Wie prüfe ich, ob meine Auftragsverarbeiter (AVV-Partner) DSGVO-konform arbeiten?

Um zu prüfen, ob Ihre Auftragsverarbeiter DSGVO-konform arbeiten, müssen Sie als Verantwortlicher aktiv werden: Schließen Sie einen schriftlichen Auftragsverarbeitungsvertrag (AVV) ab, holen Sie Nachweise zu technisch-organisatorischen Maßnahmen ein und führen Sie regelmäßige Kontrollen durch. Die Verantwortung für die Auswahl und Überwachung geeigneter Auftragsverarbeiter liegt dabei vollständig bei Ihnen als Verantwortlichem im Sinne des Artikels 28 DSGVO. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um die Prüfung und Kontrolle Ihrer AVV-Partner.

Welche Pflichten haben Verantwortliche gegenüber Auftragsverarbeitern laut DSGVO?

Als Verantwortlicher sind Sie nach Artikel 28 DSGVO verpflichtet, nur solche Auftragsverarbeiter einzusetzen, die hinreichende Garantien dafür bieten, dass die Verarbeitung DSGVO-konform erfolgt. Das bedeutet: Sie müssen Ihren Auftragsverarbeiter sorgfältig auswählen, einen schriftlichen AVV abschließen und die Einhaltung der vereinbarten Bedingungen regelmäßig kontrollieren.

Diese Pflichten sind keine Formalie. Wenn ein Auftragsverarbeiter gegen die DSGVO verstößt und Sie Ihre Sorgfaltspflichten vernachlässigt haben, können Aufsichtsbehörden auch Sie als Verantwortlichen zur Rechenschaft ziehen. Die Verantwortung für die Datenverarbeitung verbleibt stets beim Verantwortlichen, auch wenn ein Dritter die Verarbeitung technisch durchführt.

Konkret umfassen Ihre Pflichten gegenüber Auftragsverarbeitern:

• Sorgfältige Auswahl: Prüfen Sie vor Vertragsschluss, ob der Anbieter geeignete technische und organisatorische Schutzmaßnahmen nachweisen kann.
• Schriftlicher AVV: Ohne einen gültigen Auftragsverarbeitungsvertrag ist die Zusammenarbeit datenschutzrechtlich unzulässig.
• Laufende Kontrolle: Die Zusammenarbeit muss regelmäßig überprüft werden, nicht nur einmalig bei Vertragsschluss.
• Dokumentation: Alle Maßnahmen zur Prüfung und Kontrolle sind zu dokumentieren, um im Zweifelsfall Rechenschaft ablegen zu können.

Was muss ein DSGVO-konformer AVV mindestens enthalten?

Ein Auftragsverarbeitungsvertrag muss nach Artikel 28 Absatz 3 DSGVO mindestens den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Pflichten und Rechte des Verantwortlichen festlegen. Fehlen wesentliche Elemente, ist der AVV rechtlich unvollständig.

Im Einzelnen sollte ein vollständiger Auftragsverarbeitungsvertrag folgende Regelungen enthalten:

• Weisungsgebundenheit: Der Auftragsverarbeiter darf Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten.
• Vertraulichkeit: Alle mit der Verarbeitung befassten Personen müssen zur Vertraulichkeit verpflichtet sein.
• Technisch-organisatorische Maßnahmen (TOMs): Der Auftragsverarbeiter muss geeignete Sicherheitsmaßnahmen gemäß Artikel 32 DSGVO umsetzen.
• Unterauftragsverarbeiter: Der Einsatz weiterer Dienstleister bedarf der vorherigen Genehmigung des Verantwortlichen.
• Unterstützungspflichten: Der Auftragsverarbeiter muss bei der Erfüllung von Betroffenenrechten und Datenschutz-Folgenabschätzungen mitwirken.
• Löschung oder Rückgabe: Nach Beendigung des Auftrags sind Daten zu löschen oder zurückzugeben.
• Kontrollrechte: Der Verantwortliche muss das Recht haben, Audits und Inspektionen durchzuführen.

Viele Anbieter stellen AVV-Vorlagen oder vorgefertigte Verträge bereit. Prüfen Sie diese sorgfältig darauf, ob alle Pflichtinhalte vollständig und nicht nur oberflächlich abgedeckt sind. Ein AVV, der lediglich auf allgemeine Datenschutzgrundsätze verweist, ohne konkrete Regelungen zu treffen, erfüllt die Anforderungen typischerweise nicht.

Wie prüft man, ob ein Auftragsverarbeiter die technisch-organisatorischen Maßnahmen (TOMs) einhält?

Um die Einhaltung der TOMs zu prüfen, können Sie Nachweise anfordern, Fragebögen einsetzen oder Audits durchführen. In der Praxis ist die Anforderung von Zertifizierungen, Auditberichten oder ausgefüllten Sicherheitsfragebögen der gängigste Ansatz, da eigene Vor-Ort-Prüfungen bei jedem Dienstleister aufwändig sind.

Zertifizierungen und externe Auditberichte

Anerkannte Zertifizierungen wie ISO 27001 oder SOC 2 geben Ihnen einen verlässlichen Anhaltspunkt dafür, dass ein Auftragsverarbeiter strukturierte Sicherheitsprozesse betreibt. Fordern Sie aktuelle Zertifikate an und prüfen Sie deren Gültigkeitsdauer. Externe Auditberichte, etwa nach ISAE 3402, können ebenfalls als Nachweis dienen.

Eigene Prüfungen und Fragebögen

Ergänzend können Sie standardisierte Sicherheitsfragebögen einsetzen, in denen der Auftragsverarbeiter seine Maßnahmen zur Datenverschlüsselung, Zugriffskontrolle, Datensicherung und Incident-Response beschreibt. Für kritische Dienstleister empfiehlt sich eine Vor-Ort-Inspektion oder ein technisches Audit, das im AVV ausdrücklich als Recht des Verantwortlichen verankert sein sollte.

Wichtig: TOMs sind keine statische Momentaufnahme. Technische Sicherheitsmaßnahmen müssen dem aktuellen Stand der Technik entsprechen und können sich im Laufe der Zeit ändern. Eine einmalige Prüfung bei Vertragsschluss reicht daher nicht aus.

Welche Unterlagen sollte ein DSGVO-konformer Auftragsverarbeiter vorlegen können?

Ein seriöser Auftragsverarbeiter sollte auf Anfrage Nachweise über seine Datenschutzmaßnahmen vorlegen können. Dazu gehören insbesondere: eine aktuelle Beschreibung der TOMs, ein Verzeichnis der Verarbeitungstätigkeiten, Nachweise über Mitarbeiterschulungen sowie Informationen zu eingesetzten Unterauftragsverarbeitern.

Im Einzelnen sollten Sie folgende Unterlagen anfordern und prüfen:

1. TOM-Dokumentation: Eine detaillierte, aktuelle Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.
2. Zertifizierungen: Gültige Zertifikate, z. B. ISO 27001, BSI-Grundschutz oder branchenspezifische Nachweise.
3. Liste der Unterauftragsverarbeiter: Vollständige Übersicht aller eingesetzten Sub-Dienstleister mit deren Sitz und Verarbeitungszweck.
4. Datenpannen-Prozesse: Beschreibung des Verfahrens zur Meldung von Sicherheitsvorfällen, inklusive Fristen.
5. Datenschutzbeauftragter: Kontaktdaten des betrieblichen oder externen Datenschutzbeauftragten des Anbieters.
6. Drittlandtransfers: Nachweise zu geeigneten Garantien, falls Daten außerhalb der EU verarbeitet werden, z. B. Standardvertragsklauseln oder eine Zertifizierung im EU-US Data Privacy Framework.

Reagiert ein Auftragsverarbeiter zögerlich auf solche Anfragen oder verweigert die Vorlage von Unterlagen, ist das ein deutliches Warnsignal. Ein DSGVO-konformer Dienstleister sollte Transparenz gegenüber Verantwortlichen als selbstverständlich betrachten.

Wie oft müssen Auftragsverarbeiter kontrolliert werden?

Die DSGVO schreibt keine festen Kontrollintervalle vor, verlangt aber eine regelmäßige Überprüfung. In der Praxis empfiehlt sich eine anlassbezogene Kontrolle bei Vertragsschluss sowie eine jährliche Wiederholungsprüfung, ergänzt durch anlassbezogene Checks bei wesentlichen Änderungen auf Seiten des Dienstleisters.

Konkrete Anlässe, die eine außerplanmäßige Kontrolle erfordern, sind unter anderem:

• Sicherheitsvorfälle oder Datenpannen beim Auftragsverarbeiter
• Wechsel oder Hinzunahme von Unterauftragsverarbeitern
• Änderungen in der Verarbeitungsstruktur oder den eingesetzten Systemen
• Ablauf von Zertifizierungen oder Auditberichten
• Neue regulatorische Anforderungen, die den Verarbeitungsbereich betreffen

Dokumentieren Sie jede Kontrolle sorgfältig: Datum, Methode, geprüfte Unterlagen und Ergebnis. Diese Dokumentation ist Ihr Nachweis gegenüber Aufsichtsbehörden, dass Sie Ihrer Überwachungspflicht tatsächlich nachgekommen sind. Für Verantwortliche, die viele Dienstleister einsetzen, empfiehlt sich ein strukturiertes Verfahren zur Verwaltung und Terminierung dieser Überprüfungen.

Was passiert, wenn ein Auftragsverarbeiter nicht DSGVO-konform arbeitet?

Stellt sich heraus, dass ein Auftragsverarbeiter nicht DSGVO-konform arbeitet, sind Sie als Verantwortlicher verpflichtet zu handeln. Je nach Schwere des Verstoßes kann das von einer Nachbesserungsaufforderung bis hin zur Kündigung des Vertragsverhältnisses reichen. Haben Sie Ihre Sorgfaltspflichten vernachlässigt, tragen Sie möglicherweise selbst haftungsrechtliche Konsequenzen.

Folgende Schritte sind bei festgestellten Mängeln typischerweise angezeigt:

1. Dokumentation des Verstoßes: Halten Sie fest, welcher Mangel wann festgestellt wurde und auf welcher Grundlage.
2. Schriftliche Aufforderung zur Nachbesserung: Setzen Sie dem Auftragsverarbeiter eine angemessene Frist zur Behebung des Problems.
3. Prüfung der Meldepflicht: Bei einer Datenpanne müssen Sie prüfen, ob eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden erforderlich ist.
4. Vertragskündigung: Kann oder will der Auftragsverarbeiter die Mängel nicht beheben, sollten Sie das Vertragsverhältnis beenden und einen geeigneten Ersatz suchen.
5. Eigene Dokumentation aktualisieren: Passen Sie Ihr Verzeichnis der Verarbeitungstätigkeiten und Ihre Risikoanalysen entsprechend an.

Wichtig ist: Auch wenn der Auftragsverarbeiter den Verstoß verursacht hat, können Aufsichtsbehörden den Verantwortlichen in die Pflicht nehmen, wenn dieser keine ausreichenden Kontrollmaßnahmen nachweisen kann. Die Wahl eines ungeeigneten Dienstleisters oder das Fehlen eines AVV gilt selbst bereits als Verstoß gegen die DSGVO. Holen Sie in komplexen Fällen rechtliche Beratung ein, um die nächsten Schritte korrekt abzuwägen.

Wie decareto Sie bei der Überwachung Ihrer Website-Compliance unterstützt

Die Prüfung von Auftragsverarbeitern ist ein wesentlicher Bestandteil eines vollständigen Datenschutzmanagements. Ein häufig übersehener Aspekt dabei: Viele externe Dienste, die auf Ihrer Website eingebunden sind, wie Analytics-Tools, Werbedienste oder eingebettete Inhalte, stellen selbst Auftragsverarbeiter oder Drittanbieter dar, deren Einsatz einer datenschutzrechtlichen Grundlage bedarf.

Hier setzt unsere Plattform an. decareto scannt Websites automatisiert und identifiziert dabei, welche externen Dienste und Cookies eingesetzt werden, ob eine Einwilligung erforderlich ist und ob diese tatsächlich eingeholt wird. So unterstützen wir Sie dabei, potenzielle Schwachstellen frühzeitig zu erkennen:

• Automatische Erkennung externer Dienste: decareto identifiziert Cookies, Tracker und externe Dienste auf Ihrer Website und ordnet ihnen Rechtsgrundlagen zu.
• Datenschutzrechtliche Bewertung: Für jeden erkannten Dienst prüfen wir, ob eine Einwilligung erforderlich ist und ob das Consent-Banner diese korrekt einholt.
• Laufende Überwachung: Hunderte von Websites lassen sich dauerhaft überwachen; bei Änderungen erhalten Sie automatische Benachrichtigungen.
• Strukturierte Reports: Die Ergebnisse werden übersichtlich aufbereitet, priorisiert und mit konkreten Handlungsempfehlungen versehen, sodass Sie gezielt reagieren können.
• Datenschutzgenerator: Unser Datenschutzerklärung-Generator erstellt auf Basis der Scan-Ergebnisse passende Datenschutztexte in 24 Sprachen und hält diese aktuell.

decareto ersetzt keine rechtliche Beratung und keinen qualifizierten Datenschutzbeauftragten, unterstützt aber dabei, den manuellen Aufwand für Website-Audits erheblich zu reduzieren und Compliance-Schwachstellen systematisch zu identifizieren. Starten Sie jetzt mit einem DSGVO-Website-Check oder melden Sie sich an, um Ihre Websites dauerhaft zu überwachen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Welche Barrierefreiheitsanforderungen gelten für digitale Dokumente?
• Gibt mein Zahlungsanbieter (z. B. PayPal, Stripe) unzulässig Daten an Dritte weiter?
• Was prüft ein WCAG Contrast Checker bei Textelementen?
• Wie erkennt man Barrierefreiheitsprobleme bei Dropdown-Menüs?
• Was sind personenbezogene Daten laut DSGVO?