Ihr Hosting läuft in einer fremden Cloud, der Newsletter geht über ein externes Tool, die Löhne rechnet ein Dienstleister ab, das CRM liegt beim Anbieter. In all diesen Fällen lassen Sie einen Dritten personenbezogene Daten Ihrer Kunden, Mitarbeiter oder Interessenten verarbeiten — das ist Auftragsverarbeitung. Und dabei gilt ein unbequemer Satz: Datenschutzrechtlich bleiben Sie der Verantwortliche. Fehlt der vorgeschriebene Auftragsverarbeitungsvertrag oder taugt er nichts, ist schon das ein eigener Verstoß — und für die Fehler Ihres Dienstleisters können Sie mit einstehen. Dieser Beitrag zeigt Ihnen, wann Auftragsverarbeitung vorliegt, was in den Vertrag gehört, wo die typischen Fallen liegen — und wie Sie Ihre Dienstleister- und Kundenverträge so aufstellen, dass sie tragen.
Ein neues Tool wird eingeführt, ein Cloud-Speicher gebucht, der Newsletter-Versand ausgelagert. Personenbezogene Daten Ihrer Kunden landen beim Anbieter — und die Frage, ob dafür ein Auftragsverarbeitungsvertrag geschlossen wurde, stellt oft niemand. Fehlt er, ist die Auslagerung von Anfang an mit einem Verstoß behaftet, der Ihnen als Verantwortlichem zugerechnet wird.
Sie hosten, betreiben ein Tool, rechnen ab oder erbringen eine IT-Leistung — und verarbeiten dabei Daten Ihrer Auftraggeber. Dann sind Sie Auftragsverarbeiter, und Ihre Kunden verlangen zu Recht einen belastbaren Vertrag. Ein sauberes Vertragsmuster ist hier nicht Bürokratie, sondern Voraussetzung dafür, überhaupt beauftragt zu werden — und Ihre eigene Haftungsgrenze.
Ihr Anbieter nutzt seinerseits eine fremde Cloud, ein Rechenzentrum, einen Support-Dienstleister im Ausland. Diese Kette ist erlaubt — aber nur mit Ihrer Genehmigung und nur, wenn dem Subunternehmer dieselben Pflichten auferlegt werden. Wer die Kette nicht kennt und nicht geregelt hat, verliert die Kontrolle über die Frage, wo seine Daten am Ende liegen.
Der Ausgangspunkt sind zwei Rollen, die die Verordnung sauber trennt. Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet (Art. 4 Nr. 7 DSGVO). Auftragsverarbeiter ist demgegenüber, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Der entscheidende Unterschied liegt in der Entscheidungsmacht: Wer das „Warum" und das „Wie" bestimmt, ist Verantwortlicher; wer nur ausführt, was ihm der Verantwortliche vorgibt, ist Auftragsverarbeiter.
Das erklärt, warum die klassischen Auslagerungen unter diese Figur fallen: Der Hoster speichert Ihre Daten, der Cloud-Anbieter stellt die Infrastruktur, das Newsletter-Tool versendet nach Ihren Vorgaben, das Lohnbüro rechnet nach Ihren Zahlen ab. In all diesen Fällen entscheiden nicht die Dienstleister, warum und für wen die Daten verarbeitet werden — das entscheiden Sie. Sie geben die Verarbeitung aus der Hand, nicht aber die Verantwortung dafür. Genau deshalb bindet die Verordnung den Auftragsverarbeiter eng an Ihre Weisung — und macht Sie zugleich für die richtige Auswahl und Vertragsgestaltung verantwortlich.
Das Gegenstück zur Auftragsverarbeitung ist die Weisungsgebundenheit auf der ausführenden Seite: Der Auftragsverarbeiter und jede ihm oder Ihnen unterstellte Person mit Datenzugang dürfen die Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten, soweit sie nicht gesetzlich zur Verarbeitung verpflichtet sind (Art. 29 DSGVO). Dieser Grundsatz ist das Scharnier des ganzen Modells: Der Dienstleister soll das tun, was Sie ihm auftragen — nicht mehr und nichts anderes.
Auftragsverarbeitung darf nicht auf Zuruf laufen. Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments, der den Auftragsverarbeiter gegenüber dem Verantwortlichen bindet (Art. 28 Abs. 3 DSGVO). Dieser Vertrag ist keine bloße Empfehlung, sondern gesetzlich zwingend — und er muss einen bestimmten Rahmen festlegen: Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Schriftlich muss er sein, wobei die elektronische Form ausdrücklich genügt (Art. 28 Abs. 9 DSGVO).
Hier liegt die erste große Falle: kein oder ein unzureichender Vertrag. Sie öffnet sich fast immer aus Selbstverständlichkeit — ein Tool wird schnell gebucht, die Nutzungsbedingungen abgehakt, und ob darin überhaupt die Pflichtinhalte des Art. 28 Abs. 3 DSGVO enthalten sind, prüft niemand. Ein fehlender oder lückenhafter Auftragsverarbeitungsvertrag ist aber kein Kavaliersdelikt, sondern ein eigenständiger Verstoß gegen die Verordnung — ganz unabhängig davon, ob mit den Daten je etwas passiert. Und weil die Rechenschaftspflicht auf Ihnen als Verantwortlichem liegt, müssen im Zweifel Sie belegen, dass ein wirksamer Vertrag besteht.
Praxis Legen Sie ein Verzeichnis Ihrer Dienstleister an, die personenbezogene Daten für Sie verarbeiten — Hosting, Cloud, Newsletter, Lohn, CRM, Support. Prüfen Sie zu jedem: Gibt es einen Auftragsverarbeitungsvertrag, und deckt er wirklich den Mindestinhalt des Art. 28 Abs. 3 DSGVO ab? Ein vom Anbieter beigelegtes „Data Processing Agreement" ist ein guter Ausgangspunkt, aber kein Freibrief — es kann Lücken enthalten, die im Ernstfall auf Sie zurückfallen.
Der Vertrag muss insbesondere vorsehen, dass der Auftragsverarbeiter die folgenden Pflichten übernimmt (Art. 28 Abs. 3 lit. a–h DSGVO). Diese acht Punkte sind der Kern, an dem sich jeder Auftragsverarbeitungsvertrag messen lassen muss:
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen — auch, was die Übermittlung in ein Drittland betrifft —, sofern er nicht gesetzlich zu etwas anderem verpflichtet ist; in diesem Fall muss er Sie vorher darüber informieren.
Er gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Er ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung — die Datensicherheit ist also ausdrücklich Vertragsgegenstand.
Er hält die Bedingungen der Absätze 2 und 4 für die Einschaltung weiterer Auftragsverarbeiter ein — dazu unten mehr.
Er unterstützt Sie nach Möglichkeit mit geeigneten Maßnahmen dabei, Anträgen der Betroffenen auf Wahrnehmung ihrer Rechte (Auskunft, Löschung, Widerspruch und weitere Rechte aus Kapitel III) nachzukommen.
Er unterstützt Sie bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO — also unter anderem Datensicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzung.
Nach Abschluss der Leistung löscht oder übergibt er alle Daten nach Ihrer Wahl und löscht vorhandene Kopien, sofern nicht eine gesetzliche Speicherpflicht besteht. Die Wahl zwischen Löschung und Rückgabe liegt bei Ihnen, nicht beim Dienstleister.
Er stellt Ihnen alle Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch Sie oder einen von Ihnen beauftragten Prüfer und trägt dazu bei.
Ergänzend verpflichtet die Verordnung den Auftragsverarbeiter, Sie unverzüglich zu informieren, wenn er der Auffassung ist, dass eine Ihrer Weisungen gegen die Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Ein Vertrag, dem einer dieser Bausteine fehlt, erfüllt den gesetzlichen Mindestinhalt nicht — und genügt der Pflicht aus Abs. 3 damit nicht.
Bevor der Vertrag überhaupt in Betracht kommt, steht eine Auswahlentscheidung — und die ist Ihre. Der Verantwortliche arbeitet nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der Verordnung erfolgt und die Rechte der Betroffenen geschützt sind (Art. 28 Abs. 1 DSGVO). Sie dürfen sich Ihren Dienstleister also nicht blind aussuchen: Wer offenkundig keine belastbaren Sicherheitsvorkehrungen hat, ist als Auftragsverarbeiter ungeeignet — und die Wahl fällt auf Sie zurück.
Diese Auswahlpflicht klingt abstrakt, hat aber einen greifbaren Kern: Fragen Sie vor der Beauftragung nach dem Sicherheitskonzept, nach Zertifizierungen oder Verhaltensregeln, nach dem Ort der Verarbeitung und nach der Subunternehmer-Kette. Was Sie hier prüfen und festhalten, ist zugleich ein Baustein Ihrer Rechenschaft: Sie können später belegen, dass Sie den Dienstleister nicht ins Blaue hinein, sondern auf einer nachvollziehbaren Grundlage ausgewählt haben.
Kaum ein Dienstleister arbeitet heute allein. Der Hoster nutzt ein fremdes Rechenzentrum, das Tool eine fremde Cloud, der Support sitzt bei einem Dritten. Diese Ketten sind erlaubt — aber nicht ohne Ihr Zutun. Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch (Art. 28 Abs. 2 Satz 1 DSGVO). Sie können die Genehmigung also einzeln für jeden Subunternehmer erteilen oder allgemein — dann aber muss der Dienstleister Sie stets über jede beabsichtigte Änderung informieren, damit Sie Einspruch erheben können (Art. 28 Abs. 2 Satz 2 DSGVO).
Genau hier entsteht die zweite typische Falle: der Subunternehmer ohne Genehmigung. Sie fällt oft nicht auf, weil sie sich hinter der Kette verbirgt — der Anbieter wechselt sein Rechenzentrum, zieht einen neuen Cloud-Dienst hinzu oder verlagert den Support, ohne dass Sie es erfahren. Wird ein weiterer Auftragsverarbeiter eingeschaltet, sind ihm im Wege eines Vertrags dieselben Datenschutzpflichten aufzuerlegen, die zwischen Ihnen und Ihrem Dienstleister gelten (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt der Subunternehmer seinen Pflichten nicht nach, haftet Ihr unmittelbarer Dienstleister Ihnen gegenüber für dessen Einhaltung (Art. 28 Abs. 4 Satz 2 DSGVO). Für Sie heißt das: Lassen Sie sich die Subunternehmer-Regelung im Vertrag ausdrücklich einräumen — mit Informations- und Einspruchsrecht — und verlangen Sie eine aktuelle Liste der eingesetzten Subunternehmer.
Die Haftungsverteilung folgt den Rollen. Grundsätzlich hat jede Person, der durch einen Verstoß gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter (Art. 82 Abs. 1 DSGVO). Der Verantwortliche haftet dabei für den Schaden aus einer nicht verordnungskonformen Verarbeitung; der Auftragsverarbeiter haftet nur dann, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder gegen die rechtmäßigen Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 DSGVO). Sind mehrere an derselben Verarbeitung beteiligt und verantwortlich, haftet jeder gegenüber der betroffenen Person für den gesamten Schaden, damit diese wirksam entschädigt wird (Art. 82 Abs. 4 DSGVO) — im Innenverhältnis wird anschließend nach Verantwortungsanteilen ausgeglichen.
Für Sie als Verantwortlichen bedeutet das: Die Auslagerung der Verarbeitung ist keine Auslagerung der Haftung. Nach außen können Betroffene sich an Sie halten, und ob Sie sich intern beim Dienstleister schadlos halten können, hängt maßgeblich davon ab, was im Auftragsverarbeitungsvertrag steht. Ein sauberer Vertrag mit klarer Weisungs-, Melde- und Haftungsregelung ist damit nicht nur eine Pflicht aus Art. 28, sondern Ihr wichtigstes Instrument, um im Schadensfall nicht allein dazustehen.
Praxis Die gefährlichste Konstellation ist der Dienstleister, der eigenmächtig wird: Verarbeitet ein Auftragsverarbeiter unter Verstoß gegen die Verordnung die Daten für eigene Zwecke oder mit eigenen Mitteln, gilt er insoweit selbst als Verantwortlicher (Art. 28 Abs. 10 DSGVO) — mit der vollen Haftung, die daran hängt. Für Ihre Verträge folgt daraus: Die Grenzen der erlaubten Verarbeitung müssen so klar gezogen sein, dass jede Eigenmacht als solche erkennbar wird — sowohl wenn Sie Verantwortlicher sind als auch, wenn Sie selbst Auftragsverarbeiter sind und diese Grenze nicht überschreiten wollen.
Nicht jede Weitergabe von Daten an einen Dritten ist Auftragsverarbeitung — und die richtige Einordnung entscheidet darüber, welcher Vertrag der richtige ist. Drei Konstellationen sind zu unterscheiden. Bei der Auftragsverarbeitung entscheidet allein der Verantwortliche über Zwecke und Mittel, der Dienstleister führt weisungsgebunden aus (Art. 4 Nr. 8, Art. 28, Art. 29 DSGVO) — hier gehört der Auftragsverarbeitungsvertrag hin.
Bei der gemeinsamen Verantwortlichkeit legen dagegen zwei oder mehr Stellen die Zwecke und Mittel gemeinsam fest; dann sind sie gemeinsam Verantwortliche und müssen in einer Vereinbarung regeln, wer welche Pflicht erfüllt (Art. 26 Abs. 1 DSGVO). Das ist kein Auftragsverarbeitungsvertrag, sondern eine andere Vertragsart — und die Betroffenen können ihre Rechte hier gegenüber jedem der Verantwortlichen geltend machen (Art. 26 Abs. 3 DSGVO). Die dritte Konstellation ist die Übermittlung an einen eigenverantwortlichen Dritten: Wer die Daten für eigene Zwecke und mit eigener Entscheidungsmacht erhält, ist weder Ihr Auftragsverarbeiter noch gemeinsam mit Ihnen verantwortlich — er ist ein eigener Verantwortlicher, und die Weitergabe braucht eine eigene Rechtsgrundlage.
Die Weichenstellung liegt immer bei derselben Frage: Wer entscheidet über Zweck und Mittel? Wer nur ausführt, ist Auftragsverarbeiter; wer mitentscheidet, ist gemeinsam Verantwortlicher; wer eigenständig entscheidet, ist ein eigener Verantwortlicher. Wird diese Einordnung falsch getroffen, ist der geschlossene Vertrag der falsche — und der richtige fehlt.
Listen Sie systematisch alle Dienstleister auf, die für Sie personenbezogene Daten verarbeiten — Hosting, Cloud, Newsletter, Lohn, CRM, Support, Analyse-Tools. Diese Bestandsaufnahme ist die Grundlage, um zu jedem Anbieter die richtige Rolle und den passenden Vertrag zu bestimmen.
Klären Sie für jede Datenweitergabe, wer über Zwecke und Mittel entscheidet: Auftragsverarbeitung, gemeinsame Verantwortlichkeit (Art. 26 DSGVO) oder Übermittlung an einen eigenen Verantwortlichen. Von dieser Einordnung hängt ab, welcher Vertrag zwingend ist.
Sorgen Sie für einen schriftlichen Vertrag mit vollständigem Mindestinhalt (Art. 28 Abs. 3 lit. a–h DSGVO). Prüfen Sie beigelegte Anbieter-Verträge kritisch auf Lücken — insbesondere bei Weisungsbindung, Löschung/Rückgabe und Audit-Rechten.
Dokumentieren Sie, warum der Dienstleister hinreichende Garantien bietet (Art. 28 Abs. 1 DSGVO), und lassen Sie sich die Subunternehmer-Regelung mit Informations- und Einspruchsrecht einräumen (Art. 28 Abs. 2 und 4 DSGVO). Verlangen Sie eine aktuelle Subunternehmer-Liste.
Wenn Sie selbst Auftragsverarbeiter sind, brauchen Sie ein belastbares Vertragsmuster, das den Mindestinhalt erfüllt und Ihre eigenen Grenzen sauber zieht — es ist Voraussetzung für die Beauftragung und zugleich Ihre Haftungsgrenze (Art. 82 Abs. 2, Art. 28 Abs. 10 DSGVO).
Der Aufwand richtet sich danach, wo Sie stehen und in welcher Rolle. Ein Unternehmen, das seine Dienstleister erstmals systematisch erfasst und für jeden einen tragfähigen Auftragsverarbeitungsvertrag aufsetzt, hat mehr aufzuholen als eines, das nur einzelne Verträge nachschärfen oder eine konkrete Auslagerung prüfen lassen muss. Wer selbst als Auftragsverarbeiter auftritt und ein wiederverwendbares Vertragsmuster braucht, hat wieder einen anderen Bedarf. Die gute Nachricht: Der größte Teil ist eine einmalige Aufbauleistung, die anschließend nur gepflegt wird — und ein sauberer Vertrag ist fast immer deutlich günstiger als die Aufarbeitung eines Schadensfalls oder eines Aufsichtsverfahrens, in dem der Vertrag fehlt.
Feste Paketpreise nennen wir bewusst nicht: Ob es um die Prüfung eines einzelnen Anbieter-Vertrags geht, um den Aufbau einer vollständigen Auftragsverarbeitungs-Struktur oder um ein Vertragsmuster für Sie als Dienstleister, macht für Aufwand und Vorgehen den entscheidenden Unterschied. Sie erfahren die Größenordnung und eine ehrliche Einschätzung, welcher Weg für Sie sinnvoll ist, sobald wir wissen, wie Ihr Haus aufgestellt ist und worum es konkret geht.
Immer dann, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet (Art. 4 Nr. 8 DSGVO), ist der Vertrag zwingend (Art. 28 Abs. 3 DSGVO). Das trifft auf die meisten Hosting-, Cloud-, Newsletter-, Lohn- und CRM-Dienste zu. Reine Werkzeuge, die keine personenbezogenen Daten für Sie verarbeiten, fallen nicht darunter — die Abgrenzung im Einzelfall lohnt eine Prüfung, weil davon abhängt, welcher Vertrag der richtige ist.
Oft ist es ein guter Ausgangspunkt, aber kein Freibrief. Maßgeblich ist, ob es den vollständigen Mindestinhalt des Art. 28 Abs. 3 lit. a–h DSGVO abdeckt — von der Weisungsbindung über die Löschung oder Rückgabe nach Ihrer Wahl bis zu den Audit-Rechten. Da die Rechenschaft bei Ihnen als Verantwortlichem liegt, sollten Sie das Muster auf Lücken prüfen, bevor Sie es unterschreiben.
Nur mit Ihrer vorherigen — gesonderten oder allgemeinen — schriftlichen Genehmigung (Art. 28 Abs. 2 DSGVO). Bei einer allgemeinen Genehmigung muss er Sie über jede beabsichtigte Änderung informieren, damit Sie Einspruch erheben können. Dem Subunternehmer sind dieselben Datenschutzpflichten aufzuerlegen (Art. 28 Abs. 4 DSGVO), und Ihr unmittelbarer Dienstleister haftet Ihnen gegenüber für dessen Einhaltung.
Ja. Die Auslagerung der Verarbeitung ist keine Auslagerung der Haftung. Betroffene können sich an den Verantwortlichen oder den Auftragsverarbeiter halten (Art. 82 Abs. 1 DSGVO), bei mehreren Beteiligten sogar auf den gesamten Schaden (Art. 82 Abs. 4 DSGVO). Ob Sie sich intern beim Dienstleister schadlos halten können, hängt entscheidend vom Auftragsverarbeitungsvertrag ab — deshalb ist dessen Qualität so wichtig.
Bei der Auftragsverarbeitung entscheidet allein der Verantwortliche über Zwecke und Mittel, der Dienstleister führt weisungsgebunden aus (Art. 28, Art. 29 DSGVO). Legen dagegen zwei Stellen die Zwecke und Mittel gemeinsam fest, sind sie gemeinsam Verantwortliche und brauchen eine Vereinbarung nach Art. 26 DSGVO — keinen Auftragsverarbeitungsvertrag. Wer die Rolle falsch einordnet, schließt den falschen Vertrag und lässt den richtigen fehlen.
Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48. Gerade wenn eine Auslagerung ansteht oder ein Anbieter-Vertrag zur Unterschrift auf dem Tisch liegt, lohnt sich die Prüfung vorab — schildern Sie die Lage lieber früh, bevor die Verarbeitung schon läuft.
„Wer Verarbeitung auslagert, lagert die Verantwortung nicht mit aus — sie bleibt beim Verantwortlichen. Der Auftragsverarbeitungsvertrag ist deshalb kein Formular für die Ablage, sondern das Instrument, mit dem Sie im Ernstfall nicht für die Fehler eines Dritten allein einstehen", sagt Rechtsanwalt Sebastian Müller.
Schildern Sie kurz, worum es geht — Sie erhalten eine erste Einschätzung. Sie hören von uns, meist innerhalb von 24 Stunden, werktags garantiert innerhalb von 48.
Anliegen kurz schildern