Ein Datenverarbeitungsvertrag kann auf den ersten Blick wie reine Routine wirken, wenn die wirtschaftlichen Bedingungen und Standardklauseln einmal vereinbart sind. Es lohnt sich jedoch, genau darauf zu achten, wie ein externer Auftragsverarbeiter personenbezogene Daten in Ihrem Auftrag handhabt, was nach einer Verletzung des Schutzes personenbezogener Daten geschieht und wer haftet, wenn eine Sicherheitsmaßnahme versagt.

Je mehr Verträge Sie verwalten, desto höher ist das Risiko. Jeder neue Dienstleister, mit dem Sie personenbezogene Daten teilen, jede Vertragsverlängerung und jedes SaaS-Tool, das auf Mitarbeiter- oder Kundendaten zugreift, bringt einen eigenen Auftragsverarbeitungsvertrag (AVV) mit sich. Die meisten dieser Verträge sind an den Interessen des Anbieters orientiert, wodurch die Verpflichtungen zum Datenschutz und zur Datensicherheit, die Sie schützen sollen, oft verwässert werden.

Dies ist eine Checkliste für den Review von AVVs, verfasst aus der Perspektive des Verantwortlichen, der einen Dienstleister beauftragt – also des Unternehmens, dessen personenbezogene Daten verarbeitet werden. Die Checkliste steht am Ende dieses Beitrags als PDF-Download zur Verfügung, bereit für Ihren nächsten AVV.

Wenn Ihre Rechtsabteilung noch immer Stunden mit dem manuellen Review von Verträgen verbringt, testen Sie LEGALFLY. LEGALFLY verkürzt die Zeit für den Review um bis zu 87,5 % und macht aus einer zweistündigen Prüfung einen Vorgang von 15 Minuten – ohne dass Ihr Team die Kontrolle verliert. Demo buchen, um zu sehen, wie sich die Lösung in die bestehenden Arbeitsabläufe Ihrer Rechtsabteilung integriert.

Führen Sie in 15 Minuten einen Review von Datenverarbeitungsverträgen in LEGALFLY durch

Sie können LEGALFLY nutzen, um automatisch ein 21-Punkte-Playbook für Datenverarbeitungsverträge auf jeden AVV anzuwenden. Eine Prüfung, für die ein erfahrener Jurist sonst zwei Stunden benötigt, ist in etwa 15 Minuten erledigt – einheitlich und präzise, unabhängig davon, wer sie durchführt.

1. Öffnen Sie den AVV in Microsoft Word

Starten Sie das LEGALFLY-Add-In. Noch vor der Verarbeitung durch die KI anonymisiert LEGALFLY sensible Daten direkt beim Import: Namen der Vertragspartner, juristische Personen und Kennzeichnungen werden in Token umgewandelt, und das Originaldokument bleibt vollständig unter Ihrer Kontrolle.

2. Wählen Sie das Playbook für Datenverarbeitungsverträge aus

Dieses enthält die 21 in diesem Artikel beschriebenen Prüfungspunkte, konfiguriert mit Ihren bevorzugten Rechtspositionen und Fallback-Formulierungen. Wählen Sie einfach die Variante, die zum jeweiligen Geschäftsvorgang passt.

3. Starten Sie den Review

LEGALFLY analysiert den AVV Klausel für Klausel, gleicht ihn mit Ihren Risikoschwellen ab und markiert jede Abweichung von Ihrer bevorzugten Position.

4. Prüfen Sie die Änderungen im Modus „Änderungen nachverfolgen“ inklusive Begründung

Jede Anpassung wird als nachverfolgte Änderung in Microsoft Word dargestellt, direkt verknüpft mit der entsprechenden Playbook-Regel, die sie ausgelöst hat. Sie können jede Änderung annehmen, anpassen oder ablehnen.

5. Exportieren Sie das Dokument mit vollständigem Audit-Trail

Das Dokument wird mit einer lückenlosen Historie aller Änderungen, angewendeten Regeln und erteilten Freigaben exportiert – bereit für die interne Governance oder ein externes Audit.

Für AVVs, die Sie in großer Zahl bearbeiten, können Sie den Review als automatisierten Workflow über den Agent Studio einrichten. Fachabteilungen erstellen die Anfrage direkt aus Slack, Microsoft Teams oder per E-Mail; LEGALFLY leitet das Ergebnis basierend auf Vertragstyp, Risikostufe oder Vertragspartner an den zuständigen Juristen weiter. Die endgültige Freigabe verbleibt stets bei Ihnen.

