Abgrenzung, Praxisfälle und typische Fehler
In vielen Unternehmen läuft die Zusammenarbeit mit externen Dienstleistern ganz selbstverständlich nebenbei. Die Website wird von einer Agentur betreut, ein Cloud-Tool speichert Kundendaten und der IT-Dienstleister hat regelmäßigen Zugriff auf Systeme und Postfächer. Datenschutzrechtlich wird dabei jedoch ein Punkt oft übersehen: der Vertrag zur Auftragsverarbeitung.
Nicht selten fehlt ein solcher Vertrag vollständig, obwohl personenbezogene Daten längst durch externe Anbieter verarbeitet werden. Häufig ist gar nicht bewusst, dass überhaupt eine datenschutzrechtliche Pflicht besteht.
Denn die DSGVO verlangt nicht erst bei großen Projekten oder sensiblen Sonderfällen eine Prüfung. Schon alltägliche Geschäftsprozesse können eine Auftragsverarbeitung darstellen und damit einen AV-Vertrag zwingend erforderlich machen.
Aus Beratungssicht zeigt sich, dass gerade diese „alltäglichen“ Konstellationen in der Praxis besonders häufig übersehen werden, mit teilweise erheblichen rechtlichen und organisatorischen Folgen.
Was bedeutet Auftragsverarbeitung überhaupt
Von einer Auftragsverarbeitung spricht man, wenn ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisung des Unternehmens verarbeitet.
Wichtig ist dabei: Der Dienstleister entscheidet nicht selbst über Zweck und Mittel der Verarbeitung, sondern handelt ausschließlich für das beauftragende Unternehmen.
Die rechtliche Grundlage dafür findet sich in Art. 28 DSGVO. Dort ist klar geregelt, dass eine solche Zusammenarbeit nur mit einem entsprechenden Vertrag zulässig ist.
Für Unternehmen bedeutet das konkret: Sobald ein Dienstleister in die Verarbeitung personenbezogener Daten eingebunden ist, muss frühzeitig geprüft werden, ob eine weisungsgebundene Tätigkeit vorliegt und damit die Pflicht zum Abschluss eines AV-Vertrags.
Wann ein Vertrag erforderlich ist
Ein AV-Vertrag ist immer dann notwendig, wenn ein Dienstleister personenbezogene Daten nicht nur zufällig sieht, sondern diese tatsächlich für das Unternehmen verarbeitet.
Typische Beispiele sind:
- Cloud Software Anbieter
- Hosting Dienstleister
- externe Lohnbuchhaltung
- IT Support mit Systemzugriff
- Newsletter Tools
- Bewerbermanagement Systeme
- Aktenvernichtung mit personenbezogenen Unterlagen
In diesen Fällen reicht ein normaler Dienstleistungsvertrag nicht aus. Ohne AV-Vertrag fehlt eine zentrale datenschutzrechtliche Grundlage.
In der Praxis bedeutet das: Selbst langjährig etablierte Dienstleisterbeziehungen sollten regelmäßig daraufhin überprüft werden, ob die datenschutzrechtliche Einordnung noch zutreffend ist. Gerade bei gewachsenen IT-Strukturen entstehen hier häufig unbemerkte Lücken.
Wann kein AV-Vertrag notwendig ist
Nicht jeder externe Kontakt mit personenbezogenen Daten ist automatisch eine Auftragsverarbeitung. Ein klassisches Beispiel ist der Steuerberater. Dieser arbeitet in der Regel eigenverantwortlich und unterliegt eigenen gesetzlichen Pflichten. Er ist daher meist kein Auftragsverarbeiter.
Auch Banken, Postdienstleister oder viele Handwerksbetriebe fallen häufig nicht unter Art. 28 DSGVO, selbst wenn sie mit personenbezogenen Daten in Berührung kommen.
Entscheidend ist immer die Frage: Arbeitet der Dienstleister weisungsgebunden für das Unternehmen oder verfolgt er eigene Zwecke und eigene gesetzliche Verantwortlichkeiten.
Gerade diese Abgrenzung wird im Alltag oft falsch eingeschätzt. Aus Beratungssicht ist diese Abgrenzung einer der häufigsten Unsicherheitsfaktoren. Fehlentscheidungen führen entweder zu unnötigem Aufwand oder im kritischeren Fall zu fehlenden Verträgen und damit zu echten Compliance-Risiken.
Typische Fehler in der Praxis
Der häufigste Fehler ist nicht ein unnötiger Vertrag, sondern das vollständige Fehlen eines AV-Vertrags. Viele Unternehmen nutzen seit Jahren externe Software-Anbieter, Website Dienstleister oder Cloud Lösungen, ohne jemals geprüft zu haben, ob eine Auftragsverarbeitung vorliegt.
Besonders häufig betrifft das historisch gewachsene Strukturen. Systeme wurden eingeführt, Anbieter gewechselt und Prozesse erweitert, ohne dass Datenschutzverträge nachgezogen wurden. Spätestens bei einer Prüfung durch die Aufsichtsbehörde oder nach einer Datenschutzverletzung wird diese Lücke sichtbar.
Dann zeigt sich schnell, dass nicht nur der Vertrag fehlt, sondern oft auch die Dokumentation, die Prüfung des Dienstleisters und die vertragliche Absicherung technischer Schutzmaßnahmen.
In der Praxis zeigt sich dabei regelmäßig, dass die Auftragsverarbeitung nicht isoliert betrachtet werden kann. Fehlende Verträge gehen häufig mit weiteren Defiziten einher, etwa bei der Dienstleisterprüfung, der Dokumentation im Verzeichnis von Verarbeitungstätigkeiten oder der Umsetzung technischer und organisatorischer Maßnahmen.
Was Unternehmen jetzt tun sollten
Der erste Schritt ist eine ehrliche Bestandsaufnahme. Erst danach lässt sich sauber beurteilen, wo tatsächlicher Handlungsbedarf besteht.
Ebenso wichtig ist die Qualität bestehender Verträge. Viele AV-Verträge sind veraltet, zu allgemein formuliert oder berücksichtigen aktuelle Anforderungen wie Drittlandtransfers, Unterauftragsverarbeiter oder technische Schutzmaßnahmen nicht ausreichend.
Ein unterschriebener Vertrag allein reicht nicht aus. Auch die tatsächliche Zusammenarbeit muss datenschutzrechtlich sauber organisiert sein.
Gerade in gewachsenen Strukturen fehlt häufig der vollständige Überblick. Erst eine systematische Prüfung zeigt, welche Dienstleister tatsächlich unter die Auftragsverarbeitung fallen und wo Handlungsbedarf besteht.
Aus Beratungssicht empfiehlt sich dabei ein strukturiertes Vorgehen: Zunächst sollte eine vollständige Übersicht aller eingesetzten Dienstleister erstellt werden. Anschließend erfolgt die datenschutzrechtliche Einordnung sowie die Prüfung bestehender Verträge. Erst auf dieser Grundlage lassen sich Maßnahmen priorisieren und effizient umsetzen.
Eine frühzeitige datenschutzrechtliche Einordnung hilft dabei, unnötige Risiken zu vermeiden und bestehende Prozesse rechtssicher aufzustellen. Oft lassen sich bereits mit einer strukturierten Prüfung viele Unsicherheiten schnell und pragmatisch klären.
Fazit
Auftragsverarbeitung gehört zu den Themen, die im Unternehmensalltag oft stillschweigend übersehen werden. Nicht weil Unternehmen bewusst darauf verzichten, sondern weil vielen gar nicht klar ist, dass ein AV-Vertrag überhaupt notwendig wäre. Gerade deshalb lohnt sich der genaue Blick auf bestehende Dienstleister und Prozesse.
Für Unternehmen bedeutet das konkret: Die Prüfung von Dienstleistern sollte kein einmaliger Vorgang sein, sondern fester Bestandteil eines funktionierenden Datenschutzmanagements.
Wer frühzeitig prüft oder prüfen lässt, schafft klare Verantwortlichkeiten, reduziert Haftungsrisiken und verhindert unangenehme Überraschungen bei Prüfungen oder Vorfällen.
Oft zeigt sich erst bei einer strukturierten Bestandsaufnahme, wie viele datenschutzrechtliche Lücken bereits im Alltag entstanden sind. Genau dort beginnt ein wirksames und praxistaugliches Datenschutzmanagement.
Aus unserer Erfahrung zeigt sich, dass bereits eine strukturierte Erstprüfung erhebliche Transparenz schafft und bestehende Risiken schnell sichtbar macht. Genau dort setzt ein wirksames und praxistaugliches Datenschutzmanagement an.
Sofortdatenschutz – Kontaktaufnahme
„*“ zeigt erforderliche Felder an
