Auftragsverarbeitung verstehen

Kaum ein Unternehmen verarbeitet seine Daten heute allein. Die E-Mails liegen bei einem Hoster, die Buchhaltung läuft in der Cloud, der Newsletter über einen Versanddienst, die Website bei einer Agentur, und die IT wird von einem Systemhaus betreut. Jeder dieser Dienstleister kommt mit personenbezogenen Daten in Berührung. Die DSGVO sieht dafür ein eigenes Instrument vor, das in der Praxis allgegenwärtig ist und trotzdem oft falsch verstanden wird: die Auftragsverarbeitung.

Diese Lektion klärt, wann eine Auftragsverarbeitung vorliegt, was der zugehörige Vertrag enthalten muss und worauf Sie bei der Auswahl eines Dienstleisters achten sollten. Sie ist die Grundlage für den Umgang mit jedem externen Werkzeug – vom Cloud-Speicher bis zum KI-Assistenten. Und sie zeigt, warum ein Vertrag allein noch keinen Datenschutz macht, aber ohne ihn auch keiner möglich ist.

1. Drei Modelle der Zusammenarbeit

Wer Daten an einen anderen weitergibt, muss zuerst klären, in welcher Rolle dieser handelt. Die DSGVO kennt drei Modelle, und die Einordnung entscheidet darüber, welcher Vertrag nötig ist und wer wofür haftet.

Bei der Auftragsverarbeitung verarbeitet ein Dienstleister die Daten ausschließlich im Auftrag und nach Weisung des Unternehmens. Er entscheidet nicht selbst, wofür die Daten genutzt werden. Das Unternehmen bleibt Verantwortlicher, der Dienstleister ist sein verlängerter Arm. Bei der eigenen Verantwortung erhält ein anderer die Daten, um sie für eigene Zwecke zu verarbeiten – etwa ein Steuerberater, der berufsrechtlich weisungsfrei handelt, eine Bank oder ein Paketdienst. Bei der gemeinsamen Verantwortung nach Art. 26 legen zwei Stellen Zwecke und Mittel gemeinsam fest. Der Europäische Gerichtshof hat das etwa für Betreiber von Unternehmensseiten in sozialen Netzwerken und die Plattform angenommen.

2. Üben Sie die Einordnung

3. Was im Vertrag stehen muss

Liegt eine Auftragsverarbeitung vor, schreibt Art. 28 Abs. 3 einen Vertrag mit festgelegten Mindestinhalten vor, meist Auftragsverarbeitungsvertrag oder kurz AVV genannt. Er kann auch elektronisch geschlossen werden, was bei großen Anbietern der Normalfall ist: Der Vertrag wird im Kundenkonto akzeptiert oder ist Teil der Geschäftsbedingungen. Wichtig ist, dass er tatsächlich abgeschlossen und abgelegt wird.

In der Praxis lohnt ein genauer Blick auf zwei Punkte. Der erste sind die Unterauftragsverarbeiter: Fast jeder Dienstleister setzt selbst weitere Dienstleister ein, etwa Rechenzentren oder Supportfirmen. Der Vertrag muss regeln, dass diese nur mit Genehmigung eingesetzt werden und dieselben Pflichten übernehmen. Üblich ist eine Liste, über deren Änderungen der Auftraggeber informiert wird und denen er widersprechen kann. Der zweite sind die technischen und organisatorischen Maßnahmen nach Art. 32 – Verschlüsselung, Zugriffskonzepte, Backups, Schulungen. Sie werden meist in einer Anlage beschrieben, die mehr über die tatsächliche Sicherheit verrät als jede Werbebroschüre.

4. Wenn die Daten die EU verlassen

Viele Dienstleister haben ihren Sitz oder ihre Rechenzentren außerhalb der EU oder setzen Unterauftragsverarbeiter in Drittländern ein. Für solche Übermittlungen verlangt Kapitel V der DSGVO eine zusätzliche Grundlage. Das kann ein Angemessenheitsbeschluss der EU-Kommission sein, wie er für die USA mit dem EU-US Data Privacy Framework für zertifizierte Unternehmen besteht, oder es können Standardvertragsklauseln sein, ergänzt um eine Prüfung, ob das Schutzniveau im Zielland tatsächlich gewährleistet ist. Für Unternehmen heißt das: Beim Einkauf nachfragen, wo die Daten verarbeitet werden und auf welcher Grundlage – und die Antwort dokumentieren.

5. Ordnung im Vertragsbestand

In vielen Unternehmen existieren Auftragsverarbeitungsverträge nur verstreut, irgendwo in Postfächern und Kundenkonten. Eine einfache Übersicht – Dienstleister, Zweck, Datum des Vertrags, Drittlandtransfer ja oder nein, Ablageort – schafft hier in wenigen Stunden Ordnung. Sie lässt sich mit dem Verzeichnis der Verarbeitungstätigkeiten verbinden und macht jede Prüfung, jedes Auskunftsersuchen und jeden Vorfall leichter. Wer diese Übersicht einmal im Jahr durchsieht, erkennt auch Verträge mit Diensten, die längst nicht mehr genutzt werden – und kann dort die Löschung der Daten veranlassen. Nicht selten finden sich dabei Konten bei Diensten, die ein längst ausgeschiedener Mitarbeiter einmal angelegt hat.

Ein Sonderfall verdient Beachtung: Viele Dienste werden von einzelnen Beschäftigten eingeführt, ohne dass jemand an einen Vertrag denkt – das Umfragetool, der Terminplaner, die Übersetzungs-App. Hier hilft eine einfache Regel, die in die Datenschutz- oder KI-Richtlinie gehört: Dienste, in die personenbezogene Daten eingegeben werden, werden vor der Nutzung gemeldet und geprüft. Wie das bei KI-Werkzeugen konkret aussieht, zeigt die Lektion KI-Tools einkaufen im Kurs zum EU AI Act.

6. Kontrolle nach der Unterschrift

Art. 28 verlangt nicht nur einen Vertrag, sondern auch, dass der Auftraggeber seinen Dienstleister im Blick behält. In der Praxis bedeutet das selten eine Vor-Ort-Prüfung. Bei großen Anbietern genügen in der Regel aktuelle Zertifikate oder Prüfberichte, die sie auf Anfrage oder in ihrem Vertrauensportal bereitstellen. Bei kleinen Dienstleistern, etwa dem lokalen IT-Betreuer, reicht oft ein jährliches Gespräch, in dem die vereinbarten Maßnahmen durchgegangen werden: Sind die Zugänge noch aktuell? Wer hat Zugriff? Funktionieren die Backups?

Wichtig ist, dass diese Kontrolle dokumentiert wird. Eine kurze Notiz mit Datum, Gesprächspartner und Ergebnis reicht aus. Sie zeigt im Ernstfall, dass das Unternehmen seiner Verantwortung nachgekommen ist. Und sie deckt Veränderungen auf, die sonst unbemerkt bleiben würden – etwa einen neuen Unterauftragsverarbeiter in einem Drittland oder einen Mitarbeiterwechsel beim Dienstleister, nach dem alte Zugänge noch aktiv sind. Gerade diese kleinen Lücken sind es, die bei Vorfällen später eine Rolle spielen.

Und schließlich gilt: Wenn ein Dienstleister selbst einen Vorfall hat, muss er Sie nach Art. 33 Abs. 2 unverzüglich informieren. Ob das klappt, zeigt sich erst im Ernstfall. Fragen Sie deshalb beim nächsten Gespräch nach, wie der Dienstleister Sie im Fall der Fälle erreichen würde und ob Ihre Kontaktdaten dort aktuell hinterlegt sind. Diese eine Frage hat schon manchem Unternehmen wertvolle Stunden in der 72-Stunden-Frist gerettet.

Stand: September 2026. Kursmaterial der Klarwerk Akademie, keine Rechtsberatung. Abbildungen sind vereinfachte, schematische Darstellungen.