Überzeugen Sie sich selbst, warum LEGALFLY zu den führenden Softwarelösungen für den automatisierten Vertrags-Review zählt.

Ausführliche Checkliste für den Review von Datenverarbeitungsverträgen: Was Sie vor der Unterzeichnung prüfen müssen

Laden Sie die Checkliste hier herunter.

Die Unterzeichnung eines AVVs ohne sorgfältige Prüfung setzt Sie dem Risiko von Bußgeldern durch Aufsichtsbehörden, nicht wiederbrringbaren Verlusten nach einer Datenpanne und Verpflichtungen aus, denen Sie nie zugestimmt haben. Die folgenden sieben Bereiche sollten für interne Rechtsabteilungen im Fokus stehen. Gehen Sie diese der Reihe nach durch; die ersten Punkte bilden das Fundament für die folgenden.

Gemäß der Datenschutz-Grundverordnung (DSGVO) muss die Beziehung zwischen einem Verantwortlichen und einem Auftragsverarbeiter durch einen schriftlichen Vertrag geregelt sein, sobald Letzterem personenbezogene Daten überlassen werden. Artikel 28 legt den zwingenden Inhalt fest: ein rechtlich bindender Vertrag, der wie jede kommerzielle Vereinbarung auf einer vertraglichen Gegenleistung beruht. Er muss den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegen. Die DSGVO dient dem Schutz identifizierbarer natürlicher Personen; ein DSGVO-AVV, der diese Elemente nicht enthält, ist bereits formal nicht rechtskonform, ungeachtet der tatsächlichen Praxis der Parteien.

Diese Pflicht gilt auch über die Europäische Union hinaus. Entsprechende Regelungen finden sich im UK Data Protection Act, dem California Consumer Privacy Act und dem California Privacy Rights Act. Jeder dieser Gesetze verlangt einen schriftlichen Vertrag, der Dienstleister oder externe Auftragsverarbeiter beim Umgang mit personenbezogenen Daten bindet. 

Da die Datenschutzgesetze weltweit zunehmen, überschneiden sich die anwendbaren Vorschriften, und ein einziger AVV muss ihnen allen gerecht werden.

Ihr Review erfüllt zwei Aufgaben: Sie stellen sicher, dass die gesetzlichen Mindestanforderungen erfüllt sind, und verhandeln die dispositiven Bedingungen so, dass personenbezogene Daten und Ihr Unternehmen bestmöglich geschützt sind.

Klären Sie, was verarbeitet wird und warum

Artikel 28 verlangt, dass der AVV die Grundlagen der Verarbeitung festhält. Diese Beschreibungen begrenzen, was der Auftragsverarbeiter mit Ihren Daten tun darf. Formulieren Sie unpräzise Klauseln daher so eng wie möglich.

Gegenstand und Dauer

Stellen Sie sicher, dass der AVV den Gegenstand der Verarbeitung genau beschreibt und die Dauer an die Laufzeit des Hauptvertrags koppelt. Eine unbefristete Dauer birgt das Risiko, dass die Verarbeitung den eigentlichen Zweck der Dienstleistung überdauert.

Art und Zweck

Begrenzen Sie den Zweck streng auf die Erbringung der vertraglich vereinbarten Dienstleistungen. Vermeiden Sie Formulierungen wie „und damit verbundene Zwecke“, die es dem Auftragsverarbeiter ermöglichen könnten, Ihre Daten für eigene geschäftliche Zwecke zu nutzen.

Arten personenbezogener Daten und Kategorien betroffener Personen

Verlangen Sie eine detaillierte Auflistung der verarbeiteten Datenarten und der betroffenen Personengruppen. Die Bezeichnung „Kontaktdaten“ lässt keinen Rückschluss darauf zu, ob sensible Daten oder Mitarbeiterdaten betroffen sind. Bei bestimmten Dienstleistungen entscheidet genau diese Unterscheidung über die jeweiligen Pflichten.

Legen Sie genau fest, wie der Auftragsverarbeiter mit Ihren Daten verfährt

Der Auftragsverarbeiter darf ausschließlich nach Ihren Weisungen handeln, und nur autorisierte Personen dürfen Zugriff auf die Daten erhalten.

