AVV prüfen bedeutet mehr, als nur festzustellen, ob ein Auftragsbearbeitungsvertrag vorhanden ist. Der Vertrag muss zeigen, wie ein Dienstleister Personendaten im Auftrag deines Unternehmens bearbeitet. Entscheidend ist, ob Rollen, Leistungen, Datenflüsse und Kontrollrechte zur tatsächlichen Zusammenarbeit passen.
Dieser Leitfaden führt dich durch zwölf Prüfpunkte. Die Liste steht vollständig im Artikel und lässt sich direkt neben dem Vertrag abarbeiten. Sie ersetzt keine rechtliche Beurteilung des Einzelfalls, schafft aber eine belastbare Struktur für den ersten Review.
Zuerst klären: Liegt überhaupt Auftragsbearbeitung vor?
Ein Auftragsbearbeitungsvertrag ist nur der richtige Vertragstyp, wenn der Anbieter Personendaten im Auftrag und nach Weisung verarbeitet. Entscheidet der Anbieter selbst über Zwecke und wesentliche Mittel, kann eine eigene oder gemeinsame Verantwortlichkeit vorliegen. Prüfe deshalb die tatsächliche Leistung, nicht nur die Rollenbezeichnung in der Vorlage.
Für Schweizer Verhältnisse sind vor allem Art. 9 DSG, die Meldekette nach Art. 24 DSG und die Regeln zur Auslandbekanntgabe nach Art. 16 und 17 DSG relevant.
Die 12 Punkte für deine AVV-Prüfung
Parteien und Rollen: Sind Verantwortlicher, Auftragsverarbeiter und weitere Beteiligte vollständig und richtig bezeichnet? Passt die Zuordnung zur tatsächlichen Leistung?
Gegenstand und Dauer: Beschreibt der Vertrag verständlich, welche Dienstleistung erbracht wird und wie lange die Bearbeitung dauert? Erfasst er auch Test-, Support- und Beendigungsphasen?
Zwecke und Weisungen: Sind die zulässigen Zwecke begrenzt und Weisungen nachvollziehbar geregelt? Achte auf Klauseln, die dem Anbieter eine weitergehende eigene Nutzung erlauben.
Daten und betroffene Personen: Sind Datenarten, besondere Kategorien und betroffene Personengruppen konkret genug beschrieben? Pauschale Formulierungen erschweren die Risiko- und TOM-Prüfung.
Vertraulichkeit: Müssen alle Personen mit Datenzugriff zur Vertraulichkeit verpflichtet sein? Reicht die Regel auch für Support, externe Fachpersonen und andere eingesetzte Stellen?
Technische und organisatorische Massnahmen: Passen die TOM zum Risiko, zur Datenart und zur angebotenen Leistung? Prüfe Zugriffskontrollen, Verschlüsselung, Protokollierung, Wiederherstellung und das Verfahren für Änderungen.
Unterauftragnehmer: Sind bestehende Unterauftragnehmer und ihre Leistungen transparent? Bei allgemeiner Genehmigung brauchst du eine Information über Änderungen und eine echte Möglichkeit, darauf zu reagieren.
Datenstandorte und Transfers: Wo werden Inhalte gespeichert, verarbeitet, gesichert und im Support eingesehen? Prüfe Rechtsgrundlage, Garantien und konkrete Empfänger für jeden relevanten Drittlandbezug.
Betroffenenrechte und Unterstützung: Muss der Anbieter bei Auskunft, Berichtigung, Löschung, Widerspruch oder Datenherausgabe helfen? Fristen, Ansprechpartner und Kosten sollten praktisch handhabbar sein.
Datenschutzverletzungen: Meldet der Anbieter einen Vorfall so rasch als möglich und liefert er die Informationen, die du für deine eigene Bewertung und Meldung brauchst? Eine starre 72-Stunden-Frist für den Anbieter kann zu spät sein.
Rückgabe, Löschung und Backups: Was geschieht bei Vertragsende mit Produktivdaten, Kopien, Protokollen und Sicherungen? Ausnahmen für gesetzliche Pflichten müssen begrenzt und nachvollziehbar sein.
Nachweise, Audits und Änderungen: Welche Berichte, Zertifikate und Prüfungen darfst du verlangen? Können Sicherheitsanhänge, Unterauftragnehmer oder Leistungen einseitig geändert werden, und welches Recht hast du dann?
Drei Querschnittsfragen, die oft übersehen werden
Die zwölf Punkte hängen zusammen. Ein guter Sicherheitsanhang hilft wenig, wenn die Leistungsbeschreibung nicht erkennen lässt, welche Daten in den Support gelangen. Eine Unterauftragnehmerliste ist unvollständig, wenn Standorte und Aufgaben fehlen. Und ein Löschversprechen bleibt unklar, wenn Backups nicht erwähnt werden.
Bei Anwaltskanzleien kommt das Berufsgeheimnis hinzu. Eine datenschutzrechtlich zulässige Auftragsbearbeitung beantwortet deshalb noch nicht, ob Mandatsdaten dem Anbieter offengelegt werden dürfen.
Haftung und Rangfolge gehören ebenfalls in den Gesamtvertrag. Prüfe, ob der Auftragsbearbeitungsvertrag, die Leistungsbedingungen und weitere Anlagen widersprüchliche Regeln enthalten und welches Dokument im Konfliktfall vorgeht.
Typische Findings und was daraus folgen sollte
Der Vertragsgegenstand bleibt abstrakt
Formulierungen wie "Erbringung der vereinbarten Leistungen" sagen wenig über den tatsächlichen Datenfluss. Das Finding sollte deshalb nicht nur auf einen unklaren Zweck hinweisen, sondern die fehlenden Angaben benennen: eingesetzte Funktionen, Datenarten, Nutzergruppen, Supportzugriffe sowie Beginn und Ende der Bearbeitung. Das Verhandlungsziel ist eine Leistungsbeschreibung, gegen die sich Weisungen und TOM tatsächlich prüfen lassen.
