Auftragsverarbeitung: Was gehört in einen AVV?

Wann liegt Auftragsverarbeitung vor und wann nicht?

Drei Konstellationen sind auseinanderzuhalten, und die Zuordnung entscheidet über Verträge, Informationspflichten und Haftung. Die Prüffrage lautet immer gleich: Wer legt Zweck und wesentliche Mittel der Verarbeitung fest?

Auftragsverarbeitung heißt, dass der Dienstleister ausschließlich nach Ihren Weisungen handelt und keinen eigenen Zweck verfolgt. Das Rechenzentrum, das Ihre Anwendung betreibt, die Entwicklungsfirma mit Zugang zur Produktivdatenbank, der Versanddienst für den Newsletter — sie alle arbeiten in diesem Sinn zu.

Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO entsteht, wenn zwei Stellen Zwecke und Mittel zusammen festlegen. Dann braucht es eine Vereinbarung, die die Aufgaben zuordnet, und die wesentlichen Punkte daraus müssen den betroffenen Personen zugänglich sein. Typisch ist das bei gemeinsam betriebenen Portalen oder bei Auswertungen auf fremden Plattformen.

Eigenständig verantwortlich handelt, wer eigenen Berufs- oder Rechtspflichten folgt: die Steuerkanzlei bei der Lohnabrechnung, die Rechtsanwältin, die Bank, der Postdienst, die Wirtschaftsprüfung. Ein Auftragsverarbeitungsvertrag mit einer Steuerkanzlei ist deshalb kein Sicherheitsgewinn, sondern eine Fehleinordnung, die Zuständigkeiten verwischt.

Welche Inhalte verlangt Art. 28 DSGVO?

• Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen.
• Verarbeitung nur auf dokumentierte Weisung, einschließlich Regelung für Übermittlungen in Drittländer.
• Vertraulichkeitsverpflichtung aller eingesetzten Personen und Nachweis der Sicherheitsmaßnahmen nach Art. 32.
• Bedingungen für Unterauftragsverarbeiter sowie die Pflicht, ihnen dieselben Verpflichtungen aufzuerlegen.
• Unterstützung bei Betroffenenrechten, Meldepflichten, Folgenabschätzung und Vorabkonsultation.
• Löschung oder Rückgabe nach Wahl des Verantwortlichen sowie Informations-, Nachweis- und Prüfrechte.

Über diesen Pflichtkatalog hinaus lohnen drei Ergänzungen. Erstens benannte Ansprechpersonen für Weisungen samt Form, damit später niemand rätselt, wer was angeordnet hat. Zweitens eine Meldefrist bei Sicherheitsvorfällen, die deutlich unter Ihrer eigenen 72-Stunden-Frist aus Art. 33 liegt — sonst können Sie diese nicht einhalten. Drittens eine praktikable Ausgestaltung des Prüfrechts: Fragebogen und Nachweise als Regelfall, Vor-Ort-Prüfung als Ausnahme mit Ankündigungsfrist.

Welche Dienstleister betrifft das in einem Digitalprojekt?

• Hosting und Cloud-Infrastruktur, einschließlich Speicher- und Datenbankdiensten.
• Entwicklung, Wartung und Support, sobald ein Zugriff auf Produktivdaten möglich ist — die Möglichkeit genügt.
• Newsletter-, SMS- und Transaktionsmailversand samt Öffnungs- und Klickerfassung.
• Ticketsystem, Telefonanlage, Chat und Fernwartungswerkzeuge.
• Analyse- und Fehlerprotokolldienste, deren Meldungen häufig ungewollt Nutzerdaten enthalten.
• Sicherung, Archivierung, Suchdienste und KI-gestützte Assistenzfunktionen.

Bei KI-Diensten lohnt der zweite Blick, weil die Eingaben das Haus verlassen. Klären Sie schriftlich, ob Ihre Inhalte zum Modelltraining verwendet werden, wie lange Eingaben und Ausgaben gespeichert bleiben, in welcher Region die Verarbeitung stattfindet und welche Unterauftragnehmer der Anbieter einsetzt. Ohne diese vier Antworten ist die Freigabe eines Werkzeugs nicht dokumentierbar.

