Kein AVV abgeschlossen — das sind die echten Risiken 2026

Die Lücke zwischen Theorie und Praxis

Seit 2018 gilt: ohne AVV drohen Bußgelder bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO). Die meisten Selbstständigen haben das gehört — und nichts getan.

Der Grund ist meist nicht Ignoranz, sondern ein falsches Kalkül: "Ich bin ein kleines Einzelunternehmen, die Behörden haben Wichtigeres zu tun."

Stimmt das? Teilweise. Aber die Risikolandschaft hat sich seit 2022 verändert.

Was Datenschutzbehörden wirklich machen

Behördliche Prüfungen

Datenschutzbehörden prüfen aktiv — entweder anlassbezogen (nach Beschwerden) oder im Rahmen von Branchenkampagnen. 2024 liefen EU-weit koordinierte Prüfungen zu:

• Webseiten-Analytics ohne Consent
• US-Dienstleister ohne Schrems-II-Absicherung
• Fehlende oder falsche Datenschutzerklärungen

Selbstständige und KMU waren explizit in der Zielgruppe. Kleine Bußgelder (500–5.000 €) werden routinemäßig verhängt — auch gegen Einzelpersonen.

Abmahnungen von Mitbewerbern

Das deutlich häufigere Risiko ist nicht die Behörde, sondern die Abmahnung. Fehlende AVV-Hinweise in der Datenschutzerklärung (du musst deine Auftragsverarbeiter namentlich nennen) können nach UWG abgemahnt werden.

Typische Abmahnkosten: 500–1.500 € für eine einfache außergerichtliche Einigung, 3.000–10.000 € bei gerichtlichem Verfahren.

Abmahnkanzleien haben KI-gestützte Crawler die systematisch Datenschutzerklärungen auf Lücken prüfen. Das ist kein Szenario mehr, das nur Konzerne betrifft.

Kunden- und Partnerforderungen

Zunehmend verlangen B2B-Kunden, Auftraggeber und Enterprise-Plattformen aktiv einen abgeschlossenen AVV als Voraussetzung für die Zusammenarbeit.

Freelancer die über Plattformen arbeiten (Malt, Fiverr, Upwork, etc.) oder mit größeren Auftraggebern kooperieren, werden immer häufiger nach ihrer DSGVO-Dokumentation gefragt.

Die Mathematik des Risikos

• Behördliches Bußgeld (kleines Unternehmen): 1–5 % Wahrscheinlichkeit pro Jahr, Schaden 500–10.000 €
• Abmahnung (fehlende Datenschutzerklärung): 3–8 % Wahrscheinlichkeit pro Jahr, Schaden 500–3.000 €
• Verlorener B2B-Auftrag (kein AVV nachweisbar): Risiko steigt rapide, Schaden projektabhängig

AVV-Abschluss: 10 Minuten, kostenlos.

Das asymmetrischste Risk/Reward-Verhältnis in der DSGVO-Compliance.

Die 3 häufigsten Fehler

Fehler 1: "Ich nutze nur bekannte Dienste — die regeln das selbst."

Nein. Stripe, Google Workspace und Hetzner haben zwar eigene DPAs, aber diese regeln nur die Beziehung zwischen dir und dem Dienst. Du musst trotzdem in deiner Datenschutzerklärung kommunizieren, welche Dienste du nutzt und warum — und das erfordert einen eigenen AVV als Nachweis.

Fehler 2: "Ich habe keinen Kontakt zu Kunden-Personendaten."

Falsch. Jede E-Mail-Adresse eines Kunden in Mailchimp, jede IP-Adresse in deinen Server-Logs, jeder Warenkorb-Datensatz in deinem Shop-System — das sind personenbezogene Daten.

Fehler 3: "Der Dienst hat AGB und Datenschutzerklärung, das reicht."

AGB ≠ AVV. Die AGB regeln den kommerziellen Vertrag. Der AVV ist ein separates Rechtsinstrument das die datenschutzrechtliche Weisungsbeziehung dokumentiert. Beides ist notwendig.

Was du jetzt tun solltest

• Liste alle externen Dienste auf die personenbezogene Daten verarbeiten
• Für die häufigsten (Stripe, Google, Mailchimp, Hetzner) → AVV direkt im Anbieter-Dashboard akzeptieren oder selbst generieren
• Datenschutzerklärung aktualisieren: alle Auftragsverarbeiter müssen namentlich genannt werden
• Verarbeitungsverzeichnis erstellen: dokumentiert welche Daten du warum verarbeitest

Alles was du für die letzten drei Schritte brauchst, gibt es kostenlos und ohne Account:

AVV-Generator starten — kostenlos, in 10 Minuten

Verarbeitungsverzeichnis erstellen — Art. 30 DSGVO, mit Branchen-Vorlagen