Dienstleister
Auftragsverarbeitung: Dienstleister nicht nur vertraglich prüfen
Ein AV-Vertrag ist der Rahmen. Belastbarkeit entsteht durch Auswahlprüfung, konkrete Weisungen, TOM-Nachweise, Unterauftragnehmer und laufende Kontrolle.
9 Minuten Lesezeit · Fachlicher Stand 21.07.2026
Zuerst die Rollen sauber einordnen
Nicht jede externe Datenverarbeitung ist automatisch Auftragsverarbeitung. Entscheidend ist, wer Zwecke und wesentliche Mittel bestimmt. Die Einordnung sollte vor Vertragsabschluss dokumentiert werden.
Nachweise müssen zum konkreten Risiko passen
Allgemeine Zertifikate können helfen, ersetzen aber nicht die Prüfung des beauftragten Services. Kritische Themen sind insbesondere Zugriff, Mandantentrennung, Löschung, Vorfallmeldung, Unterauftragnehmer und internationale Übermittlungen.
- Rollen- und Leistungsbeschreibung
- AV-Vertrag und dokumentierte Weisungen
- TOM und relevante Prüfberichte
- Unterauftragnehmer-, Transfer- und Exit-Regelungen
Verwendete Quellen
- Datenschutz-Grundverordnung (EU) 2016/679 · EU · konsolidierte Fassung prüfen
- Orientierungshilfen der Datenschutzkonferenz · DSK
- Guidelines for Controllers and Processors · EDPB
- DSMS-, VVT-, DSFA- und Vorfallmuster · KaitoSec