Ein Hersteller von Medizintechnik, dessen Servicefälle Angaben über Patienten streifen, bewegt sich zusätzlich in den besonderen Kategorien nach Art. 9 DSGVO. Dort steigen die Anforderungen an Zugriffsbeschränkung, Verschlüsselung und Protokollierung deutlich — und die Auswahl geeigneter Anbieter wird spürbar kleiner.

Der häufigste blinde Fleck ist die selbst beschaffte Software: das Werkzeug, das eine Abteilung mit der Firmenkarte bucht, weil es die Arbeit erleichtert. Ohne Beschaffungsweg mit kurzer Datenschutzprüfung wächst diese Schatten-Landschaft schneller, als sie jemand erfassen kann.

Wie regeln Sie Unterauftragsverarbeiter?

Der Dienstleister darf weitere Dienstleister nur mit Ihrer Genehmigung einsetzen. Üblich ist die allgemeine Genehmigung: Eine Liste benennt die Unterauftragnehmer, Änderungen werden vorab angekündigt, und Ihnen steht ein Widerspruchsrecht mit Frist zu — verbunden mit einem Sonderkündigungsrecht, falls Sie widersprechen.

Praktisch scheitert dieses Verfahren an einer Kleinigkeit: Die Liste steht auf einer Unterseite des Anbieters, die Ankündigung geht an eine Sammeladresse, die niemand liest, und die Widerspruchsfrist verstreicht. Legen Sie deshalb intern fest, wer diese Nachrichten erhält und wer sie bewertet — mit Wiedervorlage im Kalender, nicht im Gedächtnis.

Inhaltlich muss der Hauptauftragnehmer dieselben Pflichten weiterreichen und bleibt Ihnen gegenüber für die Erfüllung verantwortlich. Prüfen Sie bei sensiblen Verfahren, ob die Kette auch tatsächlich endet, wo die Liste aufhört.

Was gilt bei Anbietern außerhalb der EU?

Liegt für das Zielland ein Angemessenheitsbeschluss der Kommission vor, ist die Übermittlung ohne zusätzliche Instrumente möglich. Andernfalls tragen in der Regel die Standardvertragsklauseln der Kommission — ergänzt um eine Prüfung, ob die Rechtslage im Zielland das zugesagte Schutzniveau überhaupt zulässt, und um zusätzliche Schutzmaßnahmen.

• Verschlüsselung, deren Schlüssel im eigenen Haus bleiben, ist die wirksamste ergänzende Maßnahme.
• Pseudonymisierung reduziert das Risiko, wenn Klartextdaten für den Zweck nicht erforderlich sind.
• Supportzugriffe lassen sich auf Freigabe im Einzelfall beschränken und vollständig protokollieren.
• Ein Transparenzbericht des Anbieters zu behördlichen Auskunftsersuchen gehört in die Bewertung.

Ein europäisches Rechenzentrum allein löst die Frage nicht. Kann eine Konzernmutter im Drittland auf die Daten zugreifen oder wird aus dem Ausland fernwartend gearbeitet, liegt eine Übermittlung vor — die bloße Zugriffsmöglichkeit genügt. Diese Konstellation übersehen Prüflisten regelmäßig.

Wie prüfen Sie einen Dienstleister vor der Beauftragung?

Art. 28 verlangt, dass Sie nur mit Dienstleistern arbeiten, die hinreichende Garantien bieten. Diese Auswahlentscheidung ist zu dokumentieren — und sie fällt vor der Unterschrift, nicht danach. Ein kurzer, immer gleicher Fragebogen reicht dafür in den meisten Fällen aus.

• Wo werden die Daten verarbeitet und gespeichert, einschließlich Sicherungen und Protokolldaten?
• Welche Unterauftragnehmer sind beteiligt und wie wird über Änderungen informiert?
• Wie schnell wird ein Sicherheitsvorfall gemeldet und an welche Adresse?
• Wie wird der administrative Zugriff vergeben, überprüft und wieder entzogen?
• Welche Nachweise liegen vor: Zertifikat, Prüfbericht, Beschreibung der Maßnahmen?

