DSGVO Auftragsverarbeitung: Die fünf Klauseln, die in den meisten AVV fehlen

Ein Auftragsverarbeitungsvertrag ist schnell geschlossen. Anbieter stellen eine Vorlage bereit, Verantwortlicher und Auftragsverarbeiter werden eingetragen, technische und organisatorische Maßnahmen angehängt, fertig. Bei genauerer Prüfung zeigt sich jedoch häufig, dass entscheidende Regelungen fehlen oder so allgemein formuliert sind, dass sie im Ernstfall wenig helfen.

Art. 28 Abs. 3 DSGVO verlangt konkrete Pflichten für den Umgang mit personenbezogenen Daten. Fünf Punkte verdienen besondere Aufmerksamkeit. Wer Datenschutz- und andere Compliance-Anforderungen systematisch in prüfbare Prozesse überführen will, findet dazu weitere Ansätze unter Executable Compliance.

1. Weisungen müssen Drittlandtransfers erfassen

Der Auftragsverarbeiter darf personenbezogene Daten grundsätzlich nur auf dokumentierte Weisung verarbeiten. Das umfasst ausdrücklich auch Übermittlungen an Drittländer oder internationale Organisationen.

Bei Cloud- und SaaS-Diensten reicht deshalb die Frage nach dem Sitz des Vertragspartners nicht. Zu prüfen sind tatsächliche Datenflüsse und beteiligte Unterauftragnehmer. Je nach Zielland kommen etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln, bei einer Übermittlung zwischen Verantwortlichem und Auftragsverarbeiter insbesondere Modul 2, in Betracht. Soweit erforderlich, gehört dazu auch die Bewertung des konkreten Transfers, häufig als Transfer Impact Assessment bezeichnet.

Der AVV sollte festlegen, wie Drittlandtransfers freigegeben und Änderungen mitgeteilt werden.

2. Unterauftragnehmer brauchen einen definierten Prozess

Hosting, Support, Monitoring oder Backups werden häufig von weiteren Dienstleistern erbracht. Art. 28 Abs. 2 DSGVO verlangt hierfür eine spezielle oder allgemeine schriftliche Genehmigung. Bei allgemeiner Genehmigung muss der Verantwortliche über beabsichtigte Änderungen informiert werden und Gelegenheit zum Einspruch erhalten.

Praktikabel ist eine laufend gepflegte Subprozessor-Liste mit Name beziehungsweise Rechtsform, Anschrift, Tätigkeit und Verarbeitungsort. Bei Drittländern sollten zusätzlich die verwendeten Garantien erkennbar sein.

Auch das Verfahren gehört in den AVV: Wie wird eine Änderung angekündigt? Welche Informationen erhält der Verantwortliche? Wie kann er widersprechen? Eine vertraglich festgelegte Frist von beispielsweise 14 Tagen kann den Prozess operationalisieren. Dieselbe Logik greift außerhalb des Datenschutzrechts bei der NIS-2-Lieferkettensicherheit, wo Sub-Zulieferer ebenfalls oft aus dem Blick geraten.

3. Betroffenenrechte müssen praktisch funktionieren

Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit sind Pflichten des Verantwortlichen. Die benötigten Daten befinden sich jedoch häufig beim Auftragsverarbeiter.

Art. 28 Abs. 3 lit. e verpflichtet ihn deshalb zur Unterstützung. Eine abstrakte Klausel genügt für einen belastbaren Prozess kaum. Der AVV sollte klären, an wen Anfragen weitergeleitet werden, welche Reaktionszeiten gelten und wie der Dienstleister bei Suche, Export, Berichtigung oder Löschung unterstützt.

4. Sicherheit, Vertraulichkeit und Datenende gehören zusammen

Art. 28 Abs. 3 enthält weitere zentrale Pflichtinhalte, die in AVV nicht auf allgemeine Formulierungen reduziert werden sollten.

Personen mit Zugriff auf die Daten müssen zur Vertraulichkeit verpflichtet sein. Der Auftragsverarbeiter muss die Anforderungen an die Sicherheit der Verarbeitung nach Art. 32 DSGVO umsetzen. Nach Ende der Verarbeitung sind personenbezogene Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Hinzu kommt die Unterstützung bei Pflichten aus Art. 32 bis 36 DSGVO, etwa bei Datenschutzverletzungen, Datenschutz-Folgenabschätzungen oder einer erforderlichen Konsultation der Aufsichtsbehörde.

