Was ist ein Auftragsverarbeitungsvertrag (AVV)?
Ein Auftragsverarbeitungsvertrag (AVV) ist ein verbindlicher Vertrag zwischen einer Arztpraxis als Verantwortlichem und einem externen Dienstleister als Auftragsverarbeiter. Er regelt, wie der Dienstleister personenbezogene Daten – in der Arztpraxis sind das vor allem Patientendaten – im Auftrag der Praxis verarbeiten darf.
Rechtsgrundlage ist Art. 28 DSGVO. Er schreibt vor: Immer wenn ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung einer Praxis verarbeitet, ist ein AVV gesetzlich Pflicht. Ohne einen solchen Vertrag ist die Datenübermittlung an den Anbieter datenschutzrechtlich unzulässig – unabhängig davon, ob der Dienst kostenpflichtig oder kostenlos ist.
Das Besondere in der Arztpraxis: Patientendaten sind Gesundheitsdaten und damit eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO. Für diese gelten erhöhte Anforderungen – was sich auch auf den AVV auswirkt.
Wann braucht eine Arztpraxis einen AVV?
Die entscheidende Frage ist: Kann der externe Anbieter auf Patientendaten zugreifen – lesend, speichernd oder übermittelnd? Ist die Antwort ja, ist in der Regel ein AVV erforderlich.
Typische Fälle in der Hausarztpraxis, die einen AVV erfordern:
- Praxisverwaltungssoftware (PVS): Jeder PVS-Anbieter, der Daten auf eigenen Servern speichert oder cloudbasiert arbeitet
- Mobile Praxis-Apps (z. B. MARA Assist): Apps, die Patientendaten speichern oder übertragen
- IT-Fernwartung: Externe IT-Dienstleister, die per Remote-Zugriff auf Praxisrechner zugreifen können
- Cloud-Backup und Datensicherung: Dienste, die Praxisdaten extern sichern
- Abrechnungszentren: Externe Abrechnung von Privat- und Kassenpatienten
- E-Mail-Provider mit Patientenkommunikation: Wenn über den E-Mail-Dienst auch Patientendaten übertragen werden
- Terminerinnerungsdienste (SMS/E-Mail): Anbieter, die Patientennamen und Kontaktdaten verarbeiten
- Labordienste mit digitalem Datenaustausch: Wenn Befunde digital übermittelt werden
- Dokumentenmanagement-Systeme: Digitale Archivierung von Patientenakten
Kein AVV erforderlich ist hingegen bei:
- Kassenärztlichen Vereinigungen (KVen): Diese handeln im Rahmen gesetzlicher Aufgaben, nicht als Auftragsverarbeiter
- Laboren, die eigenverantwortlich Befunde erstellen: Sie handeln als eigenständig Verantwortliche, nicht weisungsgebunden
- Kollegen in Überweisungsbeziehungen: Weitergabe an andere Ärzte zur Mitbehandlung ist keine Auftragsverarbeitung
- Steuerberatern (für allgemeine Buchhaltung ohne Patientendaten)
Unsicher, ob Ihr Anbieter einen AVV braucht? Die Faustregel: Verarbeitet der Dienstleister Daten ausschließlich nach Ihrer Weisung und für Ihren Zweck, ist er Auftragsverarbeiter – AVV erforderlich. Verfolgt er eigene Zwecke oder handelt er fachlich eigenverantwortlich, liegt keine Auftragsverarbeitung vor.
Was muss im AVV stehen? Die 10 Pflichtinhalte nach Art. 28 DSGVO
Art. 28 Abs. 3 DSGVO legt verbindlich fest, welche Mindestinhalte ein AVV enthalten muss. Fehlt auch nur ein Punkt, ist der Vertrag rechtlich unvollständig.
1. Gegenstand und Dauer der Verarbeitung
Was genau wird verarbeitet, und wie lange läuft der Auftrag? Der AVV muss klar benennen, auf welchen konkreten Dienst er sich bezieht (z. B. „Bereitstellung und Betrieb einer mobilen Praxis-App") und für welchen Zeitraum.
2. Art und Zweck der Verarbeitung
Welche Verarbeitungsvorgänge finden statt – Speichern, Übermitteln, Löschen, Strukturieren? Und zu welchem Zweck? Pauschalformulierungen wie „Verarbeitung gemäß Hauptvertrag" reichen nicht.
3. Art der personenbezogenen Daten
Welche Datenkategorien sind betroffen? In der Arztpraxis typischerweise: Name, Geburtsdatum, Adresse, Versichertennummer, Gesundheitsdaten (Diagnosen, Befunde, Medikation, Vitalwerte, Wundfotos). Gesundheitsdaten müssen ausdrücklich benannt sein.