Schriftliche Weisungen

Verpflichten Sie den Auftragsverarbeiter vertraglich dazu, ausschließlich auf Ihre dokumentierten Weisungen hin tätig zu werden. Diese Weisungen müssen auch für internationale Datentransfers gelten. Sie können elektronisch oder auf anderem Wege erteilt werden, die Pflicht zur Einhaltung muss jedoch als bindende Klausel im Vertrag verankert sein.

Vertraulichkeit des Personals

Verlangen Sie, dass sich alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben, und stellen Sie sicher, dass diese Daten niemals über den dokumentierten Zweck hinaus weitergegeben werden. Andernfalls riskieren Sie eine unkontrollierte Weitergabe Ihrer Daten durch Mitarbeiter und Subunternehmer, wodurch die Nachweiskette für eine rechtmäßige Verarbeitung gegenüber einer Aufsichtsbehörde abreißt.

Prüfen Sie Sicherheitsmaßnahmen und Meldepflichten bei Datenschutzverletzungen

An dieser Stelle wird die Sicherheit der Verarbeitung konkret: Welche Schutzmaßnahmen garantiert der Auftragsverarbeiter und wie schnell informiert er Sie im Ernstfall?

Technische und organisatorische Maßnahmen

Verlangen Sie angemessene technische und organisatorische Maßnahmen, die dem Risiko angemessen sind: Zugriffskontrollen, Zugangsbeschränkungen, Verschlüsselung, Passwortschutz und die umfassenden Informationssicherheits- und Sicherheitsanforderungen, die Sie von einem professionellen Dienstleister erwarten. Verpflichten Sie den Auftragsverarbeiter, diese Maßnahmen kontinuierlich aufrechtzuerhalten und zu überprüfen, und lesen Sie jeden referenzierten Sicherheitsanhang sorgfältig durch. Eine bloße Zusage von „Branchenstandards“ ohne konkrete Details ist bedeutungslos.

Meldung von Datenschutzverletzungen

Bestehen Sie auf der unverzüglichen Meldung jeder Verletzung des Schutzes personenbezogener Daten, mit einer strikten Frist von maximal 48 Stunden. Verzögerungen bei der Bewältigung von Datenpannen werden schnell zu Ihrem eigenen Compliance-Problem. Legen Sie auch den Inhalt der Meldung fest: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Anzahl der betroffenen Personen, die wahrscheinlichen Folgen und die ergriffenen Abhilfemaßnahmen.

Sie benötigen diese Informationen, um Ihren eigenen gesetzlichen Meldepflichten nachzukommen und betroffene Personen zeitnah informieren zu können, sofern dies gesetzlich vorgeschrieben ist.

Hören Sie auf, AVVs Zeile für Zeile manuell zu lesen. LEGALFLY wendet Ihr Playbook auf jeden Datenverarbeitungsvertrag an und liefert nachverfolgte Änderungen direkt in Microsoft Word – jeweils verknüpft mit der zugrunde liegenden Regel. Buchen Sie eine Demo, um die Lösung mit Ihren eigenen Verträgen zu testen.

Behalten Sie die Kontrolle über Sub-Auftragsverarbeiter

Dass ein Auftragsverarbeiter weitere Dienstleister einbindet, ist üblich. Doch mit jeder zusätzlichen Ebene verlängert sich die Kette der Verantwortlichen für Ihre Daten.

Genehmigung von Sub-Auftragsverarbeitern

Legen Sie genau fest, wie neue Sub-Auftragsverarbeiter genehmigt werden. Die sicherste Position erfordert eine vorherige gesonderte schriftliche Genehmigung für jeden einzelnen Dienstleister. Eine praktikable Alternative ist eine allgemeine schriftliche Genehmigung, verbunden mit einer angemessenen Vorankündigungsfrist und einem echten Widerspruchsrecht.

Lehnen Sie Klauseln ab, die es dem Auftragsverarbeiter erlauben, Unterauftragnehmer nach eigenem Ermessen hinzuzufügen. Setzen Sie bei einer allgemeinen Genehmigung eine Ankündigungsfrist fest, die lang genug ist, um den neuen Dienstleister sorgfältig zu überprüfen.