5. Auditrechte müssen nutzbar bleiben

Art. 28 Abs. 3 lit. h verlangt Informationen zum Nachweis der Einhaltung und ermöglicht Überprüfungen einschließlich Inspektionen.

In der Praxis ist ein abgestuftes Modell sinnvoll: Zunächst können Zertifikate, Prüfberichte und vorhandene Nachweise ausgewertet werden. Reichen diese bei begründetem Bedarf nicht aus, folgen ergänzende Informationen oder eine vertiefte Prüfung.

Problematisch werden Klauseln, wenn sie Audits faktisch unmöglich machen, etwa durch unangemessen hohe Gebühren oder den vollständigen Ausschluss eigener Prüfungen.

6. Was ein AVV nach Art. 28 DSGVO mindestens regeln muss

1. Sind Weisungen und Drittlandtransfers eindeutig geregelt?
2. Gibt es einen transparenten Prozess für Unterauftragnehmer?
3. Funktioniert die Unterstützung bei Betroffenenrechten praktisch?
4. Sind Vertraulichkeit, TOM, Unterstützungspflichten sowie Löschung oder Rückgabe geregelt?
5. Können Nachweis- und Auditrechte tatsächlich ausgeübt werden?

Wer eine dieser Fragen anhand seines AVV nicht beantworten kann, sollte nacharbeiten. Für eine breitere Standortbestimmung lässt sich anschließend der Compliance-Stresstest nutzen.

7. Welche Dokumente werden benötigt?

• Auftragsverarbeitungsvertrag mit den Pflichtinhalten nach Art. 28 Abs. 3
• Anlage zu den technischen und organisatorischen Maßnahmen nach Art. 32
• Aktuelle Liste der Unterauftragnehmer mit Tätigkeit und Verarbeitungsort
• Nachweise der Drittlandgarantien, etwa Standardvertragsklauseln und zugehörige Transferbewertung
• Lösch- und Rückgabekonzept für das Ende der Verarbeitung
• Verzeichnis von Verarbeitungstätigkeiten, in dem der Dienstleister erfasst ist

Wie sich diese Angaben mit den Anforderungen anderer Rahmenwerke in einem gemeinsamen Datenbestand führen lassen, zeigt der Beitrag zum Cross-Framework-Asset-Inventar.

8. BAM-Mapping

9. Unsere Empfehlung

Häufige Fragen zur Auftragsverarbeitung

Wann ist ein AVV erforderlich?

Ein AVV ist erforderlich, wenn ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet und die Voraussetzungen einer Auftragsverarbeitung nach Art. 28 DSGVO vorliegen. Entscheidend ist die konkrete Verarbeitung, nicht die Bezeichnung des Vertrags.

Was muss ein AVV nach Art. 28 DSGVO enthalten?

Art. 28 Abs. 3 verlangt unter anderem Regelungen zu Weisungen, Vertraulichkeit, Sicherheit der Verarbeitung, Unterauftragnehmern, Betroffenenrechten, Unterstützungspflichten, Löschung oder Rückgabe sowie Nachweis- und Auditrechten.

Reicht die AVV-Vorlage eines Dienstleisters aus?

Nicht automatisch. Eine Vorlage kann die gesetzlichen Pflichtpunkte enthalten, muss aber zur tatsächlichen Verarbeitung passen. Besonders Datenflüsse, Unterauftragnehmer, Drittlandtransfers, technische und organisatorische Maßnahmen sowie Prüfprozesse sollten deshalb konkret geprüft werden.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 28 sowie Art. 32 bis 36
• Durchführungsbeschluss (EU) 2021/914 der Kommission, Standardvertragsklauseln
• Europäischer Datenschutzausschuss, Leitlinien 07/2020 zu Verantwortlichem und Auftragsverarbeiter
• ISO/IEC 27001:2022, Anhang A.5.19 bis A.5.22 (Lieferantenbeziehungen)