Drittdienstleister-Datenschutz & Auftragsverarbeitung nach DSGVO

Ein Auftragsverarbeitungsvertrag (AVV) ist nach Art. 28 DSGVO vorgeschrieben, wenn ein Drittdienstleister personenbezogene Daten im Auftrag verarbeitet. Typische Fälle sind Cloud-Hosting, E-Mail-Marketing, Lohnabrechnung durch externe Anbieter oder IT-Support mit Zugriff auf personenbezogene Daten. Der AVV regelt Gegenstand und Dauer der Verarbeitung, Art und Zweck, den Typ der Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Ohne AVV drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.

Nach Art. 28 Abs. 1 DSGVO darf der Verantwortliche nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Konkret bedeutet das: eine dokumentierte Prüfung der TOM des Dienstleisters vor Vertragsschluss, die Einholung von Nachweisen wie ISO 27001-Zertifizierungen oder SOC-2-Berichte, die Bewertung des Datenschutzniveaus bei Unterauftragsverarbeitern und die regelmäßige Überprüfung, ob die vereinbarten Maßnahmen eingehalten werden. Diese Sorgfaltspflicht gilt für die gesamte Vertragslaufzeit.

Ein Auftragsverarbeiter handelt ausschließlich nach Weisung des Verantwortlichen und trifft keine eigenen Entscheidungen über Zweck und Mittel der Datenverarbeitung. Ein gemeinsam Verantwortlicher (Joint Controller nach Art. 26 DSGVO) entscheidet hingegen mit über Zweck und Mittel. Die Abgrenzung ist entscheidend: Bei der Auftragsverarbeitung genügt ein AVV, bei gemeinsamer Verantwortlichkeit ist eine Joint-Controller-Vereinbarung nötig. Typisches Beispiel: Ein externer IT-Dienstleister, der Server wartet, ist Auftragsverarbeiter. Ein Plattformbetreiber, der eigene Analysen der Nutzerdaten durchführt, ist eher gemeinsam Verantwortlicher.

Eine Vendor Due Diligence im Datenschutzkontext prüft systematisch die Datenschutzreife eines Drittdienstleisters. Sie umfasst: die Bewertung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, eine Prüfung des Datenschutzmanagement-Systems und der internen Richtlinien, die Überprüfung von Zertifizierungen und externen Audits, die Analyse der Verarbeitung in Drittländern und geeigneter Garantien, das Einholen von Referenzen zu bisherigen Datenschutzvorfällen sowie die Bewertung der Unterauftragsverarbeiter-Kette. ADVISORI führt diese Prüfungen anhand standardisierter Fragebögen und Bewertungsmatrizen durch.

Die DSGVO verlangt eine kontinuierliche Überwachung der Auftragsverarbeiter, nicht nur eine einmalige Prüfung. Bewährte Monitoring-Maßnahmen sind: jährliche Überprüfung der TOM durch Fragebögen oder Vor-Ort-Audits, automatisiertes Tracking von Zertifizierungsfristen und Compliance-Dokumenten, ein Meldesystem für Datenschutzvorfälle mit definierten Reaktionszeiten, die regelmäßige Prüfung der Unterauftragsverarbeiter-Liste auf änderungen und KPI-basiertes Reporting zur Datenschutz-Performance. Ein zentrales Vendor-Management-System hilft, bei vielen Dienstleistern den Überblick zu behalten.

Verarbeitet ein Drittdienstleister Daten außerhalb der EU oder des EWR, gelten zusätzliche Anforderungen nach Art. 44 bis 49 DSGVO. Nach dem Schrems-II-Urteil des EuGH reichen Standardvertragsklauseln (SCC) allein nicht aus. Es ist ein Transfer Impact Assessment (TIA) erforderlich, das die Rechtslage im Drittland bewertet. Bei US-Dienstleistern kann der EU-US Data Privacy Framework als Grundlage dienen, sofern der Dienstleister zertifiziert ist. Ergänzend sind technische Maßnahmen wie Verschlüsselung und Pseudonymisierung zu prüfen, um ein angemessenes Schutzniveau sicherzustellen.

ADVISORI begleitet den gesamten Lebenszyklus des Drittdienstleister-Datenschutzes: Zunächst erfassen wir alle bestehenden Dienstleisterbeziehungen und bewerten den aktuellen Reifegrad. Darauf aufbauend entwickeln wir ein Klassifizierungssystem nach Datenrisiko, standardisierte AVV-Vorlagen und Due-Diligence-Fragebögen. Wir implementieren Monitoring-Prozesse mit definierten Prüfzyklen und Eskalationswegen. Bei Datenschutzvorfällen unterstützen wir mit eingeübten Incident-Response-Verfahren. Das Ziel ist ein skalierbares System, das auch bei wachsender Dienstleisterzahl die DSGVO-Compliance sicherstellt.