Haftung für Sub-Auftragsverarbeiter

Der Haupt-Auftragsverarbeiter muss Ihnen gegenüber uneingeschränkt für die Handlungen und Versäumnisse seiner Sub-Auftragsverarbeiter haften. Wird diese Haftung begrenzt oder ausgeschlossen, tragen Sie im Ernstfall den Schaden, der auf tieferen Vertragsebenen entsteht, ohne Rückgriffsmöglichkeit.

Überprüfen Sie die Unterstützungspflichten des Auftragsverarbeiters

Wenn eine betroffene Person ihre Rechte geltend macht oder Sie eine Datenschutz-Folgenabschätzung durchführen müssen, liegen die dafür benötigten Informationen in der Regel beim Auftragsverarbeiter.

Betroffenenrechte

Verlangen Sie eine unverzügliche und angemessene Unterstützung bei der Beantwortung von Anfragen betroffener Personen und schließen Sie zusätzliche Gebühren aus, die eine routinemäßige Anfrage unnötig verkomplizieren würden.

Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden

Verlangen Sie dieselbe Unterstützung bei der Durchführung von Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen mit den Aufsichtsbehörden. Diese Unterstützung ist unerlässlich, damit Sie als Verantwortlicher Ihre gesetzlichen Pflichten erfüllen können.

Ein Auftragsverarbeiter, der Unterstützung nur gegen hohe Gebühren oder mit erheblicher Verzögerung leistet, gefährdet Ihre Fähigkeit, gesetzliche Fristen einzuhalten.

Prüfen Sie internationale Datentransfers genau

Sobald personenbezogene Daten den Europäischen Wirtschaftsraum verlassen, benötigt der Transfer eine rechtsgültige Grundlage. Andernfalls ist die Übermittlung rechtswidrig.

Transfermechanismus

Stellen Sie sicher, dass der AVV die aktuelle Version eines anerkannten Transfermechanismus enthält, wie beispielsweise die aktuellen Standardvertragsklauseln der EU (SCCs). Beschränken Sie jede Datenübermittlung in ein Drittland auf diese anerkannten Mechanismen.

Datenfluss-Mapping

Bilden Sie ab, wohin Ihre Daten fließen. Befinden sich der Auftragsverarbeiter oder dessen Sub-Auftragsverarbeiter außerhalb der Europäischen Union, nützt ein schriftlicher Mechanismus wenig, wenn die tatsächlichen Datenwege unklar bleiben.

Die meisten Teams reduzieren die Zeit für den Review von AVVs bereits wenige Wochen nach der Einführung von LEGALFLY drastisch. Buchen Sie eine Demo, um zu sehen, wie sich die Lösung in Ihren Workflow integriert.

Regeln Sie Vertragsbeendigung, Audit-Rechte und Haftung präzise

Diese letzten Punkte bestimmen, wie Sie die Einhaltung des Vertrags überprüfen und was nach dem Ende der Zusammenarbeit mit Ihren Daten geschieht.

Audit-Rechte

Sichern Sie sich das Recht, die Einhaltung der Pflichten durch den Auftragsverarbeiter durch eigene oder von Ihnen beauftragte Prüfungen zu kontrollieren – über bloße jährliche Zertifikate hinaus.

Stellen Sie sicher, dass der Auftragsverarbeiter diese Audits dulden und alle erforderlichen Informationen zum Nachweis der Einhaltung der Datenschutzpflichten bereitstellen muss.

Rückgabe und Löschung von Daten

Nach Beendigung des Vertrages müssen Sie die Wahl haben, ob alle verarbeiteten personenbezogenen Daten gelöscht oder an Sie zurückgegeben werden. Verbleibende Kopien dürfen nur insoweit aufbewahrt werden, als dies nach anwendbarem Recht zwingend erforderlich ist.

Haftungsbeschränkung und Ausnahmen

Prüfen Sie genau, wen die Haftungsbegrenzung schützt. Setzen Sie sich für eine ausreichend hohe und wechselseitige Haftungsgrenze ein. Verletzungen des Datenschutzes und der Geheimhaltungsvereinbarung sollten von der allgemeinen Haftungsbegrenzung ausgenommen werden, damit Sie im Falle einer Datenpanne vollen Schadensersatz verlangen können.

