DSGVO Auftragsverarbeitung richtig prüfen

Ein externer IT-Dienstleister, ein Cloud-Backup oder eine Lohnabrechnungssoftware kann unbemerkt zum Datenschutzrisiko werden. Wer die DSGVO Auftragsverarbeitung prüfen will, sollte deshalb nicht nur nach einem unterschriebenen Vertrag fragen. Entscheidend ist, ob der Dienstleister tatsächlich weisungsgebunden handelt, technische Schutzmaßnahmen nachweisbar umsetzt und jederzeit transparent macht, wo und durch wen Daten verarbeitet werden.

Für mittelständische Unternehmen ist das keine Formalie. Geschäftsführung und Verantwortliche bleiben gegenüber Kunden, Beschäftigten und Aufsichtsbehörden in der Pflicht – auch wenn ein externer Partner die Systeme betreibt. Ein unklarer Zugriff auf E-Mail-Postfächer, Kundendaten oder Backups kann neben Datenschutzverstößen auch die Betriebsfähigkeit gefährden.

Wann liegt eine Auftragsverarbeitung vor?

Artikel 28 DSGVO regelt die Auftragsverarbeitung. Sie liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Unternehmens verarbeitet, ohne eigene Zwecke mit den Daten zu verfolgen. Das auftraggebende Unternehmen bleibt dabei Verantwortlicher im Sinne der DSGVO.

Typische Fälle sind Managed-IT-Services, Hosting, Cloud-Speicher, externe Lohnbuchhaltung, Newsletter-Versand oder ein Dienstleister für die digitale Aktenarchivierung. Auch ein IT-Partner, der im Störungsfall per Fernzugriff auf Server, Endgeräte oder Microsoft-365-Konten zugreift, verarbeitet häufig personenbezogene Daten im Auftrag.

Nicht jede Dienstleistung ist automatisch Auftragsverarbeitung. Ein Steuerberater, eine Bank oder ein Rechtsanwalt handelt in vielen Fällen eigenverantwortlich, weil er gesetzliche oder berufliche Pflichten verfolgt und über Teile der Verarbeitung selbst entscheidet. Diese Abgrenzung ist relevant: Ein Auftragsverarbeitungsvertrag, kurz AVV, ersetzt keine Prüfung der tatsächlichen Rollen.

Die zentrale Frage lautet daher nicht: „Hat der Anbieter ein AVV-Muster?“ Sondern: Wer entscheidet über Zweck und Mittel der Verarbeitung, wer kann auf welche Daten zugreifen und welche Kontrolle behält Ihr Unternehmen?

DSGVO Auftragsverarbeitung prüfen: Der Vertrag ist nur der Anfang

Ein AVV muss die in Artikel 28 Absatz 3 DSGVO geforderten Inhalte verbindlich regeln. Dazu gehören Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien betroffener Personen und Daten sowie die Rechte und Pflichten des Verantwortlichen. Ebenso muss der Dienstleister dokumentieren, dass seine Beschäftigten zur Vertraulichkeit verpflichtet sind, Sicherheitsmaßnahmen umsetzt und Datenschutzvorfälle unverzüglich meldet.

In der Praxis ist ein formal vollständiger Vertrag aber nur die Mindestanforderung. Ein Vertrag schützt nicht, wenn ein ehemaliger Mitarbeiter des Dienstleisters noch über ein Administratorkonto verfügt oder wenn Backups ohne nachvollziehbare Verschlüsselung in einer unbekannten Cloud liegen.

Prüfen Sie deshalb Vertrag und Betrieb gemeinsam. Besonders aussagekräftig sind klare Regelungen zu Fernwartung, Admin-Zugängen, Protokollierung, Löschfristen, Supportzeiten und Notfallprozessen. Aussagen wie „branchenübliche Sicherheit“ oder „Datenverarbeitung in der EU“ bleiben zu ungenau, wenn der konkrete Speicherort, die eingesetzten Unterauftragnehmer und die Zugriffsmöglichkeiten offenbleiben.

Diese sieben Punkte gehören in jede Prüfung

Eine belastbare Prüfung braucht keine juristische Volltextanalyse im Alleingang. Sie braucht strukturierte Fragen und nachvollziehbare Nachweise:

• Ist der Dienstleister im Verzeichnis der Verarbeitungstätigkeiten korrekt als Auftragsverarbeiter erfasst?
• Beschreibt der AVV die tatsächliche Leistung und die tatsächlich verarbeiteten Daten?
• Liegen technische und organisatorische Maßnahmen, kurz TOM, schriftlich und ausreichend konkret vor?
• Sind alle Unterauftragsverarbeiter benannt, einschließlich Hosting-, Backup- und Supportpartnern?
• Ist geregelt, ob Daten oder Fernzugriffe außerhalb des Europäischen Wirtschaftsraums stattfinden können?
• Gibt es ein belastbares Berechtigungs- und Protokollkonzept für administrative Zugriffe?
• Sind Löschung, Rückgabe der Daten und ein Verfahren für Datenschutzvorfälle verbindlich vereinbart?

Bei besonders schutzwürdigen Daten, etwa Gesundheitsdaten, Personalakten oder umfangreichen Kundendaten, reicht eine Selbstauskunft des Dienstleisters häufig nicht aus. Dann sollten Unternehmen ergänzende Nachweise anfordern, beispielsweise aktuelle Sicherheitskonzepte, Auditberichte, Zertifikate oder dokumentierte Wiederherstellungstests. Ein Zertifikat kann Vertrauen stärken, ersetzt aber nicht die Prüfung des konkreten Leistungsumfangs.

Technische Maßnahmen müssen zum tatsächlichen Risiko passen

Artikel 32 DSGVO verlangt ein angemessenes Schutzniveau. Was angemessen ist, hängt von Datenarten, Bedrohungslage, Umfang der Verarbeitung und möglichen Schäden ab. Für einen IT-Dienstleister mit Zugriff auf zentrale Systeme gehören starke Mehrfaktor-Authentifizierung, getrennte Administrationskonten, verschlüsselte Datenübertragung, Patch-Management und nachvollziehbare Protokolle regelmäßig zum Mindeststandard.

Das Bundesamt für Sicherheit in der Informationstechnik weist in seinem Lagebericht 2024 weiterhin auf eine hohe Bedrohung durch Ransomware hin. Im Durchschnitt wurden täglich rund 309.000 neue Schadprogrammvarianten bekannt. Für den Mittelstand bedeutet das: Ein Dienstleisterzugang ist nicht nur ein Datenschutzthema. Wird ein schlecht geschütztes Fernwartungskonto kompromittiert, können Angreifer zugleich auf Server, Datenbestände und Sicherungen zugreifen.

Besondere Aufmerksamkeit verdienen Backups. Ein AVV sollte nicht offenlassen, ob Sicherungen verschlüsselt sind, wo sie gespeichert werden und wer sie wiederherstellen darf. Ebenso wichtig ist die regelmäßige Prüfung, ob eine Wiederherstellung im Ernstfall tatsächlich funktioniert. Ein vorhandenes Backup ohne getesteten Rücksicherungsprozess ist keine verlässliche Absicherung gegen Ausfall oder Erpressung.

Unterauftragnehmer und Drittlandtransfers sichtbar machen

Viele Risiken entstehen nicht beim direkten Vertragspartner, sondern in dessen Lieferkette. Ein deutscher Managed-Service-Anbieter kann beispielsweise Infrastruktur eines internationalen Cloud-Konzerns nutzen, externe Supportteams einsetzen oder Sicherungsdaten an weitere Anbieter übergeben. Das ist nicht per se unzulässig. Es muss aber vorab transparent sein und vertraglich kontrolliert werden.

Der AVV braucht deshalb eine klare Regelung zu Unterauftragsverarbeitern. Idealerweise liegt eine aktuelle Liste mit Name, Leistung, Verarbeitungsort und Zweck vor. Bei Änderungen muss Ihr Unternehmen rechtzeitig informiert werden und ein echtes Widerspruchsrecht haben. Eine pauschale Klausel, die künftig beliebige Subunternehmer erlaubt, schafft keine ausreichende Kontrolle.

Bei Zugriffen oder Übermittlungen in Drittstaaten außerhalb des Europäischen Wirtschaftsraums steigt der Prüfaufwand. Standardvertragsklauseln können erforderlich sein, doch sie sind kein Freifahrtschein. Unternehmen müssen zusätzlich bewerten, ob Behördenzugriffe oder lokale Rechtslagen den Schutz personenbezogener Daten beeinträchtigen können. Die ENISA verweist in ihren Bedrohungsanalysen regelmäßig darauf, dass Abhängigkeiten in digitalen Lieferketten ein wesentliches Sicherheitsrisiko darstellen.

Für viele Mittelständler ist eine Datenverarbeitung nach deutschen Standards mit klaren Hosting- und Supportstrukturen deshalb ein praktischer Vorteil. Sie reduziert nicht jede Prüfung, aber sie kann Komplexität, Rechtsrisiken und unklare Zugriffswege deutlich verringern.

Praxisfall: Der AVV war vorhanden, die Kontrolle fehlte

In einer anonymisierten Sicherheitsanalyse eines mittelständischen Handelsunternehmens bestand ein unterschriebener AVV mit dem bisherigen IT-Betreuer. Auf dem Papier war die Lage geordnet. Bei der technischen Prüfung zeigte sich jedoch, dass drei ehemalige Ansprechpartner noch aktive Fernwartungszugänge besaßen. Außerdem waren die Backup-Speicherorte im Vertrag nicht konkret benannt, und eine Rücksicherung war seit mehr als zwei Jahren nicht dokumentiert getestet worden.

Die Lösung bestand nicht darin, den Dienstleister sofort auszutauschen. Zunächst wurden die Zugriffsrechte bereinigt, persönliche durch nachvollziehbare Administrationskonten ersetzt und Mehrfaktor-Authentifizierung eingeführt. Der AVV wurde um die tatsächlich eingesetzte Backup-Lösung, Löschfristen, Eskalationswege und Unterauftragnehmer ergänzt. Anschließend bestätigte ein Wiederherstellungstest, dass zentrale Daten innerhalb des vereinbarten Zeitfensters verfügbar waren.

Der Fall zeigt den entscheidenden Punkt: Datenschutzkonformität entsteht aus Vertrag, Technik und laufender Kontrolle. Fehlt einer dieser Bausteine, bleibt die Sicherheitslage unsicher.

Wie oft sollte die Auftragsverarbeitung geprüft werden?

Eine jährliche Prüfung ist für die meisten mittelständischen Unternehmen ein sinnvoller Grundrhythmus. Zusätzlich sollte sie stattfinden, wenn ein neuer Dienstleister hinzukommt, eine Cloud- oder Backup-Lösung wechselt, sich der Verarbeitungsumfang deutlich erhöht oder ein Sicherheitsvorfall eintritt. Auch neue Fernwartungswege und geänderte Unterauftragnehmer sind Anlass, die Unterlagen und Schutzmaßnahmen erneut abzugleichen.

Dokumentieren Sie Ergebnisse, offene Punkte, Verantwortlichkeiten und Fristen. Das schafft intern Klarheit und hilft, gegenüber Aufsichtsbehörden Rechenschaft abzulegen. Angesichts der von Bitkom für 2024 bezifferten Schäden durch Cyberangriffe, Spionage und Sabotage von 178,6 Milliarden Euro in der deutschen Wirtschaft ist diese Kontrolle keine Bürokratie um der Bürokratie willen. Sie schützt Geschäftsprozesse, Vertrauen und Handlungsfähigkeit.

Wer seine Dienstleisterlandschaft heute transparent macht, erkennt nicht nur DSGVO-Lücken. Er schafft die Grundlage dafür, dass sensible Daten, Systeme und Backups auch dann unter Kontrolle bleiben, wenn der Betrieb unter Druck gerät.