Welche Dienste brauchen einen AVV? Die vollständige Liste für Selbstständige

Die Grundregel: Wann ist ein AVV Pflicht?

Ein Auftragsverarbeitungsvertrag ist immer dann Pflicht, wenn ein externer Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet. Die Schlüsselfrage: Nutzt du ein Tool, das dabei Daten von deinen Kunden, Interessenten oder Mitarbeitern anfasst?

Ist die Antwort ja → AVV Pflicht.

Zahlungsabwicklung

Stripe: Pflicht. Stripe verarbeitet Zahlungsdaten deiner Kunden (Name, E-Mail, IBAN/Karte). Stripe stellt einen fertigen DPA bereit — im Stripe-Dashboard unter Settings → Legal → Data Processing Agreement. SCC für US-Transfer enthalten.

PayPal: Pflicht. Ähnlich wie Stripe. Im PayPal-Account unter Rechtliches → DPA verfügbar.

Mollie / Klarna / Adyen: Pflicht. Alle stellen fertige DPAs bereit.

E-Mail & Kommunikation

Google Workspace (Gmail, Drive, Docs): Pflicht. Google verarbeitet E-Mail-Inhalte, Dokumente und Kontaktdaten. Google stellt einen DPA bereit; Google Cloud Frankfurt ist als EU-Datenstandort verfügbar.

Microsoft 365 / Outlook: Pflicht. Microsoft stellt Data Processing Addendum bereit.

Zoom: Pflicht. Teilnehmerdaten, Aufnahmen, Chat-Verläufe — alles personenbezogen.

Slack: Pflicht. Kommunikationsinhalte, Nutzerdaten, Integration mit anderen Tools.

Calendly: Pflicht. Bucher-Daten (Name, E-Mail) werden in Calendly-Systemen gespeichert.

Marketing & Analytics

Google Analytics (GA4): Pflicht. IP-Adressen und Nutzungsverhalten sind personenbezogen. Ohne Cookie-Banner und AVV ist GA4 in Deutschland abmahnfähig.

Plausible Analytics: Kein AVV nötig. Plausible verarbeitet keine personenbezogenen Daten und ist cookieless DSGVO-konform.

Mailchimp / Brevo / CleverReach: Pflicht. E-Mail-Adressen, Klickverhalten, Versandhistorie.

HubSpot / Salesforce: Pflicht. CRM-Daten sind per Definition personenbezogen.

Projektmanagement & Ablage

Notion: Pflicht — wenn du dort Kundendaten, Mitarbeiterdaten oder personenbezogene Informationen speicherst. Notion ist ein US-Dienst (Cloudflare/AWS-Infrastruktur).

Airtable / Monday.com / Trello: Pflicht bei Kundendaten.

Dropbox / Google Drive: Pflicht wenn Kundendokumente oder personenbezogene Dateien gespeichert werden.

Buchhaltung & Rechnungen

Lexoffice / sevDesk / FastBill: Pflicht. Diese Tools verarbeiten Kundenstammdaten und Rechnungsdaten.

DATEV: Pflicht — und hier oft vergessen: Auch der Steuerberater braucht einen AVV mit dir, wenn er deine Kundendaten in DATEV verarbeitet.

Hosting & Infrastruktur

Hetzner / Strato / IONOS: Pflicht. Jeder Hosting-Anbieter der Zugriff auf deine Kundendaten hat. Hetzner (Deutschland) stellt eine fertige DPA bereit.

Vercel / Netlify / AWS: Pflicht. Log-Dateien enthalten IP-Adressen = personenbezogen.

Cloudflare: Pflicht. CDN verarbeitet technisch personenbezogene Daten (IPs).

Support & Chat

Freshdesk / Zendesk / Intercom: Pflicht. Kundensupport-Anfragen mit Namen, E-Mails, Beschreibungen.

Typeform / JotForm: Pflicht wenn Formulare personenbezogene Daten erfassen (fast immer).

Wann ist kein AVV nötig?

• Gemeinsame Verantwortlichkeit: Wenn zwei Firmen gemeinsam über Zweck und Mittel entscheiden → statt AVV eine Joint Controller Agreement nach Art. 26 DSGVO
• Auftragsverarbeiter als eigenständig Verantwortliche: Wenn ein Dienstleister Daten für eigene Zwecke nutzt → er ist dann selbst Verantwortlicher, kein Auftragsverarbeiter
• Reine Leitungsträger: Telekommunikationsanbieter haben eine eigene Rechtsgrundlage

So gehst du vor

• Liste alle Tools auf, die du in deinem Unternehmen nutzt
• Filtere: Welche verarbeiten personenbezogene Daten?
• Für jeden Dienst: DPA im Kundenkonto abrufen und abschließen
• Für eigene Dienstleister ohne fertigen DPA: Eigenen AVV erstellen
• Alle AVVs im Verarbeitungsverzeichnis dokumentieren (VVT erstellen)

Die meisten großen US-Dienste haben fertige DPAs. Bei kleineren Dienstleistern oder lokalen Anbietern musst du oft selbst einen AVV aufsetzen — genau dafür ist der Compliflow AVV-Generator da.