Eine zu niedrige oder einseitig zugunsten des Auftragsverarbeiters formulierte Haftungsgrenze sollte stets nachverhandelt werden.

Anwendbares Recht und Gerichtsstand

Vereinbaren Sie ein anwendbares Recht und einen Gerichtsstand, die für Ihr Unternehmen vorteilhaft sind. Die pauschale Festlegung des Heimatgerichtsstands des Dienstleisters sollte kritisch hinterfragt werden.

Sichern Sie einen einheitlichen Review von Datenverarbeitungsverträgen in Ihrem gesamten Team

Die folgende Checkliste ist eine praxiserprobte Version der AVV-Prüfung, die LEGALFLY für über 110 Jurisdiktionen anbietet. Nutzen Sie diese, um Ihre bevorzugten Rechtspositionen zu definieren und als Standard für Ihr Team zu etablieren.

LEGALFLY verfügt über mehr als 120 vordefinierte Playbooks, über 500 verifizierte Rechtsquellen sowie Zertifizierungen nach ISO 27001 und SOC 2 Typ II. So können Sie direkt von dieser Checkliste zu einem automatisierten Review übergehen, ohne die gesamte Infrastruktur selbst aufbauen zu müssen.

Laden Sie die Checkliste herunter.

Wenn neue gesetzliche Vorschriften in Kraft treten, funktioniert der Prozess ebenso effizient in die andere Richtung: Der Multi-Review-Agent von LEGALFLY scannt Ihren gesamten Vertragsbestand und markiert Verträge, die nicht mehr den aktuellen Anforderungen entsprechen. Der Legal Radar überwacht regulatorische Änderungen in verschiedenen Jurisdiktionen und informiert Sie umgehend, wenn sich Anforderungen an Ihre AVVs geändert haben.

Ihre Verträge liegen in Ihrem Dokumentenarchiv – LEGALFLY übernimmt den Review.

Buchen Sie eine LEGALFLY-Demo, und wir führen Sie anhand von für Ihr Portfolio relevanten Vertragstypen durch unser Playbook für Datenverarbeitungsverträge.

Häufig gestellte Fragen (FAQ)

Was ist ein Datenverarbeitungsvertrag (AVV)?

Ein Datenverarbeitungsvertrag (oft auch als DPA oder AVV bezeichnet) ist eine rechtlich bindende Vereinbarung zwischen einem Verantwortlichen und einem Auftragsverarbeiter, die regelt, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Artikel 28 der DSGVO schreibt einen solchen Vertrag zwingend vor, wann immer ein Auftragsverarbeiter für einen Verantwortlichen tätig wird. Ähnliche Pflichten gelten nach dem UK Data Protection Act, dem California Consumer Privacy Act und dem California Privacy Rights Act.

Was muss ein AVV enthalten, um DSGVO-konform zu sein?

Ein rechtskonformer DSGVO-AVV muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die verarbeiteten Datenarten und Personengruppen sowie bindende Klauseln zu schriftlichen Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Genehmigung von Sub-Auftragsverarbeitern, Unterstützung bei Betroffenenrechten, Meldung von Datenpannen, internationalen Datentransfers sowie zur Löschung oder Rückgabe der Daten nach Vertragsende enthalten.

Wer trägt die Verantwortung – der Verantwortliche oder der Auftragsverarbeiter?

Beide Vertragsparteien unterzeichnen das Dokument, doch die primäre Verantwortung für den Abschluss eines rechtskonformen Vertrages und die Auswahl eines Dienstleisters, der ausreichende Garantien bietet, liegt beim Verantwortlichen. Der Auftragsverarbeiter ist verpflichtet, Daten ausschließlich gemäß den dokumentierten Weisungen zu verarbeiten und die vereinbarten Sicherheits- und Unterstützungspflichten einzuhalten. In der Praxis sollte der Verantwortliche den Review leiten und Vorlagen des Auftragsverarbeiters anpassen, wo diese unzureichend sind.

Wie lange dauert der Review eines AVVs?

Ein sorgfältiger manueller Review eines AVVs nimmt in der Regel etwa zwei Stunden in Anspruch. Mit einem Playbook-gestützten Review in LEGALFLY reduziert sich diese Zeit auf etwa 15 Minuten. Jede beanstandete Klausel wird direkt mit der entsprechenden Regel verknüpft und für die interne Dokumentation lückenlos protokolliert.