Die Unterauftragnehmerregel hat keine Konsequenz
Viele Verträge versprechen eine Information über neue Unterauftragnehmer, lassen aber offen, was bei einem begründeten Einwand geschieht. Ein brauchbares Ergebnis klärt Informationsfrist, notwendige Angaben, Ansprechpartner und mögliche Reaktionen. Je nach Vertrag können zusätzliche Schutzmassnahmen, der Verzicht auf den neuen Anbieter oder ein Beendigungsrecht in Betracht kommen.
Vorfall, Löschung oder Audit bleibt praktisch unbrauchbar
Eine Klausel kann formal vorhanden und trotzdem schwer nutzbar sein. Beispiele sind Vorfallsmeldungen ohne Mindestinformationen, Löschregeln ohne Backups oder Auditrechte, die durch unklare Kosten und lange Vorlaufzeiten leer laufen. Der Review sollte deshalb immer prüfen, ob der Mechanismus im Ernstfall rechtzeitig und mit den benötigten Nachweisen funktioniert.
Der Hauptvertrag widerspricht dem AVV
Haftungsgrenzen, Änderungsrechte, Kündigungsfolgen und Gerichtsstand stehen oft ausserhalb des AVV. Ein isolierter Review übersieht dann, dass der Hauptvertrag eine Zusage aus der Datenschutzanlage relativiert. Das Ergebnis muss den Widerspruch, die betroffenen Dokumente und eine klare Rangfolgeregel nennen.
So arbeitest du die Prüfliste effizient ab
Beginne mit Leistungsbeschreibung, Datenfluss und Rollen. Erst wenn diese Grundlage stimmt, lassen sich TOM, Unterauftragnehmer und Transfers sinnvoll beurteilen. Markiere danach jeden der zwölf Punkte als geklärt, offen oder verhandlungsbedürftig und verknüpfe die Bewertung mit der konkreten Klausel oder Anlage.
Bei offenen Punkten sollte dein Ergebnis nicht nur "fehlt" lauten. Halte fest, welches Risiko entsteht und welche Änderung du brauchst. So wird aus der Prüfung eine verhandelbare Aufgabenliste statt einer Sammlung allgemeiner Bedenken.
Ein belastbarer Review endet mit einer kurzen Entscheidungsübersicht: Welche Punkte müssen vor der Unterschrift gelöst sein, welche können über eine Nebenabrede geschlossen werden und welche bleiben als bewusst akzeptiertes Restrisiko bestehen? Zu jedem Punkt gehören Fundstelle, Verantwortlichkeit und nächster Schritt. Damit kann auch eine zweite prüfende Person nachvollziehen, warum der Vertrag freigegeben oder zurück in die Verhandlung gegeben wurde.
Wie KI beim AVV-Review helfen kann
KI eignet sich gut, um lange Vertragssets zu strukturieren, Begriffe und Verweise zu finden, Klauseln den zwölf Prüfpunkten zuzuordnen und Abweichungen zu einem internen Standard sichtbar zu machen. Sie kann auch einen ersten Formulierungsvorschlag erstellen.
Ein sinnvoller Auftrag lautet etwa: "Prüfe den Vertrag anhand der folgenden zwölf Punkte. Nenne zu jedem Punkt die einschlägige Klausel, den aktuellen Vertragsinhalt, eine offene Frage und einen Änderungsvorschlag. Triff keine Annahme, wenn eine Anlage fehlt."
Die Ausgabe bleibt ein Arbeitsprodukt. Kontrolliere Fundstelle, Vollständigkeit und rechtliche Einordnung selbst. Mit CASUS Risk Review kannst du den Vertrag strukturiert analysieren. Konkrete Änderungen lassen sich über CASUS Chat Actions weiterbearbeiten. Die technischen Grundlagen beschreibt die Seite Sicherheit.
Wenn du den Ablauf mit einem freigegebenen Dokument testen willst, kannst du CASUS kostenlos testen.
FAQ
Wann brauche ich einen Auftragsbearbeitungsvertrag?
Wenn ein Dienstleister Personendaten in deinem Auftrag verarbeitet und nicht selbst über den Zweck entscheidet, ist regelmässig eine Vereinbarung zur Auftragsbearbeitung erforderlich. Die Rollen ergeben sich aus der tatsächlichen Tätigkeit.
Reicht der Standard-AVV eines Anbieters aus?
Er kann ein Ausgangspunkt sein. Prüfe trotzdem, ob Leistungsumfang, Datenarten, TOM, Unterauftragnehmer, Transfers, Vorfallsmeldung, Löschung und Auditrechte zur konkreten Nutzung passen.
Muss jeder Unterauftragnehmer einzeln genehmigt werden?
Nicht zwingend. Eine allgemeine Genehmigung kann möglich sein, wenn Änderungen angekündigt werden und du eine wirksame Reaktions- oder Einspruchsmöglichkeit hast.
Darf die Vorfallsmeldung des Anbieters 72 Stunden dauern?
Die gesetzliche 72-Stunden-Frist betrifft unter der DSGVO die mögliche Meldung des Verantwortlichen an die Behörde. Der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. In der Schweiz verlangt das DSG eine Meldung so rasch als möglich.
Kann KI den AVV abschliessend freigeben?
Nein. KI kann Klauseln finden, ordnen und Änderungsvorschläge vorbereiten. Die rechtliche und geschäftliche Freigabe verlangt die Prüfung des vollständigen Vertrags, der tatsächlichen Verarbeitung und aller Anlagen.
