Acht Pflichtinhalte, und drei davon halten selten
Die Vorlage des Anbieters hakt alle Buchstaben ab. Ob sie hilft, entscheidet sich an drei Stellen: Unterauftragnehmer, Sicherheitsanlage und Prüfrecht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Vertrag ist vollständig und trotzdem wertlos
Vertragsvorlagen für die Auftragsverarbeitung sind seit Jahren im Umlauf, und sie sind selten falsch. Sie enthalten alle acht Buchstaben aus Artikel 28 Absatz 3, oft in derselben Reihenfolge und mit denselben Formulierungen. Wer sie gegen eine Prüfliste hält, findet nichts zu beanstanden. Genau deshalb wird kaum jemand stutzig, wenn drei der Klauseln so allgemein bleiben, dass sich aus ihnen nichts ableiten lässt.
Auffallen tut das erst in einer von drei Situationen. Der Anbieter wechselt einen Unterauftragnehmer, und du erfährst es aus einer Änderungsmitteilung, die auf einer Webseite steht, die du nie gelesen hast. Es gibt einen Sicherheitsvorfall, und die Anlage mit den technischen und organisatorischen Maßnahmen beschreibt ein Rechenzentrum, das mit dem gebuchten Dienst nichts zu tun hat. Oder du willst prüfen und bekommst ein Zertifikat, dessen Geltungsbereich den fraglichen Dienst nicht abdeckt.
Die Kosten entstehen nicht am Tag der Unterschrift. Sie entstehen, wenn eine Aufsichtsbehörde fragt, welche Garantien du vor der Beauftragung geprüft hast, oder wenn du nach einem Vorfall die Verarbeitungskette rekonstruieren musst und feststellst, dass drei Glieder darin nie benannt waren. Verstöße gegen Artikel 28 liegen nach Artikel 83 Absatz 4 im Rahmen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Aufbau von Artikel 28 Absatz 3
Die Norm ist ein Satzbau mit festen Bestandteilen: erst der Rahmen, der die Verarbeitung beschreibt, dann acht Verpflichtungen des Auftragsverarbeiters. Wer die Reihenfolge kennt, findet in jeder fremden Vorlage in wenigen Minuten, was fehlt.
Der Aufbau
Rahmen[Gegenstand · Dauer · Art · Zweck · Datenarten · Betroffene · Pflichten und Rechte] → Weisung[a] → Vertraulichkeit[b] → Sicherheit[c] → Unterauftrag[d] → Mitwirkung[e, f] → Ende[g] → Nachweis[h] - 01 Der Einleitungssatz, der den Umfang absteckt
Rahmen[Gegenstand · Dauer · Art · Zweck · Datenarten · Betroffene · Pflichten und Rechte]Diese sieben Angaben stehen vor den Buchstaben und werden am häufigsten mit Textbausteinen erledigt. Sie entscheiden aber darüber, welche Verarbeitung der Vertrag überhaupt erfasst. Steht dort Erbringung der vertraglich vereinbarten Leistungen, ist die Frage, ob ein Datenbankauszug für die Fehlersuche gedeckt ist, offen. Steht dort Personalstammdaten und Abrechnungsdaten der Beschäftigten für Zwecke der Lohnabrechnung, ist sie beantwortet. Die letzte Angabe, die Pflichten und Rechte des Verantwortlichen, fehlt in Anbietervorlagen am häufigsten, und sie ist die Stelle, an der Weisungsrecht, Mitwirkung und Kostentragung geregelt werden.
- 02 Buchstabe a: nur auf dokumentierte Weisung
Weisung[a]Der Auftragsverarbeiter darf die Daten ausschließlich auf dokumentierte Weisung verarbeiten, einschließlich der Übermittlung in Drittländer, sofern nicht eine Rechtsvorschrift ihn dazu verpflichtet. In diesem Fall muss er dich vor der Verarbeitung informieren, sofern das Recht die Mitteilung nicht verbietet. Dokumentiert heißt nicht unterschrieben: Der Vertrag selbst ist die Grunderteilung, spätere Einzelweisungen brauchen nur eine nachvollziehbare Form, also etwa ein Ticket oder eine E-Mail mit festem Betreff.
- 03 Buchstabe b: die Menschen hinter dem Dienst
Vertraulichkeit[b]Alle Personen, die die Daten verarbeiten, müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Das ist der einzige Pflichtinhalt, der sich auf Einzelpersonen bezieht, und er wird bei Unterauftragnehmern regelmäßig zur Leerstelle. Beim Support aus einem anderen Land ist die Frage nicht theoretisch, denn dort greift dein Arbeitsrecht nicht.
- 04 Buchstabe c: die Maßnahmen nach Artikel 32
Sicherheit[c]Der Verweis geht auf Artikel 32 und damit auf ein risikoangemessenes Schutzniveau, nicht auf eine feste Liste. Deshalb ist eine Anlage, die für sämtliche Dienste des Anbieters gilt, an dieser Stelle inhaltsleer. Sie muss erkennen lassen, was für den gebuchten Dienst zugesagt ist: was verschlüsselt wird und wo die Schlüssel liegen, wie Zugriffe vergeben und entzogen werden, was protokolliert wird und wie lange die Protokolle bleiben.
- 05 Buchstabe d: dieselben Pflichten in der Kette
Unterauftrag[d]Zusammen mit Absatz 2 und Absatz 4 ist das der Teil, an dem Anbietervorlagen am weitesten von der Norm abweichen. Absatz 2 verlangt für weitere Auftragsverarbeiter eine vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei der allgemeinen Variante muss der Anbieter jede beabsichtigte Änderung mitteilen, damit du Einspruch erheben kannst. Absatz 4 legt fest, dass dem Unterauftragnehmer dieselben Datenschutzpflichten auferlegt werden müssen und dass der erste Auftragsverarbeiter für dessen Einhaltung haftet.
- 06 Buchstaben e bis h: Beistand, Vertragsende, Prüfung
Mitwirkung[e, f] → Ende[g] → Nachweis[h]Buchstabe e verpflichtet zur Unterstützung bei Anträgen betroffener Personen, Buchstabe f zum Beistand bei den Pflichten aus Artikel 32 bis 36, also Sicherheit, Meldung von Verletzungen und Folgenabschätzung. Buchstabe g gibt dir die Wahl zwischen Löschung und Rückgabe nach Abschluss der Erbringung, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Buchstabe h verlangt, dass der Auftragsverarbeiter alle erforderlichen Informationen zum Nachweis bereitstellt und Überprüfungen ermöglicht und dazu beiträgt.
Wenn es nicht funktioniert
Das siehst du
Die Liste der Unterauftragnehmer steht auf einer Webseite des Anbieters, die er jederzeit ändern kann.
Warum
Der Vertrag erteilt eine allgemeine Genehmigung, setzt aber die zweite Hälfte von Artikel 28 Absatz 2 nicht um, nämlich die Mitteilung jeder beabsichtigten Änderung und die Möglichkeit zum Einspruch.
Was hilft
Vereinbare eine Ankündigungsfrist, einen Benachrichtigungsweg, der bei dir ankommt, und ein Einspruchsrecht mit einer Folge. Ohne Kündigungs- oder Ausstiegsrecht bleibt der Einspruch ohne Wirkung.
Das siehst du
Die Anlage mit den technischen und organisatorischen Maßnahmen beschreibt Zutrittskontrollen und Videoüberwachung eines Rechenzentrums, das der Anbieter gar nicht betreibt.
Warum
Die Anlage stammt aus einem allgemeinen Textbaustein und beschreibt die Infrastruktur eines Unterauftragnehmers, ohne die Maßnahmen zu nennen, die der Anbieter selbst verantwortet.
Was hilft
Verlange eine Anlage, die zwischen der eigenen Leistung und der zugekauften Infrastruktur trennt. Für die eigene Leistung sollten Verschlüsselung, Schlüsselverwahrung, Rollenkonzept, Protokollierung und Aufbewahrung der Protokolle benannt sein.
Das siehst du
Das Prüfrecht ist auf die Vorlage eines Zertifikats beschränkt, eine eigene Prüfung ist ausgeschlossen.
Warum
Buchstabe h wurde durch eine Nachweisregel ersetzt. Artikel 28 Absatz 3 Buchstabe h verlangt aber, Überprüfungen zu ermöglichen und dazu beizutragen, und nennt Zertifizierungen nur als eine mögliche Form des Nachweises.
Was hilft
Prüf den Geltungsbereich des Zertifikats gegen den gebuchten Dienst und behalte für den Fall eines Vorfalls ein Recht auf Auskunft und Prüfung. Eine angekündigte Prüfung mit angemessener Frist ist ein tragfähiger Kompromiss.
Das siehst du
Der Vertrag verspricht Löschung nach Vertragsende, sagt aber nichts über Sicherungskopien und Archive.
Warum
Buchstabe g wurde als Absichtserklärung formuliert. Ohne Frist, Format und Aussage zu den Sicherungen bleibt offen, wann die Daten tatsächlich verschwinden.
Was hilft
Halte fest, ob gelöscht oder zurückgegeben wird, in welchem Format die Rückgabe erfolgt, wie lange sie nach Vertragsende möglich bleibt und nach welcher Frist die Daten aus den Sicherungsläufen fallen.
Das siehst du
Eine Klausel erlaubt dem Anbieter, die Daten anonymisiert zur Verbesserung seiner Dienste auszuwerten.
Warum
Damit beschreibt der Anbieter einen eigenen Zweck. Nach Artikel 28 Absatz 10 gilt er für diese Verarbeitung als Verantwortlicher, und häufig ist das, was er anonymisiert nennt, nach Erwägungsgrund 26 lediglich pseudonymisiert.
Was hilft
Kläre, ob der Personenbezug nach der Aufbereitung tatsächlich entfällt. Bleibt er bestehen, ist die Auswertung eine eigene Verarbeitung des Anbieters, die eine eigene Rechtsgrundlage braucht und in deine Information nach Artikel 13 gehört.
Acht Pflichtinhalte und der Rahmen davor
- 01 Der Rahmen nennt Gegenstand, Dauer, Zweck, Datenarten, Betroffene sowie Pflichten und Rechte.
- 02 Buchstabe a bindet die Verarbeitung an deine dokumentierte Weisung.
- 03 Buchstabe b verpflichtet das eingesetzte Personal zur Vertraulichkeit.
- 04 Buchstabe c verlangt die Sicherheitsmaßnahmen nach Artikel 32.
- 05 Buchstabe d bindet Unterauftragnehmer an dieselben Pflichten.
- 06 Buchstabe e und f regeln die Unterstützung bei Betroffenenrechten, Meldungen und Folgenabschätzung.
- 07 Buchstabe g und h regeln das Vertragsende sowie Nachweis und Prüfung.
Was du danach an jeder Anbietervorlage in zwanzig Minuten siehst
Es geht nicht darum, eigene Vertragstexte zu schreiben. Es geht darum, in einer fremden Vorlage die drei bis vier Stellen zu finden, an denen sie unbestimmt bleibt, und dort nachzuverhandeln. Der Rest der Vorlage darf bleiben, wie er ist.
Den Rahmen auf Konkretheit prüfen
Gegenstand, Dauer, Art und Zweck, Datenarten und Betroffenenkategorien gehören in den Vertrag, nicht in eine Formel wie alle Daten aller Kunden. Diese Angaben entscheiden später darüber, ob eine Verarbeitung überhaupt vom Vertrag gedeckt ist.
Die Genehmigungsregel für Unterauftragnehmer lesen
Artikel 28 Absatz 2 kennt die gesonderte und die allgemeine Genehmigung. Bei der allgemeinen muss der Anbieter jede beabsichtigte Änderung mitteilen, und du musst Einspruch erheben können. Steht in der Vorlage nur eine Verweisung auf eine Webseite, fehlt der wirksame Teil.
Die Sicherheitsanlage gegen den gebuchten Dienst halten
Eine Anlage, die für das gesamte Anbieterportfolio gilt, sagt über deinen Tarif nichts aus. Du prüfst, ob Verschlüsselung, Zugriffskonzept und Protokollierung so beschrieben sind, dass sich daraus im Streitfall eine Zusage ableiten lässt.
Das Prüfrecht offenhalten
Artikel 28 Absatz 3 Buchstabe h verlangt, dass der Auftragsverarbeiter Überprüfungen ermöglicht und dazu beiträgt. Ein Zertifikat kann das erleichtern, es ersetzt das Recht aber nicht. Du achtest darauf, dass die Vorlage die Prüfung nicht auf die Vorlage eines Dokuments verkürzt.
Das Vertragsende regeln, bevor es eintritt
Buchstabe g lässt dir die Wahl zwischen Löschung und Rückgabe. Diese Wahl gehört in den Vertrag, zusammen mit einer Frist, einem Ausgabeformat und einer Aussage darüber, wann die Daten aus den Sicherungen verschwinden.
Die Grenze zur eigenen Verantwortung erkennen
Klauseln über Produktverbesserung, Vergleichswerte oder Modelltraining beschreiben eigene Zwecke des Anbieters. Für diesen Teil ist er nach Artikel 28 Absatz 10 selbst verantwortlich, und der Vertrag deckt ihn nicht ab.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Der Rahmen entscheidet, was der Vertrag überhaupt abdeckt
Die sechs Angaben vor den Buchstaben werden am schnellsten abgehakt und richten den größten Schaden an, wenn sie unbestimmt bleiben. Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten und Kategorien betroffener Personen bilden zusammen den Ausschnitt, für den der Vertrag gilt. Alles, was außerhalb liegt, ist von ihm nicht gedeckt, und das fällt regelmäßig erst auf, wenn eine ungewöhnliche Verarbeitung ansteht.
Der häufigste Fall ist die Fehlersuche. Ein Anbieter bittet um einen Datenbankauszug oder um einen Zugang zum Produktivsystem, weil sich ein Fehler anders nicht nachstellen lässt. Steht im Vertrag nur Erbringung der vereinbarten Leistungen, muss jemand entscheiden, ob das noch dazugehört, und diese Entscheidung fällt unter Zeitdruck. Steht dort ausdrücklich, dass Auszüge zur Fehleranalyse zulässig sind und unter welchen Bedingungen, ist die Frage vorab beantwortet.
Die Angabe zur Dauer wird oft mit der Vertragslaufzeit gleichgesetzt. Das ist nur dann richtig, wenn die Verarbeitung mit dem Vertrag endet. Bei Diensten mit einer Nachlaufphase, etwa einer Übergangszeit für den Datenexport, gehört diese Phase in die Angabe, sonst verarbeitet der Anbieter in einem Zeitraum, den der Vertrag nicht mehr erfasst.
Die Unterauftragskette ist die schwächste Stelle
Artikel 28 Absatz 2 lässt zwei Wege zu. Bei der gesonderten Genehmigung stimmst du jedem Unterauftragnehmer einzeln zu. Bei der allgemeinen Genehmigung stimmst du dem Verfahren zu, und der Anbieter muss dich über jede beabsichtigte Änderung informieren, damit du dagegen Einspruch erheben kannst. Die zweite Hälfte dieser Regel fehlt in Vorlagen häufig oder wird zu einer Verweisung auf eine Webseite verkürzt, die niemand beobachtet.
Praktisch tragfähig wird die allgemeine Genehmigung erst, wenn drei Dinge geregelt sind: ein Benachrichtigungsweg, der bei einer bestimmten Adresse in deinem Haus ankommt und nicht auf einer Statusseite endet, eine Frist zwischen Ankündigung und Wirksamwerden, die lang genug für eine Prüfung ist, und eine Folge des Einspruchs. Ohne die dritte Zusage bleibt der Einspruch ein Vermerk, denn der Anbieter kann den Wechsel trotzdem vollziehen und du hast keinen Ausweg.
Absatz 4 zieht die inhaltliche Grenze: Dem weiteren Auftragsverarbeiter müssen dieselben Datenschutzpflichten auferlegt werden, die im Vertrag mit dir stehen, und der erste Auftragsverarbeiter haftet dir gegenüber für deren Einhaltung. Daraus folgt eine einfache Prüffrage an den Anbieter: Kann er zeigen, dass sein Vertrag mit dem Unterauftragnehmer nicht schwächer ist als der mit dir? Wenn der Vertrag mit dir ein Prüfrecht enthält, das eine Ebene tiefer fehlt, ist die Kette an dieser Stelle unterbrochen.
Weisungsbindung und die Grenze zur eigenen Verantwortung
Buchstabe a ist der Kern des ganzen Konstrukts: Verarbeitung nur auf dokumentierte Weisung. Die Grunderteilung steckt im Vertrag selbst, Einzelweisungen brauchen lediglich eine Form, die später nachvollziehbar ist. Ein Ticketsystem oder eine E-Mail mit festem Betreff genügt, ein Anruf beim Support nicht. Der Sinn liegt nicht in der Formalität, sondern darin, dass sich nach einem Vorfall rekonstruieren lässt, wer welche Verarbeitung angestoßen hat.
Die Norm hat eine Ausnahme, die im Alltag selten gelesen wird. Verpflichtet eine Rechtsvorschrift der Union oder eines Mitgliedstaats den Auftragsverarbeiter zu einer Verarbeitung, darf er sie auch ohne deine Weisung vornehmen. Er muss dich dann aber vor der Verarbeitung über diese Rechtspflicht unterrichten, sofern das betreffende Recht die Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Am anderen Ende steht Absatz 10. Bestimmt der Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst über Zwecke und Mittel, gilt er für diese Verarbeitung als Verantwortlicher. Das ist der Punkt, an dem Klauseln über Produktverbesserung, aggregierte Vergleichswerte oder das Training von Modellen relevant werden. Sie beschreiben keine Weisung, sondern einen eigenen Zweck des Anbieters, und dafür trägt er die Verantwortung selbst. Für dich heißt das, dass du diesen Teil nicht über den Vertrag zur Auftragsverarbeitung abdeckst, sondern eine eigene Rechtsgrundlage für die Übermittlung brauchst und in der Datenschutzerklärung darüber informieren musst.
Sicherheitsanlage und Prüfrecht, die beiden Klauseln mit Nachweisfunktion
Buchstabe c verweist auf Artikel 32 und damit auf ein Schutzniveau, das zum Risiko der konkreten Verarbeitung passen muss. Eine Anlage, die dieselben Formulierungen für den Newsletterversand und für ein Personalsystem verwendet, kann dieses Kriterium nicht erfüllen. Brauchbar wird sie, wenn sie den gebuchten Dienst beschreibt: welche Daten im Ruhezustand und im Transport verschlüsselt sind und wer die Schlüssel hält, wie Zugriffsrechte vergeben, überprüft und beim Ausscheiden entzogen werden, welche Zugriffe protokolliert und wie lange die Protokolle aufbewahrt werden.
Der zweite Prüfstein ist Buchstabe h. Er verpflichtet den Auftragsverarbeiter, alle erforderlichen Informationen zum Nachweis der Einhaltung bereitzustellen und Überprüfungen einschließlich Inspektionen zu ermöglichen und dazu beizutragen. Zertifizierungen und genehmigte Verhaltensregeln können nach Artikel 32 Absatz 3 als Nachweis dienen, sie ersetzen das Prüfrecht aber nicht. Bei einem Zertifikat lohnt sich immer der Blick in den Geltungsbereich, denn er deckt häufig ein Rechenzentrum oder ein Unternehmen ab, nicht den einzelnen Dienst, den du gebucht hast.
In der Verhandlung ist die vollständige Streichung des Prüfrechts unüblich, die Verkürzung auf ein Dokument dagegen sehr üblich. Ein tragfähiger Mittelweg besteht darin, die Regelprüfung über Zertifikate und Berichte laufen zu lassen und daneben ein Recht auf eine anlassbezogene Prüfung mit angemessener Ankündigungsfrist zu behalten. Damit hast du im Fall eines Vorfalls einen Zugang, ohne im Normalbetrieb Aufwand zu erzeugen.
Was am Ende des Vertrags passiert
Buchstabe g gibt dir die Wahl zwischen Löschung und Rückgabe nach Abschluss der Erbringung der Verarbeitungsleistungen, vorbehaltlich einer Pflicht zur Speicherung nach Unionsrecht oder nationalem Recht. Die Wahl liegt bei dir, nicht beim Anbieter, und sie sollte im Vertrag stehen, statt bei Vertragsende neu verhandelt zu werden.
Damit die Klausel etwas leistet, braucht sie drei Ergänzungen. Erstens eine Frist, innerhalb derer der Export nach Vertragsende noch möglich ist, denn ein Zugang, der am Kündigungstag erlischt, macht die Rückgabe wertlos. Zweitens ein Format, das ohne das Werkzeug des Anbieters lesbar ist. Drittens eine Aussage zu Sicherungskopien, weil eine Löschung im Produktivsystem nichts über die Sicherungsläufe sagt. Üblich und vertretbar ist die Regelung, dass Sicherungen nach ihrem regulären Aufbewahrungszyklus überschrieben werden und bis dahin keine Wiederherstellung mehr erfolgt.
Der Vorbehalt für gesetzliche Aufbewahrungspflichten betrifft in erster Linie den Anbieter selbst, etwa bei Rechnungsunterlagen aus dem Vertragsverhältnis. Er ist kein Freibrief dafür, den gesamten Datenbestand weiter vorzuhalten. Wo er greift, gehört dazu die Aussage, dass die aufbewahrten Daten nur noch für den Aufbewahrungszweck verwendet werden.
Dazu passende Kurse
Wer die acht Buchstaben nicht nur nachlesen, sondern an eigenen Unterlagen prüfen will, kann Verträge zur Auftragsverarbeitung im Kurs durcharbeiten .
Weil der Datenschutzteil nur eine Anlage zum eigentlichen Vertrag ist, lohnt sich daneben der Blick in die Schulungen zu Verträgen mit IT-Dienstleistern .
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Wo du genau das übst
Häufige Fragen
Muss ein Vertrag zur Auftragsverarbeitung unterschrieben werden?
Können wir die Vorlage des Anbieters einfach übernehmen?
Was passiert, wenn wir gar keinen Vertrag geschlossen haben?
Gilt der Vertrag auch für Unterauftragnehmer im Ausland?
Passt thematisch dazu
Bei einem Sprachmodell als Dienst verschiebt sich die Prüfung noch einmal, weil der Anbieter Eingaben zur Verbesserung seiner Modelle nutzen kann, und dann lohnt der Blick auf die offenen Punkte im Vertrag mit einem KI-Anbieter .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Datenschutz-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Fremde Vertragsvorlagen lesen, ohne sie neu zu schreiben
Wie du in einer Anbietervorlage die unbestimmten Stellen findest und was sich dort erfahrungsgemäß nachverhandeln lässt, gehst du bei cmt an echten Verträgen durch.
Passt dazu
- Auftragsverarbeitung oder gemeinsame Verantwortlichkeit: So bestimmst du die Rolle richtig
- Technische und organisatorische Maßnahmen: Was Artikel 32 verlangt und was eine kopierte Liste nicht leistet
- Daten in die USA und andere Drittländer: Welche Grundlage die Übermittlung trägt