4. Kategorien betroffener Personen
Wessen Daten werden verarbeitet? Primär Patienten, ggf. auch Mitarbeiter der Praxis.
5. Weisungsgebundenheit
Der Auftragsverarbeiter darf Daten nur nach dokumentierter Weisung der Praxis verarbeiten – nicht für eigene Zwecke. Verarbeitet er Daten für eigene Zwecke (z. B. eigene Produktverbesserung), verlässt er die Rolle des Auftragsverarbeiters und wird selbst zum Verantwortlichen.
6. Vertraulichkeit
Alle Personen beim Dienstleister, die Zugang zu den Daten haben, müssen zur Verschwiegenheit verpflichtet sein. Der AVV muss regeln, wie diese Verpflichtung sichergestellt wird.
7. Technische und organisatorische Maßnahmen (TOM)
Der AVV muss die konkreten Sicherheitsmaßnahmen des Anbieters nach Art. 32 DSGVO beschreiben oder als Anlage beifügen. Für Gesundheitsdaten sind die Anforderungen besonders hoch. Typische Maßnahmen:
- Verschlüsselung (Transport: TLS; Ruhend: AES-256 oder gleichwertig)
- Zugriffskontrollen und Rollenkonzept
- Protokollierung (Audit-Trail)
- Serverstandort Deutschland oder EU
- Backup- und Wiederherstellungskonzept
- Regelmäßige Sicherheitsaudits
8. Unterauftragsverarbeiter
Setzt der Anbieter selbst Sub-Dienstleister ein (z. B. ein Cloud-Hosting-Unternehmen)? Der AVV muss regeln, unter welchen Bedingungen Unterauftragsverarbeiter eingesetzt werden dürfen – und das erfordert die vorherige Genehmigung der Praxis. Der Anbieter muss seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegen.
Für US-amerikanische Unterauftragsverarbeiter gelten zusätzliche Anforderungen (Drittlandtransfer, Art. 44 ff. DSGVO, Standardvertragsklauseln).
9. Unterstützungspflichten
Der Anbieter muss die Praxis unterstützen bei:
- Anfragen von Patienten auf Auskunft, Berichtigung oder Löschung ihrer Daten (Betroffenenrechte, Art. 15–22 DSGVO)
- Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) – bei Gesundheitsdaten oft Pflicht
- Meldung von Datenpannen (Art. 33 DSGVO): 72-Stunden-Frist gegenüber der Aufsichtsbehörde
10. Löschung und Rückgabe nach Vertragsende
Was passiert mit den Patientendaten, wenn die Praxis den Vertrag mit dem Anbieter beendet? Der AVV muss regeln, ob Daten zurückgegeben oder vollständig und nachweislich gelöscht werden – inklusive Löschfristen und Vernichtungsprotokoll.
Was eine gute TOM-Anlage für Praxen enthalten sollte
Die Anlage zu den Technischen und Organisatorischen Maßnahmen (TOM) ist das technische Herzstück des AVV. Sie sollte für Arztpraxen mindestens folgende Bereiche abdecken:
| Schutzbereich | Was der Anbieter nachweisen muss |
|---|---|
| Verschlüsselung | TLS für die Übertragung, AES-256 (o. gleichwertig) für gespeicherte Daten |
| Zugriffskontrolle | Rollenbasierte Rechte – Mitarbeiter sehen nur, was sie sehen müssen |
| Authentifizierung | Starke Passwörter, idealerweise 2-Faktor-Authentifizierung |
| Protokollierung | Wer hat wann welche Patientendaten aufgerufen? (Audit-Trail) |
| Serverstandort | Deutschland oder EU – keine Daten auf US-Servern ohne Zusatzregelung |
| Datensicherung | Regelmäßige Backups, definierter Wiederherstellungsprozess |
| Incident Response | Wie wird die Praxis bei einer Datenpanne informiert, und wie schnell? |
Ein seriöser Anbieter legt diese TOM-Anlage proaktiv vor. Akzeptieren Sie keine AVVs, die TOM lediglich mit „state of the art" oder „angemessene Maßnahmen" beschreiben – das ist zu unspezifisch und datenschutzrechtlich nicht ausreichend.
Die häufigsten Fehler in der Praxis
In Arztpraxen begegnen uns bei Datenschutz-Audits immer wieder dieselben Schwachstellen:
- Kein AVV vorhanden – der häufigste und folgenreichste Fehler. Besonders bei Anbietern, die seit Jahren genutzt werden, wurde der AVV oft nie abgeschlossen.
- Veraltete Vorlagen aus BDSG-Zeiten – manche Praxen nutzen Muster von vor 2018, die nicht DSGVO-konform sind.
- Kein Serverstandort angegeben – ob Daten in Deutschland, der EU oder den USA gespeichert werden, ist für Arztpraxen mit Gesundheitsdaten kritisch.