Bewahren Sie die Antworten zusammen mit dem Vertrag auf. Bei einer Prüfung durch die Aufsichtsbehörde zählt weniger das perfekte Ergebnis als der Nachweis, dass Sie die Frage überhaupt gestellt haben.

Warum sind die Schutzmaßnahmen mehr als eine Anlage?

Die technischen und organisatorischen Maßnahmen beschreiben, wie geschützt wird: Zutritt zu Räumen, Zugang zu Systemen, Zugriff auf Datensätze, Trennung von Mandanten, Verschlüsselung in Übertragung und Ablage, Protokollierung, Wiederherstellbarkeit mit getesteten Wiederanlaufzeiten sowie ein Verfahren zur regelmäßigen Überprüfung.

Textbausteine ohne Bezug zum tatsächlichen Betrieb sind wertlos. Fragen Sie stattdessen nach Konkretem: Wie viele Personen haben administrative Rechte? Wie werden diese entzogen, wenn jemand das Unternehmen verlässt? Wann wurde zuletzt eine Wiederherstellung aus der Sicherung geprobt und wie lange hat sie gedauert?

Zertifikate wie ISO/IEC 27001 erleichtern die Auswahl und sind ein brauchbares Indiz, ersetzen die eigene Bewertung aber nicht — schon weil der Geltungsbereich eines Zertifikats oft enger geschnitten ist, als das Siegel vermuten lässt.

Ein Vertrag, den nach der Unterschrift niemand mehr öffnet, dokumentiert nur den Stand eines einzigen Tages.

Was passiert am Ende der Zusammenarbeit?

Nach Vertragsende sind die Daten zu löschen oder zurückzugeben, und die Wahl treffen Sie. Legen Sie im Vertrag fest, welche Variante gilt, in welchem Format zurückgegeben wird und binnen welcher Frist — sonst verhandeln Sie das ausgerechnet in dem Moment, in dem das Verhältnis bereits belastet ist.

Sicherungen verschwinden nicht sofort. Realistisch ist eine Regel, die aktive Bestände unverzüglich löscht und rotierende Sicherungen nach Ablauf des Zyklus — mit schriftlicher Löschbestätigung, die Datum und Umfang benennt.

Planen Sie außerdem ein Migrationsfenster und testen Sie das Exportformat vor der Kündigung. Ein Wechsel des Ticketsystems scheitert selten am Vertrag und häufig daran, dass der Export Anhänge, Verläufe oder Zuordnungen nicht mitnimmt.

Wie halten Sie die Unterlagen aktuell?

Die Klammer um alles ist das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Jede Tätigkeit nennt Zweck, Datenarten, Fristen, Empfänger — und damit auch die beteiligten Dienstleister. Wer das Verzeichnis pflegt, merkt sofort, wenn zu einem Empfänger der Vertrag fehlt.

• Eine zentrale Ablage je Dienstleister mit Vertrag, Datum, Fassung, Ansprechperson und Stand der Unterauftragnehmerliste.
• Jährliche Wiedervorlage, bei kritischen Diensten halbjährlich, mit kurzem Protokoll der Prüfung.
• Eine Prüfliste für neue Werkzeuge, die vor der ersten Nutzung abgearbeitet wird, nicht danach.
• Ein dokumentierter Abschluss beim Ausscheiden eines Dienstleisters, einschließlich Löschbestätigung.

Verstehen Sie diesen Überblick als Landkarte, nicht als Vertragsprüfung. Ob im Einzelfall Auftragsverarbeitung, gemeinsame Verantwortung oder eigene Verantwortlichkeit vorliegt, ist eine juristische Bewertung; sie gehört zu einer Fachanwältin oder einem Fachanwalt für IT- und Datenschutzrecht, bevor Sie unterschreiben.