So läuft es heute in den meisten Unternehmen
Der Ordner heißt „AVV" und liegt auf dem Fileshare, meist eine Ebene unter „Datenschutz". Darin liegen PDFs: „AVV_Lohnbuero_unterschrieben.pdf", „avv_crm_2021_final.pdf", „Scan_20230412.pdf". Einige sind von beiden Seiten unterzeichnet, andere nur von einer, und bei manchen weiß niemand mehr, ob die Gegenzeichnung jemals zurückkam.
Der Prozess dahinter ist schnell erzählt. Ein Fachbereich führt ein neues Werkzeug ein und meldet es – im besten Fall – beim Datenschutz an. Der Anbieter schickt seinen Standardvertrag, die Geschäftsführung unterschreibt, das PDF wandert in den Ordner. Damit gilt der Vorgang als erledigt. Geprüft wurde der Dienstleister im Zweifel genau einmal: bei der Auswahl. Was danach kommt, ist nirgends vorgesehen.
Daneben existiert eine zweite Ebene, die nirgends abgelegt ist: die Fristen. Kündigungstermine, automatische Vertragsverlängerungen und der Zeitpunkt für die nächste Überprüfung eines Dienstleisters stehen in einem Outlook-Kalendereintrag mit Erinnerung, in einer Liste namens „Dienstleister_Uebersicht.xlsx" oder schlicht im Kopf der Person, die den Vertrag damals abgeschlossen hat. Die typischen Sätze dazu kennt jedes Team: „Das läuft noch bis Ende des Jahres." „Den AVV haben wir doch, den hat die Kollegin geholt." „Da müssten wir mal wieder nachfragen."
Was der Ordner nicht weiß
Ein Ordner kann Dateien halten, aber keine Beziehungen. Er weiß nicht, welche Verarbeitungstätigkeit ein Vertrag eigentlich absichert, welches System der Dienstleister betreibt und welche Daten dorthin fließen. Er weiß auch nicht, welche Dienstleister im Unternehmen tatsächlich im Einsatz sind – nur, für welche jemand ein PDF abgelegt hat. Der Werkzeugkasten, den das Marketing über eine Kreditkarte abonniert hat, taucht dort naturgemäß nicht auf.
Ebenso wenig hält der Ordner fest, was nach dem Abschluss passieren müsste: die Kontrolle, ob der Auftragsverarbeiter die zugesagten technischen und organisatorischen Maßnahmen tatsächlich umsetzt, die Prüfung neuer Unterauftragsverarbeiter, die Bewertung von Datenübermittlungen in Drittländer und am Ende der Nachweis, dass die Daten nach Vertragsende gelöscht oder zurückgegeben wurden.
Der Moment, in dem es auffällt
Auffällig wird das selten im Tagesgeschäft. Es fällt in vier Situationen auf: wenn ein Kunde im Rahmen einer Lieferantenprüfung eine Liste aller Auftragsverarbeiter samt Verträgen und Prüfnachweisen anfordert, wenn ein Auditor die Dienstleisterprüfung sehen will, wenn ein Anbieter per E-Mail eine Änderung seiner Subunternehmer ankündigt – oder wenn die Person das Unternehmen verlässt, in deren Kalender die Fristen standen.
Die Frage lautet dann nie „Habt ihr einen AVV?", sondern „Für welche Verarbeitung gilt er, wann haben Sie den Dienstleister zuletzt geprüft, und was war das Ergebnis?" Auf diese Frage hat ein Ordner voller PDFs keine Antwort.
Die Analyse
Fünf Lücken, die der AVV-Ordner offen lässt
Sie entstehen unabhängig davon, wie sorgfältig die Verträge abgelegt werden – sie sind Eigenschaften der Ablage, nicht der Person.
Vertragsmanagement in preeco ansehenVerträge ohne Bezug zur Verarbeitung
Ein PDF im Ordner sagt nicht, welche Verarbeitungstätigkeit es abdeckt. Wird ein Dienstleister ausgetauscht, muss jede betroffene Verarbeitung einzeln gesucht werden. Bei einer Behörden- oder Kundenanfrage ist genau diese Zuordnung die eigentliche Arbeit.
Niemand sieht, wo ein Vertrag fehlt
Der Ordner zeigt nur, was vorhanden ist. Ein Dienstleister ohne AVV erzeugt keine leere Datei und fällt deshalb nicht auf. Die Lücke wird typischerweise erst sichtbar, wenn ein Kunde die vollständige Auftragsverarbeiterliste anfordert.
Kontrolle der Maßnahmen ohne Turnus
Art. 28 Abs. 1 DSGVO verlangt, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Ohne festen Turnus bleibt es bei der Prüfung vor Vertragsschluss – Jahre später ist unklar, ob die Zusagen noch gelten.
Unterauftragsverarbeiter und Drittländer unerfasst
Wer den Vertrag als PDF ablegt, führt keine Liste der Subunternehmer und keine Übersicht der Übermittlungen in Drittländer. Kündigt ein Anbieter einen Wechsel an, lässt sich weder die Widerspruchsfrist noch der betroffene Kreis an Verarbeitungen bestimmen.
Fristen hängen an einer Person
Kündigungstermine, Verlängerungen und Prüftermine leben im Kalender einer einzelnen Person. Fällt sie aus oder wechselt sie, verlängert sich ein Vertrag stillschweigend, und bei Vertragsende fehlt der Nachweis über Löschung oder Rückgabe der Daten.
