AVV abschließen 2026: Wo der Auftragsverarbeitungsvertrag bei Google, Zoom, Slack und acht weiteren steckt

Grundlage dieses Beitrags: Wir haben die Angaben der zehn Anbieter selbst gelesen – Vertragstexte, Hilfeseiten, Trust-Center – und keine Anwaltsblogs oder Vergleichsportale als Quelle verwendet. Rechtsberatung ist das hier nicht; wie wir arbeiten, steht in unserer Methodik.

Worum es überhaupt geht

Sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet, verlangt Art. 28 DSGVO einen Vertrag mit ihm. Das betrifft fast alles in deiner Abo-Liste: Hoster, E-Mail, Buchhaltung, Cloud-Speicher, Projekttool, Newsletter, Zahlungsabwicklung – und seit Kurzem auch die KI-Werkzeuge.

Der verbreitete Irrtum lautet, man müsse bei jedem Anbieter einen AVV „anfordern“. Meistens stimmt das nicht. Der zweite, gefährlichere Irrtum lautet, mit einem bezahlten Tarif sei man automatisch auf der sicheren Seite. Das stimmt bei drei der zehn geprüften Anbieter definitiv nicht.

Die Übersicht

Die drei Fälle, in denen Bezahlen nicht reicht

Das ist der Teil, der die meisten Selbstständigen betrifft, und er wird fast nirgends erwähnt.

Dropbox ist der härteste Fall, weil es nicht um eine fehlende Unterschrift geht, sondern um die Rollenverteilung. Dropbox schreibt: „Bitte beachten Sie, dass Sie als Dropbox Business-Kunde der Datenverantwortliche sind … Dropbox ist in diesen Fällen der Datenverarbeiter. Wenn Sie ein Nutzer von Dropbox Basic, Plus oder Professional sind, ist Dropbox der Datenverantwortliche Ihrer Daten.“ Übersetzt: In den Privattarifen – auch den bezahlten – ist Dropbox nicht dein Auftragsverarbeiter, sondern selbst Verantwortlicher. Einen AVV kannst du da nicht abschließen, weil es nichts zu beauftragen gibt. Wer Kundendaten in Dropbox Plus liegen hat, muss auf Business wechseln oder das Werkzeug wechseln.

Canva ist der gleiche Mechanismus, nur klarer beschriftet. In der Richtlinienübersicht steht wörtlich „Data Processing Addendum (for Canva Business and Canva Enterprise only)“. Canva Pro – der bezahlte Einzeltarif, den praktisch jeder Freiberufler bucht – ist damit außen vor.

OpenAI schließlich bietet den DPA „für ihre Nutzung von ChatGPT Business, ChatGPT Enterprise und der API“ an. ChatGPT Plus steht nicht auf dieser Liste. Und es kommt ein zweiter Punkt dazu, der dieselbe Tarifgrenze betrifft: OpenAI schreibt, dass standardmäßig keine Daten aus Business, Enterprise und API zum Training verwendet werden – und im selben Atemzug, dass man „Daten aus Versionen von ChatGPT und anderen Diensten für Einzelpersonen“ dafür nutzt. Wer als Selbstständiger mit ChatGPT Plus Kundentexte verarbeitet, hat also weder einen AVV noch den Trainings-Ausschluss.

Die beiden, bei denen du wirklich unterschreiben musst

Slack sagt es unmissverständlich: „Slack bietet einen Zusatz zur Datenverarbeitung an, der die Nutzungsbedingungen für Kundinnen und Kunden … ergänzt. … Bitte lasse diese Vereinbarung von einer autorisierten Person über den untenstehenden Link ausführen.“ Zwei Dinge dazu, die überraschen. Erstens ist der Vertragstext kein Slack-Dokument mehr, sondern ein PDF von Salesforce. Zweitens weist Slack darauf hin, dass bei Widersprüchen die englische Fassung gilt – die deutsche Übersetzung dient „ausschließlich Informationszwecken“.

OpenAI verlangt ebenfalls eine aktive Handlung: „Bitte fülle unser DPA-Formular aus, um einen DPA mit OpenAI abzuschließen.“ Im Vertragstext selbst steht zwar auch, dass die Nutzung der Dienste bereits als Zustimmung gilt – aber wenn eine Aufsichtsbehörde nach deinem AVV fragt, willst du das ausgefüllte Formular und die Bestätigungsmail vorzeigen können, nicht eine Klausel über konkludente Annahme. Füll das Formular aus und leg die Bestätigung ab.

Google: neuer Name, neuer Menüpfad

Google hat das Dokument umbenannt. Es heißt nicht mehr „Zusatz zur Datenverarbeitung“ oder „Data Processing Amendment“, sondern „Zusatz zur Verarbeitung von Cloud-Daten (CDPA)“. Wer nach dem alten Namen sucht – und das tun alle Anleitungen, die älter als ein Jahr sind –, sucht nach einem zurückgezogenen Begriff.

