AVV prüfen bedeutet mehr, als nur festzustellen, ob ein Auftragsverarbeitungsvertrag vorhanden ist. Der Vertrag muss zeigen, wie ein Dienstleister personenbezogene Daten im Auftrag deines Unternehmens verarbeitet. Entscheidend ist, ob Rollen, Leistungen, Datenflüsse und Kontrollrechte zur tatsächlichen Zusammenarbeit passen.
Dieser Leitfaden führt dich durch zwölf Prüfpunkte. Die Liste steht vollständig im Artikel und lässt sich direkt neben dem Vertrag abarbeiten. Sie ersetzt keine rechtliche Beurteilung des Einzelfalls, schafft aber eine belastbare Struktur für den ersten Review.
Zuerst klären: Liegt überhaupt Auftragsverarbeitung vor?
Ein Auftragsverarbeitungsvertrag ist nur der richtige Vertragstyp, wenn der Anbieter personenbezogene Daten im Auftrag und nach Weisung verarbeitet. Entscheidet der Anbieter selbst über Zwecke und wesentliche Mittel, kann eine eigene oder gemeinsame Verantwortlichkeit vorliegen. Prüfe deshalb die tatsächliche Leistung, nicht nur die Rollenbezeichnung in der Vorlage.
Die gesetzliche Grundlage bildet insbesondere Art. 28 DSGVO. Für Datenschutzverletzungen trennt Art. 33 DSGVO die unverzügliche Meldung des Auftragsverarbeiters an den Verantwortlichen von dessen möglicher 72-Stunden-Frist gegenüber der Aufsichtsbehörde.
Die 12 Punkte für deine AVV-Prüfung
Parteien und Rollen: Sind Verantwortlicher, Auftragsverarbeiter und weitere Beteiligte vollständig und richtig bezeichnet? Passt die Zuordnung zur tatsächlichen Leistung?
Gegenstand und Dauer: Beschreibt der Vertrag verständlich, welche Dienstleistung erbracht wird und wie lange die Bearbeitung dauert? Erfasst er auch Test-, Support- und Beendigungsphasen?
Zwecke und Weisungen: Sind die zulässigen Zwecke begrenzt und Weisungen nachvollziehbar geregelt? Achte auf Klauseln, die dem Anbieter eine weitergehende eigene Nutzung erlauben.
Daten und betroffene Personen: Sind Datenarten, besondere Kategorien und betroffene Personengruppen konkret genug beschrieben? Pauschale Formulierungen erschweren die Risiko- und TOM-Prüfung.
Vertraulichkeit: Müssen alle Personen mit Datenzugriff zur Vertraulichkeit verpflichtet sein? Reicht die Regel auch für Support, externe Fachpersonen und andere eingesetzte Stellen?
Technische und organisatorische Maßnahmen: Passen die TOM zum Risiko, zur Datenart und zur angebotenen Leistung? Prüfe Zugriffskontrollen, Verschlüsselung, Protokollierung, Wiederherstellung und das Verfahren für Änderungen.
Unterauftragnehmer: Sind bestehende Unterauftragnehmer und ihre Leistungen transparent? Bei allgemeiner Genehmigung brauchst du eine Information über Änderungen und eine echte Möglichkeit, darauf zu reagieren.
Datenstandorte und Transfers: Wo werden Inhalte gespeichert, verarbeitet, gesichert und im Support eingesehen? Prüfe Rechtsgrundlage, Garantien und konkrete Empfänger für jeden relevanten Drittlandbezug.
Betroffenenrechte und Unterstützung: Muss der Anbieter bei Auskunft, Berichtigung, Löschung, Widerspruch oder Datenherausgabe helfen? Fristen, Ansprechpartner und Kosten sollten praktisch handhabbar sein.
Datenschutzverletzungen: Meldet der Anbieter einen Vorfall unverzüglich und liefert er die Informationen, die du für deine eigene Bewertung und Meldung brauchst? Eine starre 72-Stunden-Frist für den Anbieter kann zu spät sein.
Rückgabe, Löschung und Backups: Was geschieht bei Vertragsende mit Produktivdaten, Kopien, Protokollen und Sicherungen? Ausnahmen für gesetzliche Pflichten müssen begrenzt und nachvollziehbar sein.
Nachweise, Audits und Änderungen: Welche Berichte, Zertifikate und Prüfungen darfst du verlangen? Können Sicherheitsanhänge, Unterauftragnehmer oder Leistungen einseitig geändert werden, und welches Recht hast du dann?
Drei Querschnittsfragen, die oft übersehen werden
Die zwölf Punkte hängen zusammen. Ein guter Sicherheitsanhang hilft wenig, wenn die Leistungsbeschreibung nicht erkennen lässt, welche Daten in den Support gelangen. Eine Unterauftragnehmerliste ist unvollständig, wenn Standorte und Aufgaben fehlen. Und ein Löschversprechen bleibt unklar, wenn Backups nicht erwähnt werden.
Für deutsche Kanzleien ist neben der DSGVO insbesondere § 43e BRAO zu prüfen. Auswahl, Zugriff, Verschwiegenheitsbindung und Auslandssachverhalte gehören deshalb in dieselbe Prüfung.
Haftung und Rangfolge gehören ebenfalls in den Gesamtvertrag. Prüfe, ob der Auftragsverarbeitungsvertrag, die Leistungsbedingungen und weitere Anlagen widersprüchliche Regeln enthalten und welches Dokument im Konfliktfall vorgeht.
