BasiQ Wissenswertes · Datenschutz
Auftragsverarbeitung: Was Sie vor dem Einsatz eines Dienstleisters klären sollten
Kurz erklärt
Cloud, Kursverwaltung oder externe IT: Wann ein AV-Vertrag erforderlich ist und welche Fragen zu Sicherheit, Unterauftragnehmern und Datenstandorten dazugehören.
Zuerst die tatsächlichen Rollen klären
Ein Dienstleister verarbeitet personenbezogene Daten im Auftrag, wenn er für den Verantwortlichen und nach dessen Weisungen tätig wird. Typische Prüfbereiche sind Hosting, ausgelagerte Datenverarbeitung oder bestimmte IT-Dienstleistungen. Nicht jeder externe Empfänger ist automatisch Auftragsverarbeiter. Entscheidet ein Anbieter selbst über eigene Zwecke und wesentliche Mittel, können andere datenschutzrechtliche Rollen vorliegen.
Die Überschrift eines Vertrags entscheidet darüber nicht allein. Beschreiben Sie deshalb zunächst, welche Daten für welche Aufgabe verarbeitet werden, wer darüber entscheidet und ob der Dienstleister Daten für eigene Zwecke nutzen soll. Bei gemeinsamer Festlegung können die Anforderungen des Artikels 26 statt eines einfachen AV-Modells relevant sein.
Was Artikel 28 DSGVO verlangt
Für eine Auftragsverarbeitung ist ein Vertrag oder ein anderes vorgesehenes Rechtsinstrument mit den vorgeschriebenen Inhalten erforderlich; die elektronische Form ist möglich. Dazu gehören unter anderem Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen. Die Verarbeitung ist an dokumentierte Weisungen gebunden.
Zu regeln sind außerdem Vertraulichkeit, Sicherheit, weitere Auftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenschutzpflichten, Umgang mit Daten nach Auftragsende sowie Nachweise und Kontrollen. Ein unterschriebenes Muster ohne passende Anlagen zur tatsächlichen Leistung ist dafür keine überzeugende Grundlage.
Diese Fragen helfen bei der Auswahl
| Prüffeld | Praktische Frage |
|---|---|
| Leistung und Daten | Welche Angaben werden wirklich benötigt und welche optionalen Funktionen können entfallen? |
| Zugriff | Wer kann Daten einsehen, administrieren oder exportieren? |
| Sicherheit | Wie werden Berechtigungen, Verschlüsselung, Wiederherstellung und Sicherheitsvorfälle organisiert? |
| Unterauftragnehmer | Wer wird eingesetzt und wie erfahren wir von Änderungen? |
| Standorte und Drittstaaten | Wo erfolgen Speicherung, Support und sonstige Zugriffe? |
| Vertragsende | Wie erhalten wir Daten zurück und wie wird die anschließende Löschung geregelt? |
Ein EU-Server beantwortet nicht jede Frage
Die Angabe „Hosting in der EU“ ist hilfreich, aber keine vollständige Prüfung. Fernzugriffe, Support, Unterauftragnehmer und sonstige Übermittlungen können zusätzliche Fragen aufwerfen. Soweit Daten in Drittländer übermittelt werden, sind die Voraussetzungen des Kapitels V DSGVO gesondert zu prüfen. Ein AV-Vertrag allein ersetzt diese Prüfung nicht.
Unser Beispiel für eine Kursverwaltung
Ein Bildungsträger möchte eine Cloudlösung einsetzen. Vor dem Import echter Teilnehmerdaten wird geklärt, welche Felder nötig sind, welche Mitarbeiter welche Rollen bekommen und ob Gesundheitsangaben überhaupt in dieses System gehören. Anschließend werden Vertrag, Sicherheitsmaßnahmen und Löschmöglichkeiten geprüft. Erst dann erfolgt die Freigabe des konkreten Einsatzes.
Auch nach Vertragsschluss dranbleiben
Das Unternehmen bleibt für seine Verarbeitung verantwortlich. Halten Sie deshalb einen Ansprechpartner und einen Anlass für erneute Prüfungen fest, etwa Funktionsänderungen, neue Unterauftragnehmer oder Sicherheitsvorfälle. Unsere Empfehlung: Verbinden Sie die Dienstleisterübersicht mit den tatsächlich genutzten Verfahren und deren Verantwortlichen. So bleibt erkennbar, welcher Vertrag zu welchem Prozess gehört.
Quellen und Originaldokumente
Originalquellen zuletzt geprüft am 20.10.2026. Die verlinkten Veröffentlichungen können vom Herausgeber aktualisiert werden. Beispiele und Umsetzungsvorschläge stammen von BasiQ.
Datenschutz praktisch umsetzen
Sie möchten Zuständigkeiten, Datenverarbeitungen und Nachweise nachvollziehbar organisieren? Wir besprechen mit Ihnen die passende Beratung oder externe Datenschutzbetreuung.
Datenschutzberatung und externe Betreuung ↗ · Weiterbildung zum Datenschutzbeauftragten ↗
Über den Autor
Jan Streit
Jan Streit ist Geschäftsführer der BasiQ GmbH. Er berät Bildungsträger und Unternehmen zu AZAV, Qualitätsmanagement und Datenschutz und arbeitet als Datenschutzbeauftragter. Seine Arbeit verbindet die Gestaltung betrieblicher Abläufe mit Weiterbildung und der Vorbereitung auf Zertifizierungen.