Der Weg in der Admin-Konsole, Stand heute: Konto → Kontoeinstellungen → Rechtliches und Compliance, dort der Abschnitt „Zusätzliche Bedingungen zu Sicherheit und Datenschutz“, dann „Lesen und zustimmen“. Du musst dafür als Super Admin angemeldet sein.

Noch zwei Besonderheiten bei Google. Die eine ist eine Formulierung, über die man stolpert: Zustimmen musst du nur, wenn der Zusatz nicht ohnehin schon per Verweis in deiner Vereinbarung steckt – „Falls Ihre Vereinbarung bereits einen entsprechenden Verweis enthält, hat Ihre Zustimmung keine Auswirkungen.“ Im Zweifel also einfach zustimmen; schaden kann es nicht. Die andere wird fast nie erwähnt: Du musst in der Konsole zusätzlich die zuständige Aufsichtsbehörde benennen. Für dich ist das die Datenschutzbehörde des Bundeslands, in dem dein Betriebssitz liegt.

Stripe ist nicht nur Auftragsverarbeiter

Ein Sonderfall, der in die Kategorie „gut zu wissen, bevor es jemand fragt“ gehört. Stripes Vertrag wird automatisch per Verweis Teil der Vereinbarung – aber er deckt nicht alles ab. Stripe beansprucht für einen Teil der Verarbeitung die Rolle des Verantwortlichen und schreibt dazu, es habe „die alleinige und ausschließliche Befugnis“, Zwecke und Mittel dieser Verarbeitung festzulegen. Genannt werden Betrugserkennung, Geldwäsche- und Identitätsprüfungen und die Weiterentwicklung der eigenen Produkte.

Für dich heißt das: Ein AVV mit Stripe ist kein Freibrief dafür, dass Stripe nur auf deine Weisung handelt. Ein Teil der Verarbeitung läuft in Stripes eigener Verantwortung, und das gehört in dein Verarbeitungsverzeichnis entsprechend eingetragen. Zweiter Hinweis aus demselben Vertrag: Wenn du einem neuen Unterauftragsverarbeiter widersprichst, ist Stripe „nicht verpflichtet, dem/der Nutzer/in die Dienste bereitzustellen“.

Die Liste, die sich unter dir verändert

Zu jedem AVV gehört eine Liste der Unterauftragsverarbeiter – der Dienstleister, die dein Dienstleister einsetzt. Diese Listen ändern sich, und 2026 ändern sie sich in eine bestimmte Richtung: Dropbox führt für „Large Language Model Processing“ heute unter anderem OpenAI, Groq, Google und Microsoft; Zoom listet unter anderem Anthropic, OpenAI, Perplexity und ElevenLabs.

Wer seinen AVV vor zwei Jahren abgelegt hat und seitdem nicht hingeschaut hat, arbeitet also mit einer Liste, die es so nicht mehr gibt. Die Vorlaufzeiten für Änderungen sind dabei kürzer, als man denkt – Mailchimp nennt zehn Tage, Stripe, Canva und OpenAI dreißig – und in den meisten Fällen musst du die Benachrichtigungen erst aktiv abonnieren, um überhaupt davon zu erfahren.

Praktische Konsequenz: Setz dir einmal im Jahr eine Stunde in den Kalender, um die Listen der drei, vier wichtigsten Anbieter durchzusehen. Das ist weniger Aufwand, als es klingt, und es ist der Punkt, an dem dein Verarbeitungsverzeichnis von einem toten Dokument zu einem lebenden wird.

Deine Abo-Liste in dreißig Minuten

Die Reihenfolge, in der wir das angehen würden. Du brauchst dafür keine Vorlage und keinen Anwalt, sondern die Liste deiner Betriebsausgaben.

1. Nimm die Abo-Liste aus deiner Buchhaltung. Jeder wiederkehrende Posten ist ein Kandidat. Das ist die vollständigste Liste deiner Werkzeuge, die es gibt – vollständiger als jede Erinnerung.
2. Streich alles, was keine personenbezogenen Daten verarbeitet. Ein Bildarchiv ohne Kundenbezug bleibt draußen, dein Cloud-Speicher nicht.
3. Prüf zuerst den Tarif, nicht den Vertrag. Das ist die Umkehrung dessen, was die meisten tun, und der schnellere Weg: Dropbox Plus, Canva Pro und ChatGPT Plus brauchst du gar nicht erst nach einem AVV zu durchsuchen – es gibt keinen.
4. Bei Slack und OpenAI: Formular ausfüllen, Bestätigung ablegen.
5. Bei Google: einmal in die Admin-Konsole, zustimmen, Aufsichtsbehörde eintragen.
6. Beim Rest: den Vertragstext als PDF sichern und mit Datum ablegen. Mehr ist nicht nötig – aber „ist automatisch dabei“ ist keine Antwort, die du im Ernstfall vorzeigen kannst. Eine Datei schon.
7. Trag die Dienstleister in dein Verarbeitungsverzeichnis ein. Dafür brauchst du ohnehin die Empfängerkategorien – siehe DSGVO für Selbstständige.

