Das Wichtigste im Überblick
- Rechtliche Pflicht: DIe Weitergabe personenbezogener Daten an IT-Dienstleister erfordert regelmäßig eine Auftragsdatenverarbeitungsvereinbarung nach Art. 28 DSGVO – ohne diese können empfindliche Bußgelder drohen
- Haftungsrisiko: Unternehmen bleiben trotz Beauftragung externer IT-Dienstleister verantwortlich für den Datenschutz und haften für Verstöße ihrer Auftragsverarbeiter
- Praktische Umsetzung: Eine rechtssichere Datenschutzvereinbarung muss konkrete technische und organisatorische Maßnahmen, Prüfrechte und klare Weisungsbefugnisse regeln – Standardverträge reichen oft nicht aus
Warum Datenschutzvereinbarungen für IT-Dienstleister unverzichtbar sind
Die Digitalisierung hat IT-Dienstleister zu unverzichtbaren Partnern nahezu jedes Unternehmens gemacht. Doch sobald diese Dienstleister Zugriff auf personenbezogene Daten erhalten, bewegen sich Unternehmen in einem rechtlichen Minenfeld.
Viele Geschäftsführer und IT-Verantwortliche unterschätzen die datenschutzrechtlichen Anforderungen bei der Beauftragung externer IT-Dienstleister. Ein einfacher Dienstleistungsvertrag reicht regelmäßig nicht aus, denn viele personenbezogene Daten, vor Allem von Kunden und Mitarbeitern, werden weitergegeben, damit IT-Dienstleister sie nach Weisung verarbeiten. Die Datenschutz-Grundverordnung fordert eine Auftragsverarbeitungsvereinbarung, wenn personenbezogene Daten im Auftrag verarbeitet werden. Fehlt diese oder ist sie unvollständig, riskieren Unternehmen nicht nur Bußgelder, sondern auch den Vertrauensverlust ihrer Kunden und Geschäftspartner.
Rechtliche Grundlagen: Auftragsverarbeitung nach DSGVO
Die zentrale Norm: Art. 28 DSGVO
Art. 28 DSGVO bildet damit den Kern der datenschutzrechtlichen Anforderungen an die Zusammenarbeit mit IT-Dienstleistern. Die Vorschrift regelt detailliert, unter welchen Voraussetzungen ein Unternehmen personenbezogene Daten zur Verarbeitung an einen Dienstleister weitergeben darf.
Die Grundregel ist eindeutig: Eine Auftragsverarbeitung darf nur auf Grundlage eines Vertrags erfolgen, der den Gegenstand und die Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen festlegt. Dieser Vertrag muss schriftlich oder in einem anderen dauerhaften Format vorliegen.
Mindestinhalte der Auftragsverarbeitungsvereinbarung
Art. 28 DSGVO nennt explizit die Mindestinhalte, die eine Datenschutzvereinbarung mit IT-Dienstleistern enthalten muss:
Der Auftragsverarbeiter darf personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten. Diese Weisungsbefugnis ist zentral: Der IT-Dienstleister darf nicht eigenständig über den Umgang mit den Daten entscheiden, sondern muss sich strikt an die Vorgaben des Auftraggebers halten.
Alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, müssen sich zur Vertraulichkeit verpflichtet haben. Dies betrifft nicht nur die direkten Mitarbeiter des IT-Dienstleisters, sondern auch mögliche Subunternehmer.
Der Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO ergreifen. Diese müssen konkret beschrieben werden.
Die Vereinbarung muss regeln, unter welchen Bedingungen der IT-Dienstleister einen weiteren Auftragsverarbeiter hinzuziehen darf. Der Verantwortliche muss dieser Weitergabe vorab zustimmen, mindestens aber informiert werden und Widerspruchsmöglichkeiten haben.
Abgrenzung zur gemeinsamen Verantwortlichkeit
Nicht jede Zusammenarbeit mit einem IT-Dienstleister stellt eine Auftragsverarbeitung dar. Entscheidend ist, ob der Dienstleister eigenverantwortlich über Zwecke und Mittel der Datenverarbeitung entscheidet oder lediglich weisungsgebunden für den Auftraggeber tätig wird.
Bestimmt der IT-Dienstleister eigenständig, welche Daten er wie verarbeitet, liegt eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO vor. Dies ist beispielsweise nicht selten bei der Nutzung von Marketing-Tools oder Analyse-Software der Fall, bei denen der Anbieter eigene Zwecke verfolgt.
Die Abgrenzung ist in der Praxis oft schwierig, aber rechtlich hochrelevant. Bei gemeinsamer Verantwortlichkeit gelten andere Anforderungen als bei der Auftragsverarbeitung, insbesondere müssen die Verantwortlichen ihre jeweiligen Pflichten transparent regeln und Betroffene über ihre Verantwortlichkeit informieren.
Pflichtinhalte einer rechtssicheren Datenschutzvereinbarung
Gegenstand und Dauer der Verarbeitung
Die Datenschutzvereinbarung muss präzise beschreiben, welche konkreten Dienstleistungen der IT-Dienstleister erbringt und in welchem Zusammenhang er dabei mit personenbezogenen Daten in Berührung kommt. Pauschale Formulierungen wie „IT-Support“ genügen nicht – die Vereinbarung sollte konkret benennen, ob es sich um Systemwartung, Softwarepflege, Hosting oder andere Tätigkeiten handelt.
Die Dauer der Auftragsverarbeitung muss ebenfalls festgelegt werden. Wichtig ist auch die Beschreibung des Verarbeitungskontexts: In welchen Systemen werden die Daten verarbeitet? Handelt es sich um Produktivsysteme oder Testsysteme? Werden Daten außerhalb der EU-Systeme verarbeitet? All diese Aspekte müssen transparent dargelegt werden.
Art und Zweck der Datenverarbeitung
Die Vereinbarung muss konkret benennen, zu welchem Zweck der IT-Dienstleister personenbezogene Daten verarbeitet. Der Zweck ergibt sich typischerweise aus der beauftragten Dienstleistung: Bei einem Hosting-Vertrag ist der Zweck die technische Bereitstellung der Server-Infrastruktur, bei einem Wartungsvertrag die Aufrechterhaltung der Systemfunktionalität.
Die Art der Verarbeitung umfasst die konkreten Verarbeitungsvorgänge: Werden Daten gespeichert, übermittelt, verändert oder gelöscht? Erfolgt eine automatisierte Verarbeitung oder haben Menschen Zugriff auf die Daten? Diese Details sind wichtig, um das Risiko für die Rechte der Betroffenen einzuschätzen.
Kategorien personenbezogener Daten und betroffener Personen
Die Datenschutzvereinbarung muss auflisten, welche Kategorien personenbezogener Daten verarbeitet werden. Die Kategorien können umfassen: Stammdaten (Name, Adresse), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Kundennummer, Vertragshistorie), Zahlungsdaten oder Nutzungsdaten.
Besonders sensible Daten nach Art. 9 DSGVO – etwa Gesundheitsdaten, ethnische Herkunft oder biometrische Daten – müssen explizit genannt werden, da für sie erhöhte Schutzanforderungen gelten.
Weisungsbefugnis und Verarbeitungsbeschränkungen
Der Kern jeder Auftragsverarbeitungsvereinbarung ist die Regelung der Weisungsbefugnis. Der IT-Dienstleister darf personenbezogene Daten ausschließlich auf die dokumentierte Weisung des Verantwortlichen verarbeiten. Diese Weisungen können im Vertrag selbst enthalten sein oder gesondert erteilt werden.
Die Vereinbarung sollte einen Mechanismus für die Erteilung weiterer Weisungen vorsehen – etwa per E-Mail, über ein Ticketsystem oder in anderer schriftlicher Form. Wichtig ist, dass Weisungen nachvollziehbar dokumentiert werden, um im Streitfall beweisen zu können, dass der IT-Dienstleister nur weisungsgemäß gehandelt hat.
Technische und organisatorische Maßnahmen
Art. 32 DSGVO fordert angemessene technische und organisatorische Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Datenschutzvereinbarung muss diese Maßnahmen konkret beschreiben – ein pauschaler Verweis auf Art. 32 DSGVO genügt nicht.
Zu den technischen Maßnahmen gehören: Verschlüsselung von Daten bei Übertragung und Speicherung, Zugriffskontrollen, Firewalls, regelmäßige Sicherheitsupdates und Backups. Organisatorische Maßnahmen umfassen Zutrittskontrollsysteme, Mitarbeiterschulungen, Datenschutz-Management-Prozesse und Incident-Response-Pläne.
Vertraulichkeitsverpflichtungen
Alle Personen, die für den Auftragsverarbeiter Zugriff auf personenbezogene Daten haben, müssen zur Vertraulichkeit verpflichtet werden. Dies gilt nicht nur für fest angestellte Mitarbeiter, sondern auch für Subunternehmer, Freelancer und externe Berater.
Die Vertraulichkeitsverpflichtung sollte über die Beendigung des Arbeitsverhältnisses hinaus gelten und explizit auch den Datenschutz umfassen. Viele Arbeitsverträge enthalten zwar allgemeine Verschwiegenheitsklauseln, diese sind aber oft nicht spezifisch genug für die datenschutzrechtlichen Anforderungen.
Unterstützungspflichten bei Betroffenenrechten
Betroffene Personen haben umfangreiche Rechte nach der DSGVO – etwa auf Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit. Wenn ein Betroffener diese Rechte geltend macht, muss der Verantwortliche darauf reagieren, benötigt dafür aber häufig die Unterstützung des Auftragsverarbeiters.
Die Datenschutzvereinbarung sollte konkret regeln, wie der IT-Dienstleister den Verantwortlichen bei der Erfüllung von Betroffenenrechten unterstützt. Dies kann bedeuten: Bereitstellung relevanter Daten, Durchführung von Löschungen, Einschränkung der Verarbeitung oder technische Unterstützung bei der Datenübertragung.
Meldepflichten bei Datenschutzverletzungen
Bei einer Datenschutzverletzung – etwa durch einen Hackerangriff, Datenverlust oder unberechtigten Zugriff – muss der Verantwortliche unter Umständen die Aufsichtsbehörde und betroffene Personen informieren. Art. 33 und 34 DSGVO sehen hierfür enge Fristen vor.
Praktische Tipps für Unternehmen
Vertragsverhandlung mit IT-Dienstleistern
Bei der Beauftragung eines IT-Dienstleisters sollten Unternehmen die Datenschutzvereinbarung nicht als nachrangiges Thema behandeln. Idealerweise wird sie parallel zum Hauptvertrag verhandelt, nicht erst nach Vertragsabschluss.
Viele IT-Dienstleister bieten Standardverträge an, die als Ausgangspunkt dienen können. Diese sollten aber stets auf die spezifische Verarbeitungstätigkeit angepasst werden. Pauschale Verträge bergen das Risiko, dass wichtige Aspekte nicht abgedeckt sind oder Regelungen unvollständig bleiben.
Unternehmen sollten nicht zögern, kritische Punkte anzusprechen und Nachbesserungen zu fordern. Weigert sich ein IT-Dienstleister, eine rechtskonforme Datenschutzvereinbarung abzuschließen, ist dies ein Warnsignal – möglicherweise erfüllt er die datenschutzrechtlichen Anforderungen generell nicht.
Dokumentation und Verarbeitungsverzeichnis
Jeder Verantwortliche muss nach Art. 30 DSGVO ein Verzeichnis der Verarbeitungstätigkeiten führen. Für jede Auftragsverarbeitung ist eine eigene Position in diesem Verzeichnis anzulegen, die den Auftragsverarbeiter, die Art der Verarbeitung und die Kategorien der Daten aufführt.
Regelmäßige Überprüfung bestehender Verträge
Datenschutzrecht entwickelt sich ständig weiter. Verträge, die vor einigen Jahren rechtssicher waren, können heute lückenhaft sein. Unternehmen sollten ihre bestehenden Datenschutzvereinbarungen regelmäßig überprüfen – mindestens einmal jährlich oder bei wesentlichen rechtlichen Änderungen.
Einbindung des Datenschutzbeauftragten
Unternehmen, die einen Datenschutzbeauftragten bestellt haben, sollten diesen frühzeitig in die Vertragsverhandlungen mit IT-Dienstleistern einbinden. Der Datenschutzbeauftragte kann beurteilen, ob die vorgeschlagenen Vertragsklauseln den rechtlichen Anforderungen genügen und auf Risiken hinweisen.
Auch bei der laufenden Überprüfung von Auftragsverarbeitern spielt der Datenschutzbeauftragte eine wichtige Rolle. Er sollte Zugriff auf alle Datenschutzvereinbarungen haben und regelmäßig prüfen, ob die vereinbarten Maßnahmen eingehalten werden.
Checkliste für rechtssichere Datenschutzvereinbarungen
Vor Vertragsabschluss:
- Prüfung, ob der IT-Dienstleister als Auftragsverarbeiter oder als gemeinsam Verantwortlicher agiert
- Klärung, welche personenbezogenen Daten verarbeitet werden (Kategorien und Sensibilität)
- Identifikation aller Subunternehmer, die der IT-Dienstleister einsetzt
- Prüfung, ob Daten außerhalb der EU verarbeitet werden
- Bewertung der technischen und organisatorischen Maßnahmen des Dienstleisters
- Prüfung vorhandener Zertifizierungen
Vertragsinhalte:
- Präzise Beschreibung von Gegenstand, Dauer und Zweck der Verarbeitung
- Detaillierte Auflistung der Kategorien personenbezogener Daten und betroffener Personen
- Klare Regelung der Weisungsbefugnis und des Weisungsverfahrens
- Konkrete Beschreibung der technischen und organisatorischen Maßnahmen
- Vertraulichkeitsverpflichtung für alle Mitarbeiter des Dienstleisters
- Unterstützungspflichten bei Betroffenenrechten
- Meldepflichten bei Datenschutzverletzungen mit konkreten Fristen und Kontaktwegen
- Prüf- und Kontrollrechte des Verantwortlichen
- Pflichten bei Vertragsbeendigung
- Haftungs- und Schadensersatzregelungen
Nach Vertragsabschluss:
- Eintragung der Auftragsverarbeitung im Verarbeitungsverzeichnis
- Dokumentation der Datenschutzvereinbarung in der Compliance-Dokumentation
- Information des Datenschutzbeauftragten über die neue Auftragsverarbeitung
- Bei sensiblen Daten: Durchführung einer Datenschutz-Folgenabschätzung
- Schulung der eigenen Mitarbeiter über den Umgang mit dem IT-Dienstleister
Laufende Überprüfung:
- Jährliche Kontrolle der Einhaltung der vertraglichen Vereinbarungen
- Prüfung neuer Subunternehmer und deren Dokumentation
- Überprüfung der technischen und organisatorischen Maßnahmen auf Aktualität
- Aktualisierung der Datenschutzvereinbarung bei Änderungen der Rechtslage
- Kontrolle der Weisungsdokumentation
- Überprüfung der Meldewege für Datenschutzverletzungen
Datenschutzvereinbarungen sind Pflicht, nicht Kür
Die Zusammenarbeit mit IT-Dienstleistern ist für Unternehmen unverzichtbar, birgt aber erhebliche datenschutzrechtliche Risiken. Eine rechtssichere Datenschutzvereinbarung ist keine bürokratische Formsache, sondern essentieller Bestandteil eines funktionierenden Datenschutz-Management-Systems.
Unternehmen, die keine oder unzureichende Auftragsverarbeitungsvereinbarungen abschließen, riskieren nicht nur Bußgelder, sondern auch Reputationsschäden und Schadensersatzforderungen bei Datenschutzverletzungen. Die Aufsichtsbehörden haben in den vergangenen Jahren deutlich gemacht, dass sie Verstöße in diesem Bereich nicht dulden.
Wer unsicher ist, ob bestehende Verträge den rechtlichen Anforderungen genügen oder Unterstützung bei der Verhandlung neuer Datenschutzvereinbarungen benötigt, sollte fachkundigen Rat einholen. Als Fachanwälte für IT-Recht und mit Fokus auf den Datenschutz unterstützen wir Unternehmen bei der rechtssicheren Gestaltung ihrer Verträge mit IT-Dienstleistern. Kontaktieren Sie uns für eine individuelle Beratung – wir helfen Ihnen, Ihre Datenschutz-Compliance zu optimieren und Haftungsrisiken zu minimieren.
Häufig gestellte Fragen
Ja, auch bei reinem technischen Support ist eine Auftragsverarbeitungsvereinbarung erforderlich, wenn der Dienstleister dabei Zugriff auf Systeme mit personenbezogenen Daten hat. Selbst wenn der Support-Mitarbeiter die Daten nicht aktiv verarbeitet, kann er sie potenziell einsehen, was bereits eine Verarbeitung im Sinne der DSGVO darstellt.
Standardverträge können als Grundlage dienen, müssen aber an die spezifische Verarbeitungssituation angepasst werden. Die DSGVO fordert konkrete Beschreibungen der Verarbeitung, der betroffenen Daten und der Sicherheitsmaßnahmen. Ein vollständig standardisierter Vertrag ohne Anpassung an die konkrete Dienstleistung erfüllt diese Anforderungen meist nicht.
Das Fehlen einer Auftragsdatenverarbeitungsvereinbarung stellt einen Verstoß gegen Art. 28 DSGVO dar und kann mit Bußgeldern geahndet werden. Zudem haften Sie für alle Datenschutzverletzungen, die durch den IT-Dienstleister verursacht werden. Auch Kunden und Geschäftspartner können bei fehlender AVV das Vertrauen verlieren.
Eine Aktualisierung ist immer dann erforderlich, wenn sich wesentliche Umstände ändern – etwa neue Verarbeitungstätigkeiten hinzukommen, andere Daten verarbeitet werden oder der IT-Dienstleister neue Subunternehmer einsetzt. Auch bei Änderungen der Rechtslage sollten Sie prüfen, ob Ihre Verträge noch aktuell sind. Empfehlenswert ist eine jährliche Routine-Überprüfung aller Datenschutzvereinbarungen, selbst wenn keine konkreten Änderungen bekannt sind.
Eine generelle Vorlagepflicht besteht nicht. Die Vereinbarung muss aber bei Kontrollen durch die Datenschutzbehörde auf Anforderung vorgelegt werden können. Zudem müssen Sie die Auftragsverarbeitung in Ihrem Verarbeitungsverzeichnis dokumentieren. Bei Datenschutzverletzungen oder Beschwerden von Betroffenen wird die Behörde gegebenenfalls die AVV anfordern, um zu prüfen, ob Sie Ihrer Verantwortung nachgekommen sind.
Grundsätzlich bleiben Sie als Verantwortlicher für den Datenschutz haftbar, auch wenn Sie einen IT-Dienstleister beauftragen. Eine klare vertragliche Haftungsregelung ist daher wichtig, um im Schadensfall die Verantwortlichkeiten zu klären.
Ja, die Dauer der Beauftragung ist irrelevant. Sobald ein IT-Dienstleister im Rahmen seiner Tätigkeit Zugriff auf personenbezogene Daten erhält, ist eine Auftragsverarbeitungsvereinbarung erforderlich – auch bei einmaligen oder kurzfristigen Projekten.
Ja, Cloud-Services sind typische Auftragsverarbeitungen. Die Datenschutzvereinbarung muss dabei besonders detailliert regeln, wo die Rechenzentren stehen, welche Sicherheitsmaßnahmen implementiert sind und welche Subunternehmer der Cloud-Anbieter nutzt.
Die Kündigungsmodalitäten richten sich nach dem zugrunde liegenden Dienstleistungsvertrag. Bei Beendigung des Hauptvertrags endet automatisch auch die Auftragsverarbeitung. Wichtig ist, dass Sie in der Datenschutzvereinbarung geregelt haben, was mit den Daten bei Vertragsende geschieht.
German 
English