auf der Seite Sicherheit.
Unterauftragsverarbeiter
Welche Dienstleister wir für den Betrieb einsetzen, steht öffentlich und mit Verlauf auf der Seite Unterauftragsverarbeiter. Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen. Jeder Unterauftragsverarbeiter ist vertraglich an dieselben Datenschutzpflichten gebunden.
Für Berufsgeheimnisträger: zusätzlich § 203 StGB
Ärztinnen, Anwälte, Steuerberaterinnen und andere Berufe mit Schweigepflicht brauchen neben dem AV-Vertrag eine Verpflichtung des Anbieters zur Verschwiegenheit (§ 203 Abs. 4 StGB). Die Verschwiegenheitsvereinbarung nach § 203 StGB ist ab dem Start abschließbar. Vorher verpflichten wir alle, die bei uns mitwirken, in Textform zur Verschwiegenheit – erst dann bieten wir sie an. Den Wortlaut kannst du im Konto unter Einstellungen → Verträge schon lesen.
Alles dazu steht auf der Seite Für Berufsgeheimnisträger.
Was der AV-Vertrag nicht ersetzt
Der Vertrag regelt das Verhältnis zwischen dir und SafeDoc. Deine eigenen Pflichten als Verantwortlicher bleiben: eine Rechtsgrundlage für die Daten, Informationen an die Betroffenen, gegebenenfalls ein Verzeichnis von Verarbeitungstätigkeiten. Wie du Kundendaten sicher weitergibst, zeigt der Artikel Kundendaten DSGVO-gerecht teilen, worauf du bei der Wahl eines Speichers achtest, die Checkliste für Selbstständige.