Typische Findings und was daraus folgen sollte
Der Vertragsgegenstand bleibt abstrakt
Formulierungen wie "Erbringung der vereinbarten Leistungen" sagen wenig über den tatsächlichen Datenfluss. Das Finding sollte deshalb nicht nur auf einen unklaren Zweck hinweisen, sondern die fehlenden Angaben benennen: eingesetzte Funktionen, Datenarten, Nutzergruppen, Supportzugriffe sowie Beginn und Ende der Bearbeitung. Das Verhandlungsziel ist eine Leistungsbeschreibung, gegen die sich Weisungen und TOM tatsächlich prüfen lassen.
Die Unterauftragnehmerregel hat keine Konsequenz
Viele Verträge versprechen eine Information über neue Unterauftragnehmer, lassen aber offen, was bei einem begründeten Einwand geschieht. Ein brauchbares Ergebnis klärt Informationsfrist, notwendige Angaben, Ansprechpartner und mögliche Reaktionen. Je nach Vertrag können zusätzliche Schutzmaßnahmen, der Verzicht auf den neuen Anbieter oder ein Beendigungsrecht in Betracht kommen.
Vorfall, Löschung oder Audit bleibt praktisch unbrauchbar
Eine Klausel kann formal vorhanden und trotzdem schwer nutzbar sein. Beispiele sind Vorfallsmeldungen ohne Mindestinformationen, Löschregeln ohne Backups oder Auditrechte, die durch unklare Kosten und lange Vorlaufzeiten leer laufen. Der Review sollte deshalb immer prüfen, ob der Mechanismus im Ernstfall rechtzeitig und mit den benötigten Nachweisen funktioniert.
Der Hauptvertrag widerspricht dem AVV
Haftungsgrenzen, Änderungsrechte, Kündigungsfolgen und Gerichtsstand stehen oft außerhalb des AVV. Ein isolierter Review übersieht dann, dass der Hauptvertrag eine Zusage aus der Datenschutzanlage relativiert. Das Ergebnis muss den Widerspruch, die betroffenen Dokumente und eine klare Rangfolgeregel nennen.
So arbeitest du die Prüfliste effizient ab
Beginne mit Leistungsbeschreibung, Datenfluss und Rollen. Erst wenn diese Grundlage stimmt, lassen sich TOM, Unterauftragnehmer und Transfers sinnvoll beurteilen. Markiere danach jeden der zwölf Punkte als geklärt, offen oder verhandlungsbedürftig und verknüpfe die Bewertung mit der konkreten Klausel oder Anlage.
Bei offenen Punkten sollte dein Ergebnis nicht nur "fehlt" lauten. Halte fest, welches Risiko entsteht und welche Änderung du brauchst. So wird aus der Prüfung eine verhandelbare Aufgabenliste statt einer Sammlung allgemeiner Bedenken.
Ein belastbarer Review endet mit einer kurzen Entscheidungsübersicht: Welche Punkte müssen vor der Unterschrift gelöst sein, welche können über eine Nebenabrede geschlossen werden und welche bleiben als bewusst akzeptiertes Restrisiko bestehen? Zu jedem Punkt gehören Fundstelle, Verantwortlichkeit und nächster Schritt. Damit kann auch eine zweite prüfende Person nachvollziehen, warum der Vertrag freigegeben oder zurück in die Verhandlung gegeben wurde.
Wie KI beim AVV-Review helfen kann
KI eignet sich gut, um lange Vertragssets zu strukturieren, Begriffe und Verweise zu finden, Klauseln den zwölf Prüfpunkten zuzuordnen und Abweichungen zu einem internen Standard sichtbar zu machen. Sie kann auch einen ersten Formulierungsvorschlag erstellen.
Ein sinnvoller Auftrag lautet etwa: "Prüfe den Vertrag anhand der folgenden zwölf Punkte. Nenne zu jedem Punkt die einschlägige Klausel, den aktuellen Vertragsinhalt, eine offene Frage und einen Änderungsvorschlag. Triff keine Annahme, wenn eine Anlage fehlt."
Die Ausgabe bleibt ein Arbeitsprodukt. Kontrolliere Fundstelle, Vollständigkeit und rechtliche Einordnung selbst. Mit CASUS Risk Review kannst du den Vertrag strukturiert analysieren. Konkrete Änderungen lassen sich über CASUS Chat Actions weiterbearbeiten. Die technischen Grundlagen beschreibt die Seite Sicherheit.
Wenn du den Ablauf mit einem freigegebenen Dokument testen willst, kannst du CASUS kostenlos testen.
FAQ
Wann brauche ich einen Auftragsverarbeitungsvertrag?
Wenn ein Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet und nicht selbst über den Zweck entscheidet, ist regelmäßig eine Vereinbarung zur Auftragsverarbeitung erforderlich. Die Rollen ergeben sich aus der tatsächlichen Tätigkeit.
Reicht der Standard-AVV eines Anbieters aus?
Er kann ein Ausgangspunkt sein. Prüfe trotzdem, ob Leistungsumfang, Datenarten, TOM, Unterauftragnehmer, Transfers, Vorfallsmeldung, Löschung und Auditrechte zur konkreten Nutzung passen.
Muss jeder Unterauftragnehmer einzeln genehmigt werden?
Nicht zwingend. Eine allgemeine Genehmigung kann möglich sein, wenn Änderungen angekündigt werden und du eine wirksame Reaktions- oder Einspruchsmöglichkeit hast.
Darf die Vorfallsmeldung des Anbieters 72 Stunden dauern?
Die gesetzliche 72-Stunden-Frist betrifft unter der DSGVO die mögliche Meldung des Verantwortlichen an die Behörde. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. In der Schweiz verlangt das DSG eine Meldung so rasch als möglich.
Kann KI den AVV abschließend freigeben?
Nein. KI kann Klauseln finden, ordnen und Änderungsvorschläge vorbereiten. Die rechtliche und geschäftliche Freigabe verlangt die Prüfung des vollständigen Vertrags, der tatsächlichen Verarbeitung und aller Anlagen.
