Aufgabe und Entscheidung klären
Dieser Leitfaden macht AVV- und DPA-Checkliste zu einem prüfbaren Arbeitsablauf. Er verbindet fachliche Entscheidungen, Zuständigkeiten, Nachweise und Abnahme, damit das Ergebnis dauerhaft im Betrieb funktioniert.
Eine belastbare AVV-Prüfung verbindet Vertragsklauseln mit dem tatsächlichen System, Unterauftragnehmern, Löschung und Unterstützungspflichten.
Praktischer Ablauf
- 1
Zeichnen Sie den Datenfluss von Erfassung über Verarbeitung, Protokolle, Cache, Support und Sicherungen bis zur Löschung.
- 2
Ordnen Sie jede Datenkategorie Zweck, rechtlicher Rolle, Ort, Empfänger und Aufbewahrung zu.
- 3
Fordern Sie für jede wesentliche Aussage Architektur-, Vertrags-, Betriebs- und Testnachweise an.
- 4
Bewerten Sie das Risiko und dokumentieren Sie Maßnahmen, Verantwortliche, Abnahmenachweise und Restrisiko.
- 5
Geben Sie nur die dokumentierte Konfiguration frei und überwachen Sie Unterauftragnehmer, Vorfälle, Änderungen und Löschbelege.
Beispiel oder Werkzeug
Ein Arbeitsblatt ordnet jedem Prüfpunkt Nachweis und Verantwortlichkeit zu. Dokumentieren Sie im Werkzeug außerdem Ausgangslage, Verantwortlichkeit, Entscheidung, Nachweis, offenen Punkt und Freigabedatum. Verwenden Sie eine reale Seite oder einen realen Vorgang, damit das Team Abhängigkeiten, Ausnahmefälle und die spätere Pflege erkennt.
| Prüfpunkt | Eintrag | Abnahmekriterium |
|---|---|---|
| Ausgangslage | Beobachteter Ist-Zustand | Quelle und Datum vorhanden |
| Entscheidung | Gewählte Option mit Begründung | Risiko und Zielgruppe berücksichtigt |
| Nachweis | Test, Dokument oder Messwert | Prüfbar und versionsbezogen |
| Freigabe | Name, Rolle und Datum | Alle Pflichtkriterien erfüllt |
Legen Sie Rollen, Weisungen und Umfang fest
Beschreiben Sie den Dienst zunächst betrieblich: Wer übermittelt Inhalte, welche Systeme senden sie, was gibt der Anbieter zurück und welche Teams greifen auf Ergebnisse zu? Ordnen Sie danach jeder Verarbeitung die Rollen zu. Ein Anbieter kann für Kundentexte Auftragsverarbeiter und für Abrechnung oder gesetzlich erforderliche Nachweise eigener Verantwortlicher sein.
Der AVV muss dokumentierte Weisungen weit genug für den Normalbetrieb und zugleich eng genug gegen eine Zweckänderung fassen. Regeln Sie Konfiguration, Support, Fehleranalyse, Monitoring, Löschung, Export und Ausnahmezugriffe. Stellen Sie klar, ob Inhalte, Eingaben oder Ergebnisse für Training, menschliche Prüfung, Vergleichstests oder Produktverbesserung verwendet werden dürfen.
Fügen Sie eine aktuelle Leistungsbeschreibung und Datenmatrix bei. Die Matrix nennt betroffene Personen, Datenarten, besondere Kategorien, Umfang, Häufigkeit, Quellsysteme, Empfänger und freigegebene Zwecke. So stimmt der Vertrag mit der tatsächlich beschafften Konfiguration überein.
Benennen Sie Verantwortliche, Auftragsverarbeiter und Tätigkeiten in eigener Verantwortung.
Listen Sie zulässige Zwecke und schließen Sie unvereinbare Zweitnutzung aus.
Beschreiben Sie Personengruppen, Datenarten, Systeme und erwartete Mengen.
Machen Sie Konfiguration und Leistungsbeschreibung zum Vertragsbestandteil.
Prüfen Sie Sicherheitszusagen und Unterauftragnehmer
Technische und organisatorische Maßnahmen müssen prüfbar sein. Achten Sie auf Identitätskontrollen, Rechteprüfung, Verschlüsselung, Mandantentrennung, sichere Entwicklung, Schwachstellenbehebung, Sicherungsschutz, Wiederherstellungstests, Protokollierung, physische Sicherheit, Vertraulichkeit des Personals und Vorfallübungen. Klären Sie, welche Maßnahmen Standard, optional oder tarifabhängig sind.
Die Liste der Unterauftragnehmer nennt Rechtsträger, Dienst, Ort, Zweck und Übermittlungsgrundlage. Verlangen Sie eine vorherige Änderungsmitteilung und ein praktikables Widerspruchsverfahren. Ein bloßes Kündigungsrecht hilft wenig, wenn Datenexport und Dienstwechsel innerhalb der Frist nicht realistisch sind.
Verfolgen Sie eine Anfrage durch die gesamte Kette und gleichen Sie jeden Empfänger mit der Liste ab. Berücksichtigen Sie Cloud-Hosting, Modellinferenz, Inhaltsprüfung, Support, Monitoring, E-Mail und Sicherungen. Unklare Empfänger oder pauschale Kategorien müssen vor der Unterschrift geklärt werden.
- 1
Ordnen Sie Vertragsmaßnahmen dem eigenen Sicherheitsstandard zu.
- 2
Verlangen Sie datierte Nachweise für risikoreiche Kontrollen.
- 3
Gleichen Sie Architekturdiagramm und Unterauftragnehmerliste vollständig ab.
- 4
Wählen Sie eine Mitteilungsfrist, die Prüfung und Wechsel ermöglicht.
Gestalten Sie Betroffenenrechte, Löschung und Unterstützung
Unterstützungspflichten brauchen messbare Abläufe. Legen Sie fest, wie der Anbieter beim Auffinden, Exportieren, Berichtigen, Einschränken oder Löschen hilft und wie schnell er reagiert. Klären Sie, ob die Suche Eingaben, Ergebnisse, Protokolle, Sicherungen, Supporttickets und abgeleitete Kennungen umfasst.
Definieren Sie Löschereignisse für einzelne Datensätze, geschlossene Arbeitsbereiche, Vertragsende, abgelaufene Sicherungen und Supportunterlagen. Halten Sie Fristen, Nachweise und rechtmäßige Ausnahmen fest. Sind Sicherungen nicht einzeln änderbar, benötigen Sie Sperrung, feste Ablaufzeit und eine erneute Löschung nach Wiederherstellung.
Der Anbieter unterstützt Datenschutz-Folgenabschätzungen, Sicherheitsanfragen, Behördenersuchen und vorherige Konsultationen mit geeigneten Informationen. Vereinbaren Sie, was im Preis enthalten ist, welche Zusatzkosten möglich sind und welche Kontakte dringende Anfragen bearbeiten.
Setzen Sie Reaktionsziele für Betroffenen- und Compliance-Anfragen.
Erfassen Sie Live-Systeme, Protokolle, Supportsysteme, Archive und Sicherungen.
Definieren Sie Löschbeleg und Vorgehen nach einer Wiederherstellung.
Benennen Sie operative Kontakte und Eskalationskontakte.
Schließen Sie Lücken vor der Unterschrift
Führen Sie eine Klausel- und Nachweisliste mit Anforderung, Vertragsstelle, Beleg, Verantwortung, Lücke, Maßnahme und Entscheidung. So wird die juristische Prüfung zu einem steuerbaren Ablauf. Zwingende Lücken sperren die Produktivnutzung oder führen zu einer ausdrücklich begrenzten Datennutzung.
Bewahrt der Anbieter Sicherheitsprotokolle beispielsweise neunzig statt erwarteter dreißig Tage auf, prüfen Sie enthaltene Kundendaten, mögliche Pseudonymisierung und betriebliche Erforderlichkeit. Dokumentieren Sie das Ergebnis im Verzeichnis der Verarbeitungstätigkeiten und in den Informationen zur Speicherdauer.
Prüfen Sie den AVV nach der Einführung erneut, wenn Modell, Standort, Unterauftragnehmer, Zweck oder wesentliche Funktion hinzukommen. Gleichen Sie Änderungen mit Konfiguration und Verarbeitungsverzeichnis ab. Eine benannte Stelle koordiniert dabei Datenschutz, Informationssicherheit, Beschaffung und Produktverantwortung.
- 1
Lösen Sie jede zwingende Lücke vor der Freigabe von Produktivdaten.
- 2
Dokumentieren Sie Restrisiken mit Umfang, Kontrollen, Verantwortung und Prüfdatum.
- 3
Speichern Sie Vertrag, Anlagen, Nachweise und Konfiguration gemeinsam.
- 4
Starten Sie bei wesentlichen Änderungen eine erneute Bewertung.
Rollen, Nachweise und Freigabe
Sicherheits- und Datenschutzprüfungen müssen die Produktivkonfiguration statt eines allgemeinen Anbieters beschreiben. Dokumentieren Sie Dienst, Region, aktivierte Funktionen, optionale Telemetrie, Supportzugriff, Unterauftragnehmer, Verschlüsselungsgrenzen, Aufbewahrung und Kundenpflichten. Prüfen Sie nach wesentlichen Änderungen an Architektur, Vertrag, Anbieter oder Zweck erneut.
Betrieb und Pflege
Nach der Veröffentlichung endet die Arbeit nicht. Verknüpfen Sie die Sprachversion oder Konfiguration mit ihrer Quelle, überwachen Sie Qualitäts- und Betriebskennzahlen und definieren Sie konkrete Prüfauslöser. Dazu gehören Quelländerungen, Rechtsänderungen, neue Zielgruppenanforderungen, wiederkehrende Supportfragen, technische Änderungen und Vorfälle. Ein klarer Eigentümer bewertet den Auslöser, öffnet bei Bedarf eine neue Revision und dokumentiert die erneute Freigabe.
Checkliste für die Freigabe
Der vollständige Verarbeitungsweg ist dokumentiert.
Rollen von Verantwortlichem und Auftragsverarbeiter sind vereinbart.
Orte und Unterauftragnehmer sind belegt.
Training und weitere Nutzung sind ausdrücklich geregelt.
Zugriff, Verschlüsselung, Protokollierung und Vorfallkontrollen sind geprüft.
Aufbewahrung und Löschung sind je Datenkategorie definiert.
Drittlandübermittlungen und Garantien sind dokumentiert.
Änderungen, Audits, Ausstieg und Nachweisverantwortung sind zugeordnet.