Kaufland AVV 2026: Auftragsverarbeitung rechtssicher regeln

Die kurze Antwort: Immer dann, wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Für Kaufland-Händler betrifft das typischerweise ERP- und Warenwirtschaftsanbieter, Middleware, Fulfillment-Dienstleister, Retourenabwickler, Ticketsysteme, Cloud-Hosting und externe Agenturen. Fehlt der Vertrag, verstoßen Sie gegen Art. 28 DSGVO — der Bußgeldrahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes.

Der Marktplatz selbst ist in dieser Konstellation kein Auftragsverarbeiter für Ihre Verkäufe, sondern verarbeitet für eigene Zwecke. Die saubere Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter ist deshalb der erste und wichtigste Schritt. Dieser Artikel ordnet die Rollen ein — er ersetzt keine Rechtsberatung.

Verantwortlicher oder Auftragsverarbeiter: die entscheidende Abgrenzung

Die DSGVO kennt zwei zentrale Rollen. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet. Auftragsverarbeiter ist, wer Daten ausschließlich weisungsgebunden für einen anderen verarbeitet und selbst keine eigenen Zwecke verfolgt.

Für Ihr Marktplatzgeschäft heißt das: Bei der Abwicklung Ihrer Bestellungen sind Sie der Verantwortliche. Sie entscheiden, welche Daten Sie zu welchem Zweck speichern, wie lange Sie sie aufbewahren und welche Systeme Sie einsetzen. Diese Rolle können Sie nicht delegieren.

Der Marktplatzbetreiber ist demgegenüber kein Auftragsverarbeiter Ihres Unternehmens. Er betreibt eine eigene Plattform, verfolgt eigene Zwecke — Betrugsprävention, Plattformsicherheit, gesetzliche Pflichten — und handelt insoweit als eigener Verantwortlicher. Je nach konkreter Verarbeitung kann auch eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht kommen. Maßgeblich ist immer, was in den Marktplatzunterlagen tatsächlich geregelt ist. Lesen Sie die dort hinterlegten Datenschutzhinweise und Vertragsbedingungen und prüfen Sie, welche Rollenverteilung dort beschrieben wird.

Ihre Dienstleister dagegen sind in aller Regel Auftragsverarbeiter. Ein ERP-Anbieter, bei dem Ihre Bestelldaten liegen, entscheidet nicht über den Zweck der Verarbeitung — er stellt die Infrastruktur bereit. Genau für diese Konstellation schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor. Die Grundlagen zum Umgang mit Kundendaten haben wir im Beitrag zum Kaufland Datenschutz nach DSGVO beschrieben.

Wann Sie einen AVV brauchen — und wann nicht

Ein AVV ist erforderlich, sobald ein externer Dienstleister Zugriff auf personenbezogene Daten hat, die Sie verantworten. Das ist häufiger der Fall, als viele Händler annehmen — Zugriff bedeutet nämlich nicht nur aktive Nutzung, sondern auch die bloße technische Möglichkeit des Zugriffs.

Typische Fälle im Kaufland-Umfeld sind: Warenwirtschafts- und ERP-Systeme, Middleware und Channel-Anbindungen, Fulfillment- und Lagerdienstleister, Versanddienstleister mit Datenverarbeitung über die reine Transportleistung hinaus, Retourenabwickler, Ticket- und Helpdesk-Systeme, Buchhaltungssoftware, Cloud-Speicher, Backup-Anbieter, E-Mail-Dienste sowie Agenturen, die in Ihrem Account arbeiten.

Kein AVV nötig ist dagegen bei Dienstleistern, die als eigene Verantwortliche auftreten. Ihr Steuerberater ist dafür das Standardbeispiel: Er ist berufsrechtlich weisungsfrei und verarbeitet in eigener Verantwortung. Ähnliches gilt für Banken, Rechtsanwälte und in bestimmten Konstellationen für Postdienstleister, die reine Transportleistungen erbringen.

Grenzfälle sind häufig. Ein Freelancer, der ausschließlich Produkttexte schreibt und keinen Zugriff auf Bestelldaten hat, braucht keinen AVV. Bekommt derselbe Freelancer einen Portalzugang, um Bewertungen zu beantworten, sieht die Sache anders aus. Die Frage lautet nie "Was soll er tun?", sondern "Was kann er technisch sehen?".

