Der Vertrag muss die wirkliche Verarbeitung beschreiben
Ein Auftragsverarbeitungsvertrag, oft AVV oder auf Englisch DPA genannt, ergänzt den Vertrag über eine Dienstleistung. Er wird relevant, wenn ein Anbieter personenbezogene Daten im Auftrag seines Kunden verarbeitet. Das kann bei Hosting, Support, Newsletter-Versand oder einer Cloud-Anwendung der Fall sein. Entscheidend ist die tatsächliche Nutzung der Daten und nicht die Überschrift des Dokuments.
Die Vereinbarung soll Verantwortlichkeiten verständlich machen. Sie erklärt unter anderem, welche Verarbeitung beauftragt ist, welche Weisungen gelten und wie der Anbieter beim Schutz der Daten unterstützt. Ein umfangreicher Standardtext erfüllt seinen Zweck nicht, wenn er ein ganz anderes Produkt beschreibt. Käufer sollten deshalb die Regelungen mit Angebot, technischer Dokumentation und geplanter Nutzung zusammen lesen.
Ob eine Auftragsverarbeitung vorliegt und welche Regelung erforderlich ist, hängt vom konkreten Verhältnis und vom anwendbaren Recht ab. Eine allgemeine Checkliste kann diese rechtliche Einordnung nicht ersetzen. Bei unklaren Rollen, sensiblen Daten oder ungewöhnlichen Verarbeitungen sollte deshalb fachkundiger Rat eingeholt werden. Gut beschriebene Datenwege, Zuständigkeiten und Vertragsangaben schaffen dafür eine verlässliche Tatsachengrundlage.
Verantwortlicher und Auftragsverarbeiter haben verschiedene Rollen
Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten für ihn und nach seinen dokumentierten Weisungen. Diese Begriffe bezeichnen datenschutzrechtliche Rollen und keine allgemeine Rangordnung zwischen Unternehmen. Ein großer Plattformanbieter kann Auftragsverarbeiter sein, während ein kleiner Kunde für die betreffende Verarbeitung als Verantwortlicher handelt.
Die Rollen können sich je nach Funktion unterscheiden. Ein Anbieter verarbeitet Kundendaten möglicherweise im Auftrag, nutzt bestimmte Vertrags- oder Abrechnungsdaten aber für eigene Zwecke. Dann sollte er erklären, für welche Vorgänge er welche Rolle einnimmt. Eine pauschale Aussage, sämtliche Daten würden nur im Auftrag verarbeitet, ist wenig hilfreich, wenn Produktbeschreibung oder Datenschutzhinweise daneben eigene Nutzungen nennen.
Ein Vertrag kann die tatsächlichen Rollen nicht durch eine Bezeichnung verändern. Deshalb sollte vor der Unterschrift verstanden sein, wer über die Nutzung der Daten entscheidet. Bestimmt der Anbieter einen neuen Zweck unabhängig vom Kunden, kann dies außerhalb der vereinbarten Auftragsverarbeitung liegen. Solche Grenzen brauchen eine nachvollziehbare Erklärung, damit Zuständigkeiten, Informationen an Betroffene und weitere Rechtsgrundlagen richtig beurteilt werden können.
Gegenstand, Dauer und Datenarten brauchen konkrete Angaben
Die Vereinbarung sollte erkennen lassen, welche Leistung mit welchen personenbezogenen Daten erbracht wird. Allgemeine Formulierungen wie Erbringung der vereinbarten Services reichen oft nicht, um den Datenfluss zu verstehen. Bei einem Supportsystem könnten Kontaktdaten, Nachrichteninhalte und technische Nutzungsdaten betroffen sein. Auch die Kategorien betroffener Personen, etwa Kunden, Beschäftigte oder Bewerber, sollten zur tatsächlichen Nutzung passen.
Ebenso wichtig sind Art und Zweck der Verarbeitung. Speichern, Übermitteln, Auswerten und Löschen beschreiben unterschiedliche Vorgänge. Der Zweck erklärt, warum sie stattfinden, beispielsweise zur Bearbeitung von Supportanfragen oder zum Betrieb einer Kundenplattform. Je genauer diese Verbindung beschrieben ist, desto leichter lässt sich später erkennen, ob eine neue Produktfunktion noch vom Auftrag gedeckt ist oder eine neue Entscheidung verlangt.
Die Dauer muss zur Dienstleistung und zur Löschung passen. Manchmal läuft die Verarbeitung während der Vertragszeit, während Sicherungskopien noch für eine begrenzte Frist bestehen bleiben. Das sollte nicht hinter einer unbestimmten Aufbewahrung verschwinden. Käufer brauchen ein realistisches Bild davon, wann aktive Daten entfernt werden, wie lange technische Kopien fortbestehen und welche gesetzlichen Pflichten eine sofortige Löschung möglicherweise verhindern.
Weisungen müssen im Alltag tatsächlich funktionieren
Auftragsverarbeiter sollen personenbezogene Daten auf dokumentierte Weisung verarbeiten, soweit keine rechtliche Pflicht etwas anderes verlangt. In einer Standardsoftware steckt ein großer Teil dieser Weisung bereits in Hauptvertrag, Produktwahl und Einstellungen. Der AVV sollte dazu passen. Eine allgemeine Klausel über beliebige Einzelweisungen hilft wenig, wenn niemand weiß, über welchen Kontakt und in welchem technischen Rahmen sie umgesetzt werden können.
Klären Sie, welche Änderungen als neue Weisung gelten. Die Aktivierung einer Analysefunktion, ein neuer Speicherort oder eine längere Aufbewahrung kann die Verarbeitung verändern. Manche Einstellungen kontrolliert der Kunde selbst, andere nur der Anbieter. Käufer sollten verstehen, welche Optionen verfügbar sind und welche Folgen sie haben. Ein Vertrag kann fehlende oder irreführende Produktkontrollen nicht durch abstrakte Rechte ausgleichen.
Der Anbieter muss nach der Datenschutz-Grundverordnung darauf hinweisen, wenn er eine Weisung für rechtswidrig hält. Die Vereinbarung sollte einen brauchbaren Weg für diesen Fall erkennen lassen. Wer wird informiert, was geschieht bis zur Klärung und welche Verarbeitung kann ausgesetzt werden? Verständliche Ansprechpartner und Eskalationswege sind wertvoller als eine Formulierung, die das gesetzliche Prinzip lediglich wiederholt.
Vertraulichkeit und Sicherheit müssen zum Risiko passen
Personen, die für den Anbieter Daten verarbeiten, müssen zur Vertraulichkeit verpflichtet sein oder einer entsprechenden gesetzlichen Pflicht unterliegen. Für Käufer ist außerdem wichtig, wie Zugriffe im Alltag begrenzt werden. Benötigt der Support standardmäßig Einblick in Inhalte oder wird ein Zugriff nur für einen konkreten Fall freigeschaltet? Rollen, Berechtigungen und Protokollierung sollten mit der versprochenen Dienstleistung übereinstimmen.
Die technischen und organisatorischen Maßnahmen beschreiben den Schutz der Verarbeitung. Dazu können Zugangsschutz, Verschlüsselung, Sicherungskopien, Wiederherstellung und regelmäßige Überprüfung gehören. Eine bloße Liste bekannter Sicherheitsbegriffe sagt noch wenig über ihre Anwendung. Käufer sollten erkennen können, welche Daten wann geschützt sind, wer Schlüssel oder Zugänge kontrolliert und welche Maßnahmen für das gewählte Produkt tatsächlich gelten.
Sicherheit ist keine unveränderliche Anlage. Systeme und Risiken entwickeln sich weiter, während Anbieter ihre Infrastruktur anpassen. Die Vereinbarung sollte sinnvolle Verbesserungen ermöglichen, ohne das vereinbarte Schutzniveau unbemerkt zu senken. Bei wesentlichen Änderungen brauchen Kunden ausreichende Informationen. Was als wesentlich gilt, hängt vom Dienst ab, kann aber etwa neue Speicherorte, andere Zugriffsmöglichkeiten oder den Wegfall einer zentralen Schutzmaßnahme betreffen.
Weitere Dienstleister dürfen nicht unsichtbar bleiben
Viele Anbieter erbringen ihren Dienst nicht allein. Sie nutzen Rechenzentren, E-Mail-Dienste oder Supportunternehmen, die als weitere Auftragsverarbeiter tätig sein können. Der AVV sollte erklären, ob eine besondere oder allgemeine Genehmigung gilt. Bei einer allgemeinen Genehmigung müssen Kunden über beabsichtigte Änderungen informiert werden und eine echte Möglichkeit erhalten, Einwände zu erheben.
Eine Liste weiterer Auftragsverarbeiter ist nur nützlich, wenn sie verständlich bleibt. Name, Aufgabe und Verarbeitungsort helfen einzuschätzen, welchen Teil des Dienstes das Unternehmen übernimmt. Eine bloße Sammlung von Firmennamen ohne Funktion verschleiert den Datenfluss. Ebenso sollte klar sein, wo aktuelle Informationen zu finden sind und wie Kunden über neue oder ausgetauschte Anbieter benachrichtigt werden.
Der Hauptanbieter bleibt dafür verantwortlich, seinen weiteren Auftragsverarbeitern im Wesentlichen dieselben Datenschutzpflichten aufzuerlegen. Käufer müssen nicht jeden Untervertrag selbst aushandeln, brauchen aber ausreichende Sicherheit über die Kette. Ein Einwand gegen einen neuen Anbieter sollte nicht nur theoretisch bestehen. Die vertraglichen Folgen, mögliche Alternativen und gegebenenfalls ein Kündigungsrecht müssen im Zusammenhang mit dem Hauptvertrag verständlich sein.
Unterstützung muss für Betroffenenrechte und Vorfälle erreichbar sein
Menschen können Rechte in Bezug auf ihre personenbezogenen Daten ausüben. Der Verantwortliche bleibt für die Bearbeitung zuständig, benötigt aber häufig Unterstützung des Dienstleisters. Der Vertrag sollte beschreiben, wie Daten gefunden, berichtigt, exportiert oder gelöscht werden können. Bei einer Selbstbedienungsfunktion ist wichtig, ob sie sämtliche relevanten Daten umfasst oder zusätzliche Anfragen an den Anbieter nötig sind.
Bei einer Verletzung des Schutzes personenbezogener Daten muss der Auftragsverarbeiter den Verantwortlichen ohne unangemessene Verzögerung informieren, nachdem sie ihm bekannt wurde. Für den Käufer zählt, welche Informationen er erhält und über welchen Weg. Ein schwer auffindbares Supportformular kann wertvolle Zeit kosten. Benannte Notfallkontakte und fortlaufende Ergänzungen helfen, Auswirkung, betroffene Daten und ergriffene Maßnahmen zu beurteilen.
Unterstützung kann auch bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden erforderlich sein. Umfang und praktische Grenzen hängen vom Dienst und den verfügbaren Informationen ab. Pauschale Hilfeversprechen sollten deshalb mit Supportbedingungen und möglichen Kosten zusammenpassen. Käufer müssen erkennen können, welche Nachweise standardmäßig bereitstehen und wann eine besondere Untersuchung oder fachliche Zuarbeit gesondert vereinbart wird.
Löschung, Rückgabe und Prüfung brauchen einen realistischen Weg
Nach Ende der Leistung sollen personenbezogene Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben werden, sofern keine gesetzliche Pflicht zur Speicherung besteht. Diese Wahl muss technisch möglich sein. Käufer sollten wissen, in welchem Format sie Daten erhalten, wie lange ein Export verfügbar bleibt und wann aktive Systeme geleert werden. Ein unlesbares Exportformat macht ein formales Rückgaberecht praktisch wertlos.
Sicherungskopien lassen sich häufig nicht sofort einzeln bereinigen. Dann braucht es eine begrenzte Aufbewahrung, Schutz vor normaler Nutzung und eine nachvollziehbare Löschroutine. Formulierungen über spätere Entfernung im üblichen Zyklus sollten einen verständlichen Zeitraum nennen. Ebenso sollte klar sein, ob Protokolle, Supportanhänge und Testkopien denselben Regeln folgen oder aufgrund anderer Pflichten länger gespeichert werden.
Der Anbieter muss Informationen zum Nachweis seiner Pflichten bereitstellen und Prüfungen ermöglichen. In verbreiteten Cloud-Diensten werden dafür oft unabhängige Berichte, Zertifikate und standardisierte Auskünfte genutzt. Sie können aussagekräftig sein, wenn Umfang, Zeitraum und betroffene Leistung passen. Ein weitergehendes Prüfungsrecht bleibt wichtig, sollte aber Sicherheit anderer Kunden, Vertraulichkeit und einen verhältnismäßigen Ablauf berücksichtigen.
Ein AVV löst internationale Datenübermittlungen nicht allein
Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet oder von dort zugänglich gemacht, entstehen zusätzliche Fragen. Ein AVV nach Artikel 28 ist dafür nicht automatisch die vollständige Grundlage. Käufer sollten Verarbeitungsorte, mögliche Fernzugriffe und beteiligte Unternehmen kennen. Die Angabe EU-Hosting reicht nicht, wenn Support oder Administration regelmäßig aus einem Drittland erfolgen können.
Je nach Land und Konstellation können ein Angemessenheitsbeschluss, Standardvertragsklauseln oder andere Instrumente relevant sein. Welche Grundlage trägt und welche zusätzlichen Maßnahmen nötig sind, muss für den konkreten Transfer beurteilt werden. Der Vertrag sollte nicht verschiedene Dokumente mit ähnlichen Abkürzungen vermischen. Ein DPA regelt Auftragsverarbeitung, während Standardvertragsklauseln je nach Einsatz andere Übermittlungsfragen adressieren.
Auch Änderungen gehören in den Blick. Ein neuer Unterauftragnehmer oder Supportstandort kann eine bisherige Bewertung verändern. Kunden brauchen daher Informationen, bevor die neue Verarbeitung beginnt, und genug Zeit für eine angemessene Prüfung. Bei komplexen Transferketten ist rechtliche Beratung besonders sinnvoll. Verständliche Vertragsangaben schaffen die Tatsachengrundlage, ersetzen aber nicht die erforderliche rechtliche Bewertung.
Eine gute Vereinbarung lässt sich mit dem Produkt erklären
Vor der Unterschrift sollte eine sachkundige Person den Datenweg in einfachen Worten beschreiben können. Welche Daten gelangen zum Anbieter, wofür werden sie genutzt, wer kann darauf zugreifen und wann werden sie gelöscht? Die Antworten müssen in Produkt, Hauptvertrag, AVV und Sicherheitsunterlagen zusammenpassen. Widersprüche sind ein Grund für Rückfragen, nicht für die Annahme, der speziellere Anhang werde alles automatisch lösen.
Beteiligen Sie Datenschutz, Informationssicherheit, Einkauf und den verantwortlichen Fachbereich entsprechend dem Risiko. Jede Perspektive erkennt andere Lücken: rechtliche Rollen, Schutzmaßnahmen, vertragliche Folgen oder eine unpassende Produktfunktion. Bei einem kleinen, risikoarmen Dienst kann die Prüfung überschaubar bleiben. Umfangreiche oder sensible Verarbeitung verdient mehr Tiefe. Entscheidend ist eine angemessene Prüfung, nicht dieselbe Dokumentenmenge für jeden Anbieter.
Ein verständlicher AVV schafft keine Sicherheit allein, macht aber überprüfbare Erwartungen sichtbar. Er verbindet die beauftragte Verarbeitung mit Weisungen, Schutz, Unterstützung, Unterauftragnehmern und dem Ende der Nutzung. Wenn diese Aussagen den wirklichen Dienst abbilden, können Käufer Zuständigkeiten besser beurteilen und Veränderungen früher erkennen. Offene Rechtsfragen gehören anschließend in qualifizierte Beratung, nicht in Vermutungen über Standardklauseln.