Unternehmen · DEUTSCHLAND
Ein Cloudanbieter oder Dienstleister legt einen Auftragsverarbeitungsvertrag vor, den Sie unverändert akzeptieren sollen? Wir organisieren die Prüfung des AVV mit Blick auf Ihre tatsächliche Zusammenarbeit. Zunächst wird geklärt, welche datenschutzrechtlichen Rollen vorliegen. Nicht jeder Dienstleister ist ein Auftragsverarbeiter. Anschließend werden Hauptvertrag, Leistungsbeschreibung und Datenschutzanlagen zusammen gelesen. Ziel ist eine praktikable Zuordnung von Verantwortung und Pflichten statt einer bloßen Unterschrift unter eine Vorlage.
Leistungserbringer, Umfang und Honorar vor Beginn geklärt.
Fristen beachten. Legen Sie Vertragsfassungen und Sicherheitsanlagen möglichst vor dem Produktiveinsatz vor. Neue Unterauftragnehmer oder geänderte Datenstandorte können eine erneute Prüfung auslösen. Ein unterschriebener AVV legitimiert nicht automatisch jede Verarbeitung oder Übermittlung in andere Staaten.
Auftragsverarbeitung, eigenständige Verantwortung und andere Gestaltungen werden unterschieden.
Vertrag, Anlagen und tatsächlicher Dienst werden gemeinsam bewertet.
Kritische Klauseln und fehlende Informationen werden für die weitere Abstimmung priorisiert.
Wer bestimmt Zwecke und wesentliche Mittel, welche Daten werden verarbeitet und welche Zugriffe bestehen? Diese Fragen werden vor der Klauselprüfung beantwortet. Eine Bezeichnung im Vertrag allein entscheidet die Rolle nicht. Die Beschreibung muss zur tatsächlich vereinbarten Leistung passen.
Weisungen, Vertraulichkeit, Unterauftragnehmer, Unterstützung bei Betroffenenrechten und Vertragsende werden betrachtet. Wir prüfen, ob Anlagen konkret genug sind und zum Hauptvertrag passen. Widersprüche zwischen Onlinebedingungen, Leistungsangebot und AVV werden als Verhandlungspunkte sichtbar gemacht.
Technische und organisatorische Maßnahmen werden auf nachvollziehbare Beschreibung und passende Zuordnung geprüft. Eine juristische Prüfung bestätigt nicht automatisch die technische Wirksamkeit aller Systeme. Internationale Datenflüsse, technische Audits und eine laufende Dienstleisterkontrolle werden als eigene Prüfbereiche vereinbart.
Wir ordnen die konkrete Nutzung, Datenarten und Anlagen zu. Ein AVV für ein anderes Produkt oder einen anderen Leistungsumfang reicht nicht als Ersatz. Onlineänderungen und die tatsächlich akzeptierte Fassung sollten nachvollziehbar dokumentiert werden.
Unterauftragsregelung, Informationswege und bekannte Datenstandorte werden gelesen. Die Liste sollte mit dem tatsächlichen Betrieb abgeglichen werden. Eine pauschale Formulierung darf offene Informationen nicht verdecken; notwendige Nachfragen werden im Ergebnis festgehalten.
Herausgabe, Löschung, Aufbewahrung und notwendige Übergaben werden betrachtet. Der Hauptvertrag kann zusätzliche Export- oder Kostenregelungen enthalten. Das Vertragsende sollte deshalb nicht nur über einen allgemeinen Löschsatz im AVV beurteilt werden.
Art. 28 DSGVO betrifft die Auswahl und vertragliche Bindung von Auftragsverarbeitern. Rollen und tatsächliche Leistung sind vor der Vertragsprüfung zu klären. Die Benennung als Dienstleister allein reicht nicht.
Amtliche Grundlage: Art. 28 DSGVO ↗Art. 32 DSGVO betrifft angemessene technische und organisatorische Maßnahmen. Eine schriftliche Anlage muss mit dem konkreten Dienst abgeglichen werden. Juristische Dokumentenprüfung und technische Wirksamkeitsprüfung bleiben unterschiedliche Aufgaben.
Amtliche Grundlage: Art. 32 DSGVO ↗Redaktioneller Quellenstand: 02.10.2026. Die Grundlagen ersetzen keine Prüfung Ihrer konkreten Situation.
Nennen Sie Anbieter, Produkt, Datenarten und den vorgesehenen Produktivbeginn.
Rollenprüfung, Vertragskommentar und technische Zusatzprüfung werden abgegrenzt.
Sie erhalten priorisierte Lücken, Rückfragen und konkrete Änderungspunkte.
Änderungen und verbleibende Aufgaben werden im vereinbarten Umfang dokumentiert.
Beginnen Sie mit einer kurzen Beschreibung. Senden Sie im Erstkontakt keine Passwörter, vollständigen Akten oder ungeschützten sensiblen Dokumente. Den passenden Übertragungsweg stimmen wir anschließend ab.
Rollenkomplexität, Umfang der Anlagen, Unterauftragnehmer und internationale Datenflüsse bestimmen den Aufwand. Ein einzelner AVV ist anders zu bearbeiten als ein Anbieterportfolio. Technische Audits, Transferprüfung und fortlaufende Kontrolle sind nicht automatisch enthalten. Honorar, konkret befugter Leistungserbringer und vereinbartes Ergebnis werden vor Beginn benannt; eine vollständige Absicherung sämtlicher Datenschutzrisiken wird nicht zugesagt.
Juristische und steuerberatende Tätigkeiten setzen entsprechend befugte Fachleute voraus. Vor der Beauftragung werden Zuständigkeit und Leistungserbringer benannt. Die erste Anfrage ist noch keine Mandatsübernahme.
Wie wir Leistungen und Vergütung abstimmenNein. Die tatsächliche Rolle ist zuerst zu prüfen. Eigenständig Verantwortliche oder andere Gestaltungen dürfen nicht nur wegen eines Datenkontakts automatisch wie Auftragsverarbeiter behandelt werden.
Vertrag und Anlagen müssen zur Leistung passen. Unterschrift oder elektronische Annahme allein klären keine falsche Rollenverteilung, fehlenden Datenangaben oder nicht umgesetzten Maßnahmen.
Eine technische Wirksamkeitsprüfung ist ein eigener Auftrag. Die Dokumentenprüfung kann offene Beschreibungen markieren, bestätigt aber nicht automatisch, dass alle behaupteten Maßnahmen tatsächlich funktionieren.
Die konkrete zulässige Gestaltung und vereinbarte Voraussetzungen werden geprüft. Wichtig sind nachvollziehbare Regelungen und der tatsächliche Einsatz. Eine allgemeine Verbotsannahme hilft nicht bei jeder Dienstleistung.
Das darf nicht unterstellt werden. Datenstandorte, Empfänger und Übermittlungsgrundlagen können zusätzliche Prüfung erfordern. Ein Vertrag zur Auftragsverarbeitung beantwortet diese Fragen nicht zwingend vollständig.
Version, Mitteilung und Änderungsregeln sollten dokumentiert sein. Wir prüfen eine konkret vorgelegte Fassung. Eine automatische Überwachung sämtlicher späterer Anbieteränderungen muss gesondert vereinbart werden.
DER NÄCHSTE SCHRITT
Was ist passiert, welches Ergebnis wünschen Sie und steht eine Frist an?
Wir klären den passenden Leistungsumfang vor Ihrer Entscheidung.