Ein Nebeneffekt, den wir selbst unterschätzt hatten: Dieselbe Abo-Liste berührt eine zweite Pflicht, nämlich die Umsatzsteuer nach § 13b UStG bei Anbietern mit Sitz im Ausland. Wenn du sie einmal in der Hand hast, erledigst du beides in einem Durchgang.

Was wir nicht klären konnten

• Ob Google den CDPA für die alte kostenlose Workspace-Edition anbietet. Eine ausdrückliche Einschränkung findet sich nur für ein anderes Dokument, nicht für den CDPA. Wir übertragen das nicht.
• Ob Anbieter ohne Selbstbedienungs-AVV einen auf Anfrage herausgeben. Üblich ist das durchaus. Wir haben für diesen Beitrag nur geprüft, was öffentlich abrufbar ist.
• Ob dein konkreter Vertrag den Verweis schon enthält. Das steht in deinen Unterlagen, nicht auf unserer Seite. Googles eigener Rat – im Zweifel zustimmen – ist hier der pragmatische.

Häufige Fragen

Muss ich als Einzelunternehmer überhaupt AV-Verträge abschließen?

Ja. Art. 28 DSGVO kennt keine Ausnahme für die Unternehmensgröße. Sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet – und dein Hoster tut das mit den Logfiles deiner Besucher –, braucht es den Vertrag.

Reicht es, wenn der Anbieter irgendwo „DSGVO-konform“ schreibt?

Nein. Das ist Werbung, kein Vertrag. Entscheidend ist, ob ein AVV existiert, ob er für deinen Tarif gilt und ob er Bestandteil deiner Vereinbarung geworden ist – automatisch oder durch deine Unterschrift.

Ich zahle für Dropbox Plus. Habe ich einen AVV?

Nein. Dropbox erklärt für Basic, Plus und Professional ausdrücklich, selbst Verantwortlicher zu sein – nicht Auftragsverarbeiter. Es fehlt also nicht die Unterschrift, sondern die Rolle. Wer dort Kundendaten ablegt, muss auf Dropbox Business wechseln oder das Werkzeug wechseln.

Und ChatGPT Plus?

Ebenfalls nicht abgedeckt. OpenAI nennt für den DPA ChatGPT Business, ChatGPT Enterprise und die API. Dazu kommt, dass Daten aus den Diensten für Einzelpersonen laut OpenAI zum Training verwendet werden. Wer Kundentexte durch ein KI-Werkzeug schickt, braucht einen Geschäftstarif – oder er darf es nicht tun.

Wo finde ich die Unterauftragsverarbeiter?

Die meisten Anbieter führen eine öffentliche Seite. Zwei Ausnahmen sind aufgefallen: Bei Microsoft lässt sich die Liste nur als Dokument aus dem Service Trust Portal herunterladen, nicht im Browser lesen. Und Slacks Liste ist inzwischen ein 95-seitiges Salesforce-Dokument für den ganzen Konzern; die früher verbreiteten Slack-URLs laufen ins Leere.

Was ist mit meiner Buchhaltungssoftware?

Die gehört genauso auf die Liste – dort liegen Kundennamen und Adressen. Wie weit ein einzelner Anbieter dabei kommt, haben wir am Beispiel durchgespielt: Was sevdesk mit den Daten deiner Kunden macht. Dort findest du auch den Fall einer Subunternehmerliste, die älter ist als der Eigentümerwechsel des Anbieters.

Quellen, geprüft am 12. Oktober 2026 auf den Seiten der Anbieter selbst: Googles Dokumentation zu Datenschutz-Compliance und zum Zusatz zur Verarbeitung von Cloud-Daten sowie der CDPA-Vertragstext; Zooms DSGVO-Seite, Global DPA und Unterauftragsverarbeiterliste; Slacks Seite zur Datenverarbeitung und das zugehörige Salesforce-Dokument; Microsofts Products and Services Data Protection Addendum und die DSGVO-Dokumentation bei Microsoft Learn; Dropbox’ Data Processing Agreement, DSGVO-Seite und Unterauftragsverarbeiterliste; Notions DPA und GDPR-Hilfeseite; Mailchimps deutschsprachiger Nachtrag zur Datenverarbeitung und Subunternehmerliste; Stripes Datenverarbeitungsvereinbarung und Dienstleisterliste; Canvas Data Processing Addendum, Trust Center und Subprozessorenliste; OpenAIs Zusatz zur Datenverarbeitung und die Enterprise-Privacy-Seite. Rechtsgrundlage: Art. 28 DSGVO. Mehrere dieser Verträge liegen nur auf Englisch vor und erklären die englische Fassung für maßgeblich. Angaben ohne Gewähr; dieser Beitrag ist keine Rechtsberatung und ersetzt im Zweifel keine anwaltliche Prüfung. Wie wir arbeiten, steht in unserer Methodik.