- Unterauftragsverarbeiter nicht geregelt – besonders bei Cloud-Diensten arbeiten Anbieter oft mit mehreren Sub-Dienstleistern. Fehlt diese Regelung, verliert die Praxis die Kontrolle über ihre Patientendaten.
- Keine TOM-Anlage oder reine Pauschalformulierungen – ohne konkrete technische Maßnahmen ist der AVV wertlos.
- Keine Regelung für US-Dienste – wer Tools verwendet, die auf US-Server zurückgreifen (auch als Unterauftragsverarbeiter), braucht zusätzliche Standardvertragsklauseln nach Art. 46 DSGVO.
- Kein definierter Prozess bei Datenpannen – der AVV muss regeln, wie und wie schnell der Anbieter die Praxis informiert, damit die 72-Stunden-Meldefrist an die Aufsichtsbehörde eingehalten werden kann.
Was droht, wenn der AVV fehlt oder fehlerhaft ist?
Das Fehlen eines AVV ist ein Verstoß gegen Art. 28 DSGVO und kann von den Datenschutzaufsichtsbehörden sanktioniert werden. Der gesetzliche Rahmen sieht Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor.
In der Praxis fallen Bußgelder für kleine Praxen deutlich niedriger aus – aber sie kommen vor:
- Ein nachgewiesener Fall: 5.000 Euro Bußgeld allein für einen fehlenden AVV
- Unverschlüsselte Übermittlung von Patientendaten: 6.500 Euro Bußgeld in einer Arztpraxis
- Im Krankenhausbereich wurden Bußgelder von 400.000 Euro verhängt
Neben Bußgeldern können Patienten bei nachgewiesenem Datenschutzverstoß Schadenersatz nach Art. 82 DSGVO geltend machen. Und: Im Fall eines Cyberangriffs mit Datenverlust ist das Fehlen eines AVV ein schwerwiegendes Organisationsverschulden.
Checkliste: AVV mit Ihrem Softwareanbieter prüfen
Wenn Sie einen vorliegenden oder geplanten AVV prüfen, haken Sie folgende Punkte ab:
Wie MARA Assist mit dem Thema AVV umgeht
Transparenz über den eigenen Datenschutzstandard ist für uns bei Praevera Solutions kein Zusatzservice, sondern Grundvoraussetzung. Für MARA Assist schließen wir mit jeder Praxis einen vollständigen AVV nach Art. 28 DSGVO ab – mit:
- Serverstandort Deutschland
- AES-GCM-256-Verschlüsselung für gespeicherte Daten, TLS für die Übertragung
- Klarer TOM-Anlage
- Transparenz über eingesetzte Unterauftragsverarbeiter
- Definierten Prozessen bei Datenpannen
- Löschkonzept nach Vertragsende
Haben Sie Fragen zum AVV mit MARA Assist oder möchten Sie den Vertrag vorab prüfen? Sprechen Sie uns gerne an →
Fazit: Der AVV ist kein bürokratisches Detail
Für Arztpraxen, die Patientendaten digital verarbeiten, ist der AVV keine Formalie – er ist das vertragliche Fundament jeder Zusammenarbeit mit Softwareanbietern. Er schützt die Patienten, die Praxis und stellt sicher, dass digitale Tools DSGVO-konform eingesetzt werden.
Die gute Nachricht: Ein guter Anbieter legt den AVV proaktiv vor. Wenn ein Anbieter keinen AVV anbietet oder auf Nachfrage zögert, ist das ein deutliches Warnsignal.
Möchten Sie Ihre bestehenden Verträge und Datenschutzprozesse prüfen lassen? Jetzt DSGVO-Beratung anfragen →
Quellen
- Art. 28 DSGVO: Auftragsverarbeitung (eur-lex.europa.eu)
- Art. 9 DSGVO: Verarbeitung besonderer Kategorien personenbezogener Daten (eur-lex.europa.eu)
- Art. 32 DSGVO: Sicherheit der Verarbeitung (eur-lex.europa.eu)
- Art. 33 DSGVO: Meldung von Verletzungen des Schutzes personenbezogener Daten (eur-lex.europa.eu)
- KBV: IT-Sicherheitsrichtlinie nach § 390 SGB V (aktualisiert April 2025, verbindlich ab Oktober 2025) (kbv.de)
- KBV: Richtlinie nach § 390 SGB V (Volltext PDF) (kbv.de)
- Muster-AVV: Landesbeauftragte für den Datenschutz Baden-Württemberg (baden-wuerttemberg.datenschutz.de)
- Bußgeld für fehlenden AVV (5.000 €) (rosepartner.de)
- Bußgelder im Gesundheitswesen (innovaprax.de)
- Bundesärztekammer: Datenschutzrecht (bundesaerztekammer.de)
Rechtsstand: Mai 2026.