Der Soll-Prozess in sechs Schritten
Ein tragfähiger Umgang mit Auftragsverarbeitern unterscheidet sich vom Ordner nicht durch mehr Verträge, sondern durch einen definierten Ablauf. Diese sechs Schritte beschreiben ihn – unabhängig davon, mit welchem Werkzeug Sie arbeiten.
1. Dienstleister erfassen, nicht Verträge sammeln. Der Ausgangspunkt ist die Liste der eingesetzten Dienstleister und Systeme, nicht der Stapel vorhandener PDFs. Erst wenn beide Listen nebeneinanderliegen, wird sichtbar, für welchen Empfänger ein Vertrag fehlt. Der bestehende Ordner ist dabei die Grundlage, nicht der Gegner.
2. Vertrag und Verarbeitung dauerhaft verknüpfen. Jeder Auftragsverarbeitungsvertrag wird den Verarbeitungstätigkeiten zugeordnet, die er abdeckt. In preeco | datenschutz prüft das System die Übereinstimmung von Rolle, Firma, Vorname und Name zwischen Datenempfänger und Vertrag und stellt die Verknüpfung automatisch her. Der Abschnitt „Vertragsbeziehungen" zeigt anschließend je Verarbeitung und je System, welche Empfänger vertraglich abgesichert sind.
3. Unterzeichnung als Prozess führen. Statt PDFs hin- und herzuschicken, wird der Vertrag mit einem Unterschriften-Workflow gezeichnet. Je Vertragspartei lassen sich beliebig viele Unterzeichnende hinterlegen; jede Person erhält einen eigenen Link, und der Vertrag gilt erst als unterzeichnet, wenn alle gezeichnet haben. Erinnerungen gehen gezielt an die ausstehenden Personen.
4. Prüftermine terminieren, nicht erinnern. Die Kontrolle der technischen und organisatorischen Maßnahmen des Auftragsverarbeiters bekommt einen Turnus – jährlich, risikoabhängig oder bei wesentlichen Änderungen. Wiedervorlagen erinnern an Vertragsverlängerungen, Kündigungsfristen und anstehende Überprüfungen, ohne dass jemand eine Liste im Kopf führt.
5. Prüfung dokumentieren, nicht nur durchführen. Zum Termin gehört ein Ergebnis: das eingeholte Zertifikat, der Prüfbericht, die Antwort auf den Fragebogen. Aufgaben, Kommentare, Checklisten und Dateianhänge am Vertrag halten fest, wer wann was geprüft hat. Das Aktivitätenprotokoll macht daraus einen Nachweis im Sinne der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
6. Vertragsende sauber abschließen. Endet ein Vertrag, ist die Löschung oder Rückgabe der Daten nach Art. 28 Abs. 3 lit. g DSGVO zu belegen. Als terminierte Aufgabe mit hinterlegtem Nachweis wird daraus ein Schritt im Prozess statt einer offenen Flanke.
Warum die Subunternehmerliste der wunde Punkt ist
Der häufigste ungeplante Vorgang im Auftragsverarbeitungsprozess ist keine Neuvergabe, sondern eine Mitteilung: Ein Anbieter informiert über einen neuen Unterauftragsverarbeiter. Wer nur PDFs abgelegt hat, muss nun jeden betroffenen Vertrag einzeln öffnen, die alte Liste heraussuchen und den Unterschied selbst bilden.
In preeco | datenschutz lässt sich die Subunternehmerliste über mehrere Verträge hinweg aktualisieren. Vor dem Speichern zeigt eine Zusammenfassung je Vertrag, welche Subunternehmer hinzukommen, entfallen oder sich geändert haben; die Mitteilung an die Vertragspartner unterzeichneter Verträge wird aus Vorlagen vorbelegt und erhält je Vertrag einen Anhang mit der für ihn gültigen Liste. Verträge, die gerade zur Unterschrift vorliegen oder archiviert sind, bleiben ausgenommen. Jede Änderung landet im Aktivitätenprotokoll.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: AVV-Ordner | Nachher: geführter Vertragsprozess |
|---|---|---|
| Pflegeaufwand | PDFs ablegen, Dateinamen pflegen, im Zweifel suchen | Vertrag einmal anlegen, Status und Verknüpfungen laufen mit |
| Vollständigkeit | Fehlende Verträge fallen nicht auf | Dienstleister und Verträge nebeneinander, Lücken sichtbar |
| Bezug zur Verarbeitung | Nur als Erinnerung im Kopf | Verknüpfung von Vertrag, Verarbeitung, System und Maßnahme |
| Dienstleisterprüfung | Anlassbezogen, meist einmalig vor Abschluss | Turnus mit Wiedervorlage, dokumentiertem Ergebnis und Nachweis |
| Unterauftragsverarbeiter | Als Absatz im PDF, nicht auswertbar | Gepflegte Liste, Sammelaktualisierung mit Mitteilung an Partner |
| Fristen | Kalendereintrag einer Person | Wiedervorlagen für Kündigung, Verlängerung und Prüfung |
| Nachweisfähigkeit | Scan ohne Historie | Revision bei Freigabe und Unterzeichnung, Aktivitätenprotokoll |
| Ausfallrisiko | Wissen liegt bei einer Person | Prozess, Fristen und Historie liegen im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Vertragsmanagement
Auftragsverarbeitungsverträge mit strukturiertem Formular, Unterschriften-Workflow für beliebig viele Unterzeichnende, Wiedervorlagen für Kündigungs- und Prüffristen sowie filterbare Übersichten nach Status, Vertragspartner und Laufzeit.
TOMs und Regelwerke
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO strukturiert erfassen und mit Verarbeