Unternehmen sind verpflichtet, Auftragsverarbeitungsverträge (AVV) systematisch zu dokumentieren und zu prüfen, um Datenschutzrisiken zu minimieren. Richard Gschank, Geschäftsführer und TÜV-zertifizierter Datenschutzbeauftragter der tablegray services gmbh, gibt praxisnahe Tipps zur rechtssicheren Ausgestaltung und laufenden Kontrolle.
Der korrekte Umgang mit Auftragsverarbeitung nach der DSGVO ist für jedes Unternehmen unerlässlich: Ohne lückenlose Dokumentation drohen nicht nur rechtliche Konsequenzen, sondern auch der Verlust von Vertrauen bei Kunden und Partnern. Richard Gschank, Geschäftsführer der tablegray services gmbh aus Graz und Stainz, gibt aus seiner langjährigen Praxiserfahrung konkrete Tipps, wie kleine und mittlere Unternehmen (KMU) ihre Prozesse rechtssicher und effizient aufstellen können. „Die Compliance im Bereich Datenschutz ist gesetzlich vorgeschrieben. Die muss man haben. Aber sie ist nicht nur Pflicht, sondern bietet viele weitere Vorteile“, so Richard Gschank. Die wichtigsten Punkte erläutert dieser Leitfaden – von der Definition bis zu typischen Fehlern und aktuellen Entwicklungen.
- Auftragsverarbeitungsverträge (AVV) müssen schriftlich oder elektronisch dokumentiert werden.
- Sämtliche AVVs sollten systematisch und revisionssicher geführt werden.
- Cloud-Anbieter erfordern Sonderaufmerksamkeit: Compliance und AVV regelmäßig prüfen.
- Fehlende oder mangelhafte Dokumentation kann schwerwiegende Folgen für das Unternehmen haben.
Was ist Auftragsverarbeitung nach DSGVO?
Auftragsverarbeitung ist ein zentraler Begriff der Europäischen Datenschutz-Grundverordnung (DSGVO) und bezeichnet jede Verarbeitung personenbezogener Daten, die im Auftrag eines Verantwortlichen durch einen externen Dienstleister erfolgt. Dazu zählen etwa IT-Dienstleister, Cloud-Plattformen, Lohnabrechnungsbüros oder externe Marketingagenturen. Unternehmen sind verpflichtet, für jede solche Zusammenarbeit einen Auftragsverarbeitung im Unternehmen mittels Vertrag zu dokumentieren und regelmäßig zu prüfen. Nicht jede Kooperation ist Auftragsverarbeitung: Handelt der externe Partner selbständig oder ist für die Art und Weise der Verarbeitung verantwortlich, so ist dies keine AVV, sondern ein eigenes Vertragsverhältnis.
Warum müssen AVVs dokumentiert werden?
Laut DSGVO muss jede Auftragsverarbeitung durch einen schriftlichen oder elektronischen Vertrag abgesichert und dokumentiert werden[1]. Der AVV dient nicht nur dem Nachweis im Fall einer Prüfung durch Aufsichtsbehörden, sondern auch der Qualitätssicherung der Datenprozesse. „Sie gibt Kunden Sicherheit und Vertrauen in digitale Leistungen, zeigt Optimierungspotenzial bei Prozessen auf, gibt Lieferanten klare Vorgaben im Umgang mit übermittelten Daten und reduziert Risiken – Datenverlust, Hackerangriffe, etc. – im Unternehmen“, hebt Richard Gschank hervor. Eine sauber geführte Dokumentation der Auftragsverarbeitung schützt also vor Bußgeldern und fördert professionelles Auftreten.
Welche Inhalte muss ein AVV nach DSGVO haben?
Ein vollständiger AVV muss den Gegenstand, die Dauer, Art und Zweck der Verarbeitung setzen sowie die Kategorie der verarbeiteten Daten präzise beschreiben[2]. Ebenso ist genau zu regeln, welche technischen und organisatorischen Maßnahmen (TOM) der Auftragnehmer ergreifen muss, um den Datenschutz zu gewährleisten. Hinzu kommen Regelungen über Unterauftragsverhältnisse, Weisungsrechte des Auftraggebers und die Rückgabe bzw. Löschung von Daten nach Prozessende. Ein Vertrag ohne diese Angaben erfüllt die gesetzlichen Anforderungen nicht und bietet im Ernstfall keinen Schutz.
Wie dokumentieren und führen KMU ihre AVVs korrekt?
KMU empfiehlt Richard Gschank, sämtliche AVVs systematisch, idealerweise digital, zu verwalten – zum Beispiel über zentrale Verzeichnisführung oder auf spezialisierter DSGVO-Software[3]. "Unser Trumpf war immer, dass wir beide Sprachen, also Technik und Recht, sprechen. Man könnte sagen, dass wir uns als Dolmetscher zwischen den Bereichen sehen", sagt Gschank. Die tablegray services gmbh unterstützt deshalb beim Aufbau einer rechtssicheren Dokumentation und der Verknüpfung bestehender Systeme mit Compliance-Prozessen. Es lässt sich viel Aufwand sparen, wenn Änderungen am AVV nachvollziehbar versioniert werden und regelmäßige Überprüfungstermine festgelegt sind. Automatisierte Tools helfen gerade bei vielen Verträgen, den Überblick zu behalten und keine Frist zu versäumen.
Typische Probleme in der Praxis
Vielen KMU fehlt es an Wissen und Routinen, die laufende Kontrolle und Aktualisierung der AVVs zu gewährleisten[2]. Gerade bei technisch komplexen Verträgen, wie sie etwa bei Cloud-Diensten im Rahmen der Auftragsverarbeitung entstehen, ergeben sich schnell Missverständnisse: Oft sind AVV-Vorlagen nur im Kleingedruckten oder in englischer Sprache verfügbar[4], was Unsicherheit fördert. "Als externer Berater kann man anders agieren, weil der Blickwinkel ein anderer ist. Wir wollen dabei funktionierende Geschäftsprozesse unterstützen, auf sichere Beine stellen und nicht verhindern", erklärt Gschank. Ohne klare Verantwortlichkeiten oder Checklisten im Unternehmen erhöht sich das Risiko von Datenschutzpannen merklich.
Auf was sollte man bei Cloud-Anbietern besonders achten?
Gerade bei der Nutzung von Cloud-Services rauft sich der Datenschutzbeauftragte oft die Haare: Obwohl viele Anbieter AVVs bereitstellen, sind diese nicht immer leicht auffindbar oder transparent, zudem stimmen die Schutzmaßnahmen nicht immer mit den lokalen Anforderungen überein. Experten empfehlen, die Datenschutz-Compliance der Provider regelmäßig zu prüfen und sich Auditreports vorlegen zu lassen[4]. Der Vertrag sollte alle technischen und organisatorischen Maßnahmen benennen und Reaktionsverfahren im Falle von Datenpannen verbindlich regeln. "Auch wenn uns die Big Player versichern, dass Daten sicher sind, würde ich mir genau überlegen, personenbezogene Daten, Patente, urheberrechtlich geschützte Werke oder ähnliches einfach so hochzuladen", so Richard Gschank.
Empfehlungen und Praxistipps für die Umsetzung
Automatisierte Tools oder digitale Verzeichnisführung ermöglichen es, AVVs und technische Maßnahmen revisionssicher zu verwalten[3]. Checklisten helfen dabei, bei Neuverträgen oder Vertragsänderungen keine wichtigen Punkte zu übersehen – sie sorgen für Transparenz im Prozess und erleichtern Nachweise im Fall von Audits. „Denn wird der Datenschutz vernachlässigt, hat dies nicht nur rechtliche Konsequenzen. Es geht auch Vertrauen verloren und zieht langfristige Auswirkungen auf die Geschäftstätigkeiten nach sich“, betont Richard Gschank. Workshops und Schulungen, wie sie etwa von tablegray services gmbh angeboten werden, helfen Mitarbeitern, die Anforderungen der Auftragsverarbeitung praxisnah zu verstehen und umzusetzen.
Aktuelle Entwicklungen: Datenschutz-Audits und neue Tools
Seit Einführung der DSGVO werden regelmäßige Datenschutzaudits und Reportings bei Dienstleistern verstärkt empfohlen, insbesondere bei Cloud-Lösungen und kritischen Geschäftsprozessen[4]. Tools, die automatische Benachrichtigungen zu veränderten Auftragsverarbeitungsbedingungen bieten, setzen sich immer mehr durch. Auch die Revision digital geführter AVV-Register wird von Datenschutzaufsichtsbehörden akzeptiert, sofern Revisionssicherheit gegeben ist. "Dabei muss jedem klar sein, dass die Technik um ein Vielfaches schneller ist als das Recht", so Gschank, der für moderne, skalierbare Lösungen plädiert, die sich an die sich ständig wandelnden Anforderungen anpassen.
Fazit: Professionelle Dokumentation als Erfolgsfaktor
Die Dokumentation und laufende Pflege von Auftragsverarbeitungsverträgen ist weit mehr als bloße Pflichterfüllung – sie ist zentraler Bestandteil einer nachhaltigen und sicheren Unternehmenssteuerung. Besonders KMU profitieren davon, wenn sie Prozesse standardisieren, Digitalisierung nutzen und sich bei Unsicherheiten externe Beratung, etwa von rechtserfahrenen Dienstleistern wie tablegray services gmbh, holen. Die Expertenmeinung ist eindeutig: „Unsere Kunden werden von deren Abnehmern, zB Banken, Versicherer, Spediteure etc. dahingehend ausgewählt, weil sie ihren Datenschutz nachweislich gut im Griff haben und Professionalität zeigen“, so Richard Gschank. Wer Compliance, Transparenz und Effizienz systematisch verbindet, setzt auf Zukunftssicherheit und Kundenvertrauen. Richard Gschank ist Jurist und TÜV-zertifizierter Datenschutzbeauftragter, Geschäftsführer der tablegray services gmbh. Das Unternehmen berät seit 2013 KMU, Tech-Startups und öffentliche Auftraggeber in Österreich und der Schweiz als externer Datenschutzbeauftragter, insbesondere zu DSGVO-Dokumentation, IT-Security, NIS-2 und KI-Verordnung.
Quellen
[1] DSGVO: Auftragsverarbeitung einfach erklärt inkl. Checkliste (datenschutz.org, 2024-02-20)
[2] Auftragsverarbeitung nach DSGVO – Praxisratgeber für Unternehmen (datenschutzexperte.de, 2023-12-14)
[3] Auftragsverarbeitung nach DSGVO: Muster, Pflichten, Tipps für Unternehmer (kuwiki.de, 2023-10-05)
[4] Datenschutz in der Cloud: Worauf Unternehmen achten müssen (Handelsblatt, 2023-11-15)