Ein praktischer Hinweis: Prüfen Sie auch Ihre Anbindung. Wer über eine Schnittstelle oder Middleware arbeitet, gibt Bestelldaten an ein weiteres System weiter — mehr zu den technischen Grundlagen im Artikel zur Kaufland Anbindung per API und zur Middleware-Anbindung über Tradebyte.

Die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Art. 28 Abs. 3 DSGVO gibt vor, was ein Auftragsverarbeitungsvertrag mindestens enthalten muss. Ein Vertrag, der diese Punkte nicht abdeckt, erfüllt die gesetzliche Anforderung nicht — auch wenn er "AVV" heißt.

Zunächst müssen Gegenstand und Dauer der Verarbeitung festgelegt sein, ebenso Art und Zweck. Hinzu kommen die Art der personenbezogenen Daten und die Kategorien betroffener Personen. Für einen Marktplatzhändler sind das typischerweise Kunden- und Interessentendaten mit Namen, Adressen, Kontaktdaten und Bestellhistorie.

Weiter zu regeln sind die Pflichten und Rechte des Verantwortlichen. Auf Seiten des Auftragsverarbeiters verlangt die Norm insbesondere: Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung der eingesetzten Personen, technische und organisatorische Maßnahmen nach Art. 32 DSGVO, Regelungen zu Unterauftragsverarbeitern, Unterstützung bei Betroffenenanfragen, Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzungen, Löschung oder Rückgabe der Daten nach Auftragsende sowie Nachweis- und Kontrollrechte des Verantwortlichen.

Der letzte Punkt wird in der Praxis oft unterschätzt. Sie haben ein Prüfrecht — und Sie sollten es zumindest einmal ausüben, etwa in Form einer dokumentierten Abfrage der Sicherheitsmaßnahmen. Ein Vertrag ohne jede Kontrolle ist im Ernstfall ein schwaches Argument gegenüber der Aufsichtsbehörde.

Wichtig ist außerdem die Schriftform im Sinne der DSGVO. Ein elektronisches Format genügt; entscheidend ist die Nachweisbarkeit. Viele Anbieter stellen ihren AVV als Download oder als Modul im Kundenkonto bereit — dokumentieren Sie dann, wann Sie ihn abgeschlossen haben und in welcher Version.

In 8 Schritten zur sauberen AVV-Dokumentation

1. Dienstleister vollständig auflisten. Erfassen Sie jeden externen Anbieter, der Zugriff auf Ihre Systeme oder Daten hat — auch Tools, die nur ein einzelner Mitarbeiter nutzt.
2. Rollen einordnen. Klären Sie je Anbieter, ob er weisungsgebunden für Sie verarbeitet (Auftragsverarbeiter) oder eigene Zwecke verfolgt (eigener Verantwortlicher).
3. Bestehende Verträge einsammeln. Prüfen Sie, welche AVV bereits vorliegen, in welcher Version und ob sie unterzeichnet oder wirksam einbezogen sind.
4. Pflichtinhalte abgleichen. Gehen Sie jeden vorliegenden Vertrag gegen die Punkte aus Art. 28 Abs. 3 DSGVO durch und markieren Sie Lücken.
5. Unterauftragsverarbeiter prüfen. Lassen Sie sich die Liste der Subdienstleister geben und kontrollieren Sie, ob Drittlandtransfers stattfinden und auf welcher Grundlage.
6. Fehlende Verträge nachfordern. Fordern Sie bei jedem Anbieter ohne gültigen AVV schriftlich einen an und setzen Sie eine Frist; dokumentieren Sie die Anfrage.
7. Verzeichnis von Verarbeitungstätigkeiten aktualisieren. Tragen Sie jede Verarbeitung mit Zweck, Datenkategorien, Empfängern, Löschfristen und Sicherheitsmaßnahmen ein.
8. Wiedervorlage setzen. Legen Sie einen jährlichen Termin fest, an dem Sie Anbieterliste, Vertragsversionen und Subdienstleister erneut prüfen.

Rechenbeispiel: Der Aufwand gegen das Risiko

Rechenbeispiel: Angenommen, ein Händler mit 4 Mitarbeitern setzt 14 externe Dienste ein: ERP, Middleware, zwei Marktplatz-Tools, Fulfillment-Partner, Retourendienstleister, Helpdesk, Buchhaltung, Cloud-Speicher, Backup, E-Mail, Newsletter, Analyse-Tool und eine Agentur.

Für die Erfassung und Rollenzuordnung rechnen wir mit 20 Minuten je Anbieter — das sind rund 4,7 Stunden. Der Abgleich vorhandener Verträge gegen die Pflichtinhalte dauert erfahrungsgemäß 30 Minuten je Vertrag, also weitere 7 Stunden. Für Nachforderungen, Rückfragen und die Pflege des Verarbeitungsverzeichnisses kommen etwa 6 Stunden dazu.

In Summe sind das rund 18 Stunden. Bei einem kalkulatorischen Stundensatz von 45 Euro entspricht das einem einmaligen Aufwand von etwa 810 Euro, plus je nach Bedarf eine anwaltliche Prüfung kritischer Verträge.

Dem steht der Bußgeldrahmen des Art. 83 DSGVO gegenüber: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Realistisch fallen Bußgelder bei kleineren Unternehmen deutlich niedriger aus und richten sich nach Schwere, Dauer und Kooperationsbereitschaft. Aber schon ein vierstelliges Bußgeld plus Anwaltskosten übersteigt den Aufwand einer sauberen Dokumentation um ein Vielfaches.

Hinzu kommt ein Nebeneffekt, den viele unterschätzen: Wer die Anbieterliste einmal vollständig erstellt hat, findet dabei fast immer Tools, die niemand mehr nutzt und die trotzdem monatlich abgerechnet werden.

Kostenloses Erstgespräch buchen

Technische Maßnahmen, Unterauftragsverarbeiter und Drittland

Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sind Anlage jedes AVV — und der Teil, den am wenigsten Händler wirklich lesen. Dabei steht dort, wie Ihre Daten tatsächlich geschützt sind: Verschlüsselung bei Übertragung und Speicherung, Zugriffskonzept, Protokollierung, Backup-Rhythmus, Wiederherstellungszeiten, Verfahren zur regelmäßigen Überprüfung.

Prüfen Sie mindestens, ob eine Verschlüsselung im Transport und im Ruhezustand beschrieben ist und ob es ein dokumentiertes Berechtigungskonzept gibt. Fehlen diese Angaben oder bleiben sie im Allgemeinen, ist das ein Warnsignal — nicht unbedingt ein Ausschlusskriterium, aber ein Anlass für eine Rückfrage.

Unterauftragsverarbeiter sind der zweite kritische Punkt. Fast jeder Softwareanbieter setzt selbst Dienstleister ein, typischerweise für Hosting, Monitoring oder Support. Der AVV muss regeln, ob Sie einer Beauftragung allgemein zustimmen und ob Sie über Änderungen informiert werden. Bestehen Sie auf einer aktuellen, abrufbaren Liste — sie ist Ihr einziger realistischer Weg, die Kette nachzuvollziehen.

Beim Drittlandtransfer geht es um Verarbeitungen außerhalb der EU und des EWR. Hier brauchen Sie eine Rechtsgrundlage nach Kapitel V DSGVO, in der Praxis meist einen Angemessenheitsbeschluss oder Standardvertragsklauseln, ergänzt um eine Risikobewertung des Einzelfalls. Prüfen Sie das besonders bei US-Anbietern für Analyse, Support und Cloud-Speicher.

Zum Löschkonzept gehört schließlich die Frage, was nach Vertragsende passiert. Der AVV muss festlegen, ob Daten gelöscht oder zurückgegeben werden — und in welcher Frist. Beachten Sie dabei, dass handels- und steuerrechtliche Aufbewahrungspflichten der Löschung teilweise entgegenstehen und getrennt betrachtet werden müssen.

Was Sie jetzt tun können

Fangen Sie mit der Liste an. Öffnen Sie Ihre Kreditkartenabrechnung und Ihre Buchhaltung der letzten zwölf Monate und schreiben Sie jeden Softwareposten heraus. Diese Liste ist erfahrungsgemäß vollständiger als jede Aufstellung aus dem Gedächtnis.

Sortieren Sie im zweiten Schritt nach Kritikalität: Systeme mit Kundendaten zuerst, reine Werkzeuge ohne Personenbezug zuletzt. So arbeiten Sie das Risiko von oben ab, statt sich in Randfällen zu verlieren.

Klären Sie im dritten Schritt, wer bei Ihnen intern zuständig ist. Datenschutzthemen scheitern selten am Wissen und fast immer an fehlender Zuständigkeit. Ohne benannte Person bleibt auch das beste Konzept liegen.

Lassen Sie kritische Verträge und Ihre Rollenzuordnung anwaltlich prüfen, wenn Sie unsicher sind. AMZ+ Consulting unterstützt Händler bei der Aufnahme der Systemlandschaft und der Vorbereitung dieser Prüfung, ersetzt aber keine Rechtsberatung. Wie Sie darüber hinaus rechtliche Risiken im Marktplatzgeschäft reduzieren, zeigt der Beitrag zum Thema Abmahnungen vermeiden. Die gleiche Systematik gilt analog für Otto und Amazon.

FAQ: Häufige Fragen zur Auftragsverarbeitung bei Kaufland

Brauche ich mit Kaufland selbst einen AVV?

In der Regel nicht, denn der Marktplatzbetreiber verarbeitet für eigene Zwecke und ist insoweit selbst Verantwortlicher. Je nach Verarbeitung kann eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO in Betracht kommen. Prüfen Sie die in den Marktplatzunterlagen hinterlegten Datenschutzhinweise, statt sich auf eine pauschale Annahme zu verlassen.

Reicht es, wenn der Anbieter seinen AVV online bereitstellt?

Ja, sofern der Vertrag wirksam einbezogen wird und die Pflichtinhalte nach Art. 28 Abs. 3 DSGVO abdeckt. Die DSGVO lässt ein elektronisches Format ausdrücklich zu. Speichern Sie das Dokument mit Datum und Versionsstand bei sich ab, damit Sie den Abschluss nachweisen können.

Was passiert, wenn ein Dienstleister keinen AVV anbietet?

Dann verarbeiten Sie ohne Rechtsgrundlage für die Auftragsverarbeitung und tragen das volle Risiko. Fordern Sie schriftlich einen AVV an und setzen Sie eine Frist. Bleibt der Anbieter untätig, sollten Sie einen Wechsel prüfen — insbesondere wenn Kundendaten betroffen sind.

Muss meine Agentur einen AVV mit mir schließen?

Sobald die Agentur Zugriff auf personenbezogene Daten hat, etwa über einen Portalzugang mit Einsicht in Bestellungen oder Kundennachrichten, ja. Entscheidend ist die technische Zugriffsmöglichkeit, nicht die tatsächliche Nutzung. Ein reiner Textauftrag ohne Datenzugriff fällt nicht darunter.

Wie oft muss ich die Verträge prüfen?

Die DSGVO nennt kein festes Intervall. Praxisüblich ist eine jährliche Überprüfung von Anbieterliste, Vertragsversionen und Subdienstleistern. Zusätzlich sollten Sie prüfen, wenn ein Anbieter Änderungen an Unterauftragsverarbeitern oder Serverstandorten meldet.

Was gehört ins Verzeichnis von Verarbeitungstätigkeiten?

Nach Art. 30 DSGVO gehören Zwecke der Verarbeitung, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandtransfers, Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen hinein. Für Händler sind Bestellabwicklung, Retouren, Kundenservice und Buchhaltung die typischen Einträge.

Ersetzt dieser Artikel eine Rechtsberatung?

Nein. Er ordnet die Systematik ein und zeigt, worauf Sie in Ihren Unterlagen achten sollten. Die konkrete Bewertung Ihrer Verträge, Ihrer Rollen und Ihrer Drittlandtransfers gehört in die Hände einer Anwältin oder eines Anwalts mit Datenschutzschwerpunkt. Weitere Grundlagen finden Sie in unserem Beitrag zum Datenschutz für Kaufland-Händler.

Über den Autor

Jorginho Engelmeyer ist Geschäftsführer der AMZ+ Consulting GmbH und seit über 8 Jahren auf Amazon, Otto und Kaufland für Händler aktiv. Mit seinem Team unterstützt er Marktplatz-Händler dabei, Systemlandschaft, Prozesse und Dokumentation so aufzustellen, dass sie auch einer Prüfung standhalten.

Kostenloses Erstgespräch buchen