Bevor Sie personenbezogene Daten durch einen Dienstleister verarbeiten lassen, sollten Sie den Auftragsverarbeitungsvertrag (AV-Vertrag) nicht nur unterschreiben, sondern systematisch prüfen. Entscheidend sind dabei nicht allein die Standardklauseln des Anbieters, sondern die Frage, ob der Vertrag die tatsächliche Verarbeitung, die eingesetzten Systeme, die Sicherheitsmaßnahmen und Ihre Kontrollmöglichkeiten vollständig abbildet.
Beginnen Sie mit einem Abgleich zwischen dem Vertrag und dem realen Dienstleistungsablauf. Halten Sie fest, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht, welche Personen Zugriff erhalten und ob weitere Dienstleister beteiligt sind. Erst danach lässt sich beurteilen, ob die Vereinbarung für Ihren Betrieb ausreichend ist oder ob Nachbesserungen erforderlich sind.
Wann ein AV-Vertrag erforderlich ist
Ein AV-Vertrag kommt infrage, wenn ein externer Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet und dabei nicht über die Zwecke und wesentlichen Mittel der Verarbeitung selbst entscheidet. Typische Fälle sind Cloud-Speicher, Newsletter-Versand, Lohnabrechnung, Hosting, Fernwartung, Kundenverwaltung, Bewerbermanagement und bestimmte Supportleistungen.
Sie bleiben in dieser Konstellation in der Regel für die Rechtmäßigkeit der Verarbeitung und die Auswahl des Dienstleisters verantwortlich. Der Anbieter übernimmt die Verarbeitung innerhalb des vereinbarten Rahmens. Ob tatsächlich eine Auftragsverarbeitung vorliegt, hängt jedoch vom Ablauf und der Rollenverteilung ab, nicht von der Überschrift des Dokuments.
Prüfen Sie deshalb vor der Vertragskontrolle zunächst die Funktion des Dienstleisters. Verwaltet er Daten ausschließlich nach Ihren Weisungen, spricht dies für eine Auftragsverarbeitung. Entscheidet er dagegen über eigene Zwecke, kann eine andere datenschutzrechtliche Rollenverteilung vorliegen. Bei gemischten Leistungen sollten die einzelnen Verarbeitungsvorgänge getrennt betrachtet werden.
Verarbeitungsvorgänge zuerst sauber beschreiben
Ein AV-Vertrag ist nur belastbar, wenn sein Gegenstand verständlich beschrieben ist. Eine pauschale Formulierung wie „alle erforderlichen Daten im Rahmen der Geschäftsbeziehung“ reicht für die interne Kontrolle kaum aus. Sie sollten erkennen können, welche Leistung erfasst ist und welche Verarbeitung damit verbunden ist.
Prüfen Sie insbesondere folgende Angaben:
- Gegenstand und Dauer der Verarbeitung
- Art und Zweck der Verarbeitung
- Kategorien betroffener Personen
- Arten personenbezogener Daten
- Verarbeitungsvorgänge wie Speicherung, Übermittlung, Auswertung oder Löschung
- Ihre Weisungsbefugnisse und die zulässigen Nutzungsszenarien
Die Beschreibung muss zum tatsächlichen Einsatz passen. Wenn ein Unternehmen eine Software zunächst nur für Kundendaten nutzt, später aber auch Bewerbungsunterlagen darin speichert, kann der bestehende Vertrag zu eng gefasst sein. Eine Anpassung der Anlagen oder eine neue Prüfung ist dann sinnvoll.
Rollen, Weisungen und Verantwortlichkeiten
Der Vertrag sollte klarstellen, dass der Dienstleister Daten nur auf dokumentierte Weisung verarbeitet, soweit keine gesetzliche Verpflichtung zur abweichenden Verarbeitung besteht. Ebenso wichtig ist eine Regelung dazu, wie Weisungen erteilt, geändert und nachgewiesen werden. Mündliche Absprachen ohne nachvollziehbare Dokumentation erschweren später den Nachweis.
Vereinbaren Sie außerdem, wer im Betrieb Weisungen geben darf. Für einen kleinen Handwerksbetrieb kann diese Aufgabe bei der Geschäftsführung liegen. In einer Agentur oder einem Onlinehandel sollte zusätzlich geregelt werden, ob Mitarbeitende aus IT, Kundenservice oder Personalwesen entsprechende Anweisungen abgeben dürfen.
Achten Sie auf Klauseln, die dem Anbieter weitreichende eigene Nutzungsrechte einräumen. Eine Verarbeitung für Produktverbesserung, Werbung, Profilbildung oder statistische Zwecke kann über den vereinbarten Auftrag hinausgehen. Solche Zwecke müssen gesondert bewertet werden und dürfen nicht unbemerkt in einer allgemeinen Leistungsbeschreibung enthalten sein.
Welche Daten und Personengruppen erfasst sind
Die Datenkategorien sollten so beschrieben sein, dass besondere Risiken erkennbar bleiben. Dazu gehören beispielsweise Kontaktdaten, Vertragsdaten, Zahlungsinformationen, Nutzungsdaten, Beschäftigtendaten oder Bewerbungsunterlagen. Werden besondere Kategorien personenbezogener Daten verarbeitet, etwa Gesundheitsdaten, müssen die Sicherheits- und Zugriffsvorgaben besonders sorgfältig geprüft werden.
Auch die betroffenen Personengruppen gehören in die Vereinbarung. Das können Kunden, Interessenten, Beschäftigte, Bewerber, Lieferanten oder Besucher einer Website sein. Eine vollständige Zuordnung hilft Ihnen dabei, die Angaben mit dem Verzeichnis der Verarbeitungstätigkeiten und den internen Löschregeln abzugleichen.
Bei einem kleinen Onlinehandel kann der Versanddienstleister beispielsweise Namen, Lieferadressen und Bestellinformationen erhalten. Nutzt derselbe Anbieter zusätzlich Kundensupport oder Retourenmanagement, sollten diese Vorgänge ebenfalls abgebildet werden. Nicht erfasste Datenflüsse können zu Lücken bei Weisungen, Löschung und Zugriffskontrolle führen.
Unterauftragnehmer und internationale Datenübermittlungen
Viele Anbieter setzen weitere Unternehmen für Hosting, Support, Zahlungsabwicklung oder Wartung ein. Im AV-Vertrag muss nachvollziehbar sein, ob und unter welchen Bedingungen solche Unterauftragnehmer eingesetzt werden dürfen. Prüfen Sie, ob eine aktuelle Liste verfügbar ist und wie Sie über Änderungen informiert werden.
Eine bloße Zustimmung zu sämtlichen künftigen Unterauftragnehmern kann Ihre Kontrollmöglichkeiten einschränken. Achten Sie darauf, ob Sie Änderungen innerhalb einer angemessenen Frist beanstanden können und welche Folgen ein berechtigter Widerspruch hat. Außerdem sollte geregelt sein, dass die Pflichten aus dem Hauptvertrag an den weiteren Dienstleister weitergegeben werden.
Besondere Aufmerksamkeit erfordern Verarbeitungen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums. Prüfen Sie, in welche Länder Daten übermittelt oder von wo aus sie zugänglich gemacht werden. Die rechtliche Grundlage, zusätzliche Schutzmaßnahmen und die Angaben in den Anlagen müssen zur aktuellen Datenverarbeitung passen. Bei internationalen Strukturen sollten Sie die Bewertung nicht allein auf eine allgemeine Anbieterzusage stützen.
Technische und organisatorische Maßnahmen bewerten
Die technischen und organisatorischen Maßnahmen, kurz TOMs, gehören zu den wichtigsten Bestandteilen. Sie sollen zeigen, wie der Dienstleister Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme schützt. Eine bloße Aufzählung allgemeiner Sicherheitsbegriffe hilft wenig, wenn nicht erkennbar ist, welche Maßnahmen tatsächlich gelten.
Prüfen Sie, ob die Dokumentation Aussagen zu folgenden Bereichen enthält:
- Zutritts- und Zugangsschutz
- Benutzerberechtigungen und Rollenverwaltung
- Verschlüsselung bei Übertragung und Speicherung
- Protokollierung und Nachvollziehbarkeit von Zugriffen
- Datensicherung und Wiederherstellung
- Schutz vor Schadsoftware und unbefugter Veränderung
- Verfahren zur Prüfung, Bewertung und regelmäßigen Verbesserung der Maßnahmen
- Umgang mit Sicherheitsvorfällen
Die Angemessenheit hängt vom Risiko ab. Ein Anbieter, der lediglich geschäftliche Kontaktdaten verarbeitet, benötigt möglicherweise andere Schutzmaßnahmen als ein Lohnabrechnungsdienst mit umfangreichen Beschäftigtendaten. Entscheidend ist, dass die Maßnahmen zum Umfang, zur Sensibilität und zur Zugriffsmöglichkeit passen.
Meldung und Bearbeitung von Datenschutzverletzungen
Der Dienstleister sollte Sie unverzüglich informieren, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird. Der Vertrag sollte außerdem festlegen, welche Informationen Sie erhalten: etwa Art des Vorfalls, betroffene Daten, mögliche Folgen, bereits eingeleitete Maßnahmen und eine zuständige Kontaktperson.
Prüfen Sie, ob die Regelung eine ausreichende Zusammenarbeit bei der Bewertung des Vorfalls vorsieht. Sie müssen möglicherweise Fristen gegenüber der Aufsichtsbehörde oder betroffenen Personen einhalten. Dafür benötigen Sie belastbare Angaben und eine funktionierende Erreichbarkeit, nicht nur einen allgemeinen Verweis auf ein Supportportal.
Für die interne Organisation empfiehlt sich ein kurzer Eskalationsweg. Legen Sie fest, wer die Meldung entgegennimmt, wer die Geschäftsführung informiert und wer mit Datenschutzberatung, IT oder betroffenen Kunden abstimmt. Diese Zuständigkeit sollte unabhängig vom AV-Vertrag dokumentiert sein.
Unterstützung bei Betroffenenrechten und Behördenanfragen
Betroffene Personen können Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit verlangen. Der Dienstleister sollte Sie bei der Bearbeitung solcher Anfragen unterstützen und die erforderlichen Daten auffindbar, exportierbar oder löschbar bereitstellen können.
Achten Sie auf die praktische Umsetzung. Es sollte klar sein, wie eine Anfrage weitergeleitet wird, welche Fristen intern gelten und ob der Anbieter bestimmte Angaben benötigt. Bei einem CRM-System ist beispielsweise wichtig, ob Datensätze zuverlässig über mehrere Mandanten, Backups und angebundene Systeme hinweg identifiziert werden können.
Auch die Unterstützung bei Prüfungen durch Aufsichtsbehörden sollte geregelt sein. Dazu gehören Auskünfte, Nachweise zu Sicherheitsmaßnahmen und die Bereitstellung relevanter Unterlagen. Der Dienstleister darf diese Pflichten nicht durch unangemessene Hürden oder pauschale Ausschlüsse praktisch entwerten.
Löschung, Rückgabe und Datenexport
Nach Ende der Leistung müssen die Daten gelöscht oder nach Ihrer Wahl zurückgegeben werden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Vertrag sollte erläutern, welche Datenbestände betroffen sind und wie mit Sicherungskopien, Protokollen und Testsystemen umgegangen wird.
Eine Rückgabe ist nur dann hilfreich, wenn das Format für Sie nutzbar ist. Prüfen Sie deshalb, ob ein strukturierter Export möglich ist und welche Daten, Anhänge, Metadaten oder Protokolle enthalten sind. Bei einem Anbieterwechsel sollten Sie nicht erst nach Vertragsende feststellen, dass ein vollständiger Umzug technisch nicht möglich ist.
Für die Kontrolle benötigen Sie einen Nachweis über die Löschung oder Rückgabe. Dieser kann je nach Dienst und Vereinbarung unterschiedlich ausgestaltet sein. Wichtig ist, dass die Dokumentation nachvollziehbar bleibt und Sie den Abschluss des Vorgangs intern ablegen können.
Kontrollrechte und Nachweise des Dienstleisters
Als verantwortliches Unternehmen müssen Sie die Einhaltung der vereinbarten Pflichten überprüfen können. Der Vertrag sollte deshalb Informationen, Nachweise, Audits oder andere geeignete Kontrollmöglichkeiten vorsehen. Einschränkungen sind möglich, dürfen aber nicht dazu führen, dass jede wirksame Prüfung ausgeschlossen wird.
Akzeptiert der Anbieter Zertifikate, Prüfberichte oder standardisierte Sicherheitsnachweise, prüfen Sie deren Aussagekraft und Aktualität. Ein Zertifikat deckt nicht automatisch jeden Verarbeitungsvorgang Ihres konkreten Vertrags ab. Fragen Sie bei Bedarf nach dem Geltungsbereich, den geprüften Standorten und möglichen Ausnahmen.
Auch Kostenregelungen verdienen Aufmerksamkeit. Manche Verträge sehen Gebühren für individuelle Auskünfte, Audits oder Unterstützung bei Betroffenenanfragen vor. Prüfen Sie, ob diese Kosten angemessen sind, welche Leistungen bereits im Preis enthalten sind und ob die Regelung Ihre gesetzlichen Pflichten wirtschaftlich unangemessen erschwert.
Den Vertrag im Betrieb systematisch prüfen
Für die Prüfung benötigen Sie neben dem Vertragsdokument weitere Unterlagen. Stellen Sie die Leistungsbeschreibung, Anlagen zu TOMs, Unterauftragnehmerlisten, Datenschutzinformationen, technische Dokumentation und gegebenenfalls Zertifikate zusammen. Vergleichen Sie diese Unterlagen mit Ihrem Verzeichnis der Verarbeitungstätigkeiten und den tatsächlichen Einstellungen.
- Erfassen Sie den Dienstleister, die genutzten Produkte und die betroffenen Verarbeitungsvorgänge.
- Ordnen Sie Datenarten, Personengruppen, Zwecke und Zugriffsrollen zu.
- Prüfen Sie Vertragsumfang, Weisungsregeln, Unterauftragnehmer und Länderbezug.
- Bewerten Sie TOMs, Meldewege, Unterstützungspflichten und Kontrollrechte.
- Testen Sie Export, Löschung und Berechtigungsverwaltung anhand des realen Systems.
- Dokumentieren Sie offene Punkte, verantwortliche Personen und einen Termin zur Nachprüfung.
Ein Onlinehandel sollte beispielsweise nicht nur den Vertrag mit dem Shopsystem prüfen, sondern auch Zahlungsdienstleister, Versandabwicklung, Newsletterversand und Supportzugänge erfassen. Die Prüfung wird dadurch zwar umfangreicher, bildet aber den tatsächlichen Datenfluss ab.
Typische Schwachstellen in Standardverträgen
Ein häufiger Fehler besteht darin, den Vertrag ungeprüft aus dem Kundenportal herunterzuladen und sofort zu akzeptieren. Standardtexte können eine brauchbare Grundlage sein, müssen aber mit gebuchten Modulen, individuellen Konfigurationen und den tatsächlichen Datenflüssen übereinstimmen.
Problematisch sind außerdem unklare Löschfristen, veraltete Unterauftragnehmerlisten, pauschale Sicherheitsbeschreibungen und fehlende Regelungen zum Datenexport. Auch eine Klausel, nach der der Anbieter sämtliche Änderungen einseitig vornehmen kann, sollte näher betrachtet werden.
Dokumentieren Sie Abweichungen schriftlich und lassen Sie offene Punkte vom Anbieter beantworten. Bei wesentlichen Lücken sollten Sie den Dienst nicht produktiv einsetzen, bevor Zuständigkeiten, Schutzmaßnahmen und Nachweise geklärt sind.
Wann externe Beratung sinnvoll ist
Bei umfangreichen Datenbeständen, besonderen Kategorien personenbezogener Daten, internationalen Konzernstrukturen oder risikoreichen Verarbeitungsvorgängen kann eine datenschutzrechtliche und technische Prüfung sinnvoll sein. Das gilt auch, wenn der Anbieter keine ausreichenden Nachweise liefert oder die Rollenverteilung zwischen Verantwortlichem und Auftragsverarbeiter unklar bleibt.
Eine Beratung ersetzt nicht die interne Bestandsaufnahme. Sie sollten weiterhin wissen, welche Systeme eingesetzt werden, wer Zugriffsrechte besitzt und welche Daten nach Vertragsende benötigt werden. Je besser diese Informationen vorbereitet sind, desto gezielter lassen sich rechtliche und technische Fragen klären.
Behandeln Sie die Vereinbarung als Teil Ihrer laufenden Datenschutzorganisation. Prüfen Sie sie erneut, wenn sich der Dienst, die Datenarten, die Länder, die Unterauftragnehmer oder die Sicherheitsanforderungen ändern. So bleibt die Dokumentation mit dem betrieblichen Ablauf verbunden und wird nicht zu einer einmalig abgelegten Datei.
Fragen und Antworten zum Prüfen eines AV-Vertrags
Muss jeder Cloud-Dienstleister einen AV-Vertrag anbieten?
Nicht jeder Cloud-Dienstleister verarbeitet Daten automatisch als Auftragsverarbeiter. Entscheidend ist, ob der Anbieter ausschließlich nach Ihren Weisungen handelt oder eigene Zwecke und wesentliche Mittel der Verarbeitung bestimmt; klären Sie diese Rollenverteilung vor der Nutzung.
Was ist zu tun, wenn der Anbieter Änderungen am AV-Vertrag einseitig ankündigt?
Prüfen Sie zunächst, welche Vertragsbestandteile und Verarbeitungsvorgänge geändert werden und ob dadurch neue Datenflüsse, Unterauftragnehmer oder Länderbezüge entstehen. Dokumentieren Sie Ihre Bewertung und klären Sie vor Ablauf einer möglichen Widerspruchsfrist, ob Anpassungen, ein Alternativanbieter oder eine rechtliche Prüfung erforderlich sind.
Wie lässt sich prüfen, ob die Löschung nach Vertragsende tatsächlich funktioniert?
Definieren Sie vorab, welche Daten gelöscht, zurückgegeben oder aus Sicherungskopien entfernt werden müssen und wer dies beim Anbieter bestätigt. Ein geeigneter Nachweis kann je nach Dienst beispielsweise ein dokumentierter Löschvorgang, ein Exportprotokoll oder eine vertraglich vorgesehene Bestätigung sein.
Wer sollte den AV-Vertrag im kleinen Unternehmen freigeben?
Die Geschäftsführung oder eine ausdrücklich benannte verantwortliche Person sollte die Freigabe erteilen, weil sie den Dienstleister und den konkreten Verarbeitungszweck verantwortet. Für technische Maßnahmen, Berechtigungen und Datenexporte sollten zusätzlich die zuständigen Mitarbeitenden aus IT, Administration oder Fachbereich einbezogen werden.
Kann ein Zertifikat die eigene Prüfung des AV-Vertrags ersetzen?
Nein, ein Zertifikat kann Hinweise auf geprüfte Sicherheitsprozesse geben, ersetzt aber nicht den Abgleich mit Ihrem konkreten Tarif, den genutzten Funktionen und den betroffenen Daten. Prüfen Sie außerdem den Geltungsbereich, die Laufzeit und mögliche Ausnahmen des Nachweises, bevor Sie daraus Rückschlüsse auf Ihre Verarbeitung ziehen.
