Um zu pr\u00fcfen, ob Ihre Auftragsverarbeiter DSGVO-konform arbeiten, m\u00fcssen Sie als Verantwortlicher aktiv werden: Schlie\u00dfen Sie einen schriftlichen Auftragsverarbeitungsvertrag (AVV) ab, holen Sie Nachweise zu technisch-organisatorischen Ma\u00dfnahmen ein und f\u00fchren Sie regelm\u00e4\u00dfige Kontrollen durch. Die Verantwortung f\u00fcr die Auswahl und \u00dcberwachung geeigneter Auftragsverarbeiter liegt dabei vollst\u00e4ndig bei Ihnen als Verantwortlichem im Sinne des Artikels 28 DSGVO. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um die Pr\u00fcfung und Kontrolle Ihrer AVV-Partner.<\/p>\n\n\n\n
Als Verantwortlicher sind Sie nach Artikel 28 DSGVO verpflichtet, nur solche Auftragsverarbeiter einzusetzen, die hinreichende Garantien daf\u00fcr bieten, dass die Verarbeitung DSGVO-konform erfolgt. Das bedeutet: Sie m\u00fcssen Ihren Auftragsverarbeiter sorgf\u00e4ltig ausw\u00e4hlen, einen schriftlichen AVV abschlie\u00dfen und die Einhaltung der vereinbarten Bedingungen regelm\u00e4\u00dfig kontrollieren.<\/p>\n\n\n\n
Diese Pflichten sind keine Formalie. Wenn ein Auftragsverarbeiter gegen die DSGVO verst\u00f6\u00dft und Sie Ihre Sorgfaltspflichten vernachl\u00e4ssigt haben, k\u00f6nnen Aufsichtsbeh\u00f6rden auch Sie als Verantwortlichen zur Rechenschaft ziehen. Die Verantwortung f\u00fcr die Datenverarbeitung verbleibt stets beim Verantwortlichen, auch wenn ein Dritter die Verarbeitung technisch durchf\u00fchrt.<\/p>\n\n\n\n
Konkret umfassen Ihre Pflichten gegen\u00fcber Auftragsverarbeitern:<\/p>\n\n\n\n
Ein Auftragsverarbeitungsvertrag muss nach Artikel 28 Absatz 3 DSGVO mindestens den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Pflichten und Rechte des Verantwortlichen festlegen. Fehlen wesentliche Elemente, ist der AVV rechtlich unvollst\u00e4ndig.<\/p>\n\n\n\n
Im Einzelnen sollte ein vollst\u00e4ndiger Auftragsverarbeitungsvertrag folgende Regelungen enthalten:<\/p>\n\n\n\n
Viele Anbieter stellen AVV-Vorlagen oder vorgefertigte Vertr\u00e4ge bereit. Pr\u00fcfen Sie diese sorgf\u00e4ltig darauf, ob alle Pflichtinhalte vollst\u00e4ndig und nicht nur oberfl\u00e4chlich abgedeckt sind. Ein AVV, der lediglich auf allgemeine Datenschutzgrunds\u00e4tze verweist, ohne konkrete Regelungen zu treffen, erf\u00fcllt die Anforderungen typischerweise nicht.<\/p>\n\n\n\n
Um die Einhaltung der TOMs zu pr\u00fcfen, k\u00f6nnen Sie Nachweise anfordern, Frageb\u00f6gen einsetzen oder Audits durchf\u00fchren. In der Praxis ist die Anforderung von Zertifizierungen, Auditberichten oder ausgef\u00fcllten Sicherheitsfrageb\u00f6gen der g\u00e4ngigste Ansatz, da eigene Vor-Ort-Pr\u00fcfungen bei jedem Dienstleister aufw\u00e4ndig sind.<\/p>\n\n\n\n
Anerkannte Zertifizierungen wie ISO 27001 oder SOC 2 geben Ihnen einen verl\u00e4sslichen Anhaltspunkt daf\u00fcr, dass ein Auftragsverarbeiter strukturierte Sicherheitsprozesse betreibt. Fordern Sie aktuelle Zertifikate an und pr\u00fcfen Sie deren G\u00fcltigkeitsdauer. Externe Auditberichte, etwa nach ISAE 3402, k\u00f6nnen ebenfalls als Nachweis dienen.<\/p>\n\n\n\n
Erg\u00e4nzend k\u00f6nnen Sie standardisierte Sicherheitsfrageb\u00f6gen einsetzen, in denen der Auftragsverarbeiter seine Ma\u00dfnahmen zur Datenverschl\u00fcsselung, Zugriffskontrolle, Datensicherung und Incident-Response beschreibt. F\u00fcr kritische Dienstleister empfiehlt sich eine Vor-Ort-Inspektion oder ein technisches Audit, das im AVV ausdr\u00fccklich als Recht des Verantwortlichen verankert sein sollte.<\/p>\n\n\n\n
Wichtig: TOMs sind keine statische Momentaufnahme. Technische Sicherheitsma\u00dfnahmen m\u00fcssen dem aktuellen Stand der Technik entsprechen und k\u00f6nnen sich im Laufe der Zeit \u00e4ndern. Eine einmalige Pr\u00fcfung bei Vertragsschluss reicht daher nicht aus.<\/p>\n\n\n\n
Ein seri\u00f6ser Auftragsverarbeiter sollte auf Anfrage Nachweise \u00fcber seine Datenschutzma\u00dfnahmen vorlegen k\u00f6nnen. Dazu geh\u00f6ren insbesondere: eine aktuelle Beschreibung der TOMs, ein Verzeichnis der Verarbeitungst\u00e4tigkeiten, Nachweise \u00fcber Mitarbeiterschulungen sowie Informationen zu eingesetzten Unterauftragsverarbeitern.<\/p>\n\n\n\n
Im Einzelnen sollten Sie folgende Unterlagen anfordern und pr\u00fcfen:<\/p>\n\n\n\n
Reagiert ein Auftragsverarbeiter z\u00f6gerlich auf solche Anfragen oder verweigert die Vorlage von Unterlagen, ist das ein deutliches Warnsignal. Ein DSGVO-konformer Dienstleister sollte Transparenz gegen\u00fcber Verantwortlichen als selbstverst\u00e4ndlich betrachten.<\/p>\n\n\n\n
Die DSGVO schreibt keine festen Kontrollintervalle vor, verlangt aber eine regelm\u00e4\u00dfige \u00dcberpr\u00fcfung. In der Praxis empfiehlt sich eine anlassbezogene Kontrolle bei Vertragsschluss sowie eine j\u00e4hrliche Wiederholungspr\u00fcfung, erg\u00e4nzt durch anlassbezogene Checks bei wesentlichen \u00c4nderungen auf Seiten des Dienstleisters.<\/p>\n\n\n\n
Konkrete Anl\u00e4sse, die eine au\u00dferplanm\u00e4\u00dfige Kontrolle erfordern, sind unter anderem:<\/p>\n\n\n\n
Dokumentieren Sie jede Kontrolle sorgf\u00e4ltig: Datum, Methode, gepr\u00fcfte Unterlagen und Ergebnis. Diese Dokumentation ist Ihr Nachweis gegen\u00fcber Aufsichtsbeh\u00f6rden, dass Sie Ihrer \u00dcberwachungspflicht tats\u00e4chlich nachgekommen sind. F\u00fcr Verantwortliche, die viele Dienstleister einsetzen, empfiehlt sich ein strukturiertes Verfahren zur Verwaltung und Terminierung dieser \u00dcberpr\u00fcfungen.<\/p>\n\n\n\n
Stellt sich heraus, dass ein Auftragsverarbeiter nicht DSGVO-konform arbeitet, sind Sie als Verantwortlicher verpflichtet zu handeln. Je nach Schwere des Versto\u00dfes kann das von einer Nachbesserungsaufforderung bis hin zur K\u00fcndigung des Vertragsverh\u00e4ltnisses reichen. Haben Sie Ihre Sorgfaltspflichten vernachl\u00e4ssigt, tragen Sie m\u00f6glicherweise selbst haftungsrechtliche Konsequenzen.<\/p>\n\n\n\n
Folgende Schritte sind bei festgestellten M\u00e4ngeln typischerweise angezeigt:<\/p>\n\n\n\n
Wichtig ist: Auch wenn der Auftragsverarbeiter den Versto\u00df verursacht hat, k\u00f6nnen Aufsichtsbeh\u00f6rden den Verantwortlichen in die Pflicht nehmen, wenn dieser keine ausreichenden Kontrollma\u00dfnahmen nachweisen kann. Die Wahl eines ungeeigneten Dienstleisters oder das Fehlen eines AVV gilt selbst bereits als Versto\u00df gegen die DSGVO. Holen Sie in komplexen F\u00e4llen rechtliche Beratung ein, um die n\u00e4chsten Schritte korrekt abzuw\u00e4gen.<\/p>\n\n\n\n
Die Pr\u00fcfung von Auftragsverarbeitern ist ein wesentlicher Bestandteil eines vollst\u00e4ndigen Datenschutzmanagements. Ein h\u00e4ufig \u00fcbersehener Aspekt dabei: Viele externe Dienste, die auf Ihrer Website eingebunden sind, wie Analytics-Tools, Werbedienste oder eingebettete Inhalte, stellen selbst Auftragsverarbeiter oder Drittanbieter dar, deren Einsatz einer datenschutzrechtlichen Grundlage bedarf.<\/p>\n\n\n\n
Hier setzt unsere Plattform an. decareto scannt Websites automatisiert und identifiziert dabei, welche externen Dienste und Cookies eingesetzt werden, ob eine Einwilligung erforderlich ist und ob diese tats\u00e4chlich eingeholt wird. So unterst\u00fctzen wir Sie dabei, potenzielle Schwachstellen fr\u00fchzeitig zu erkennen:<\/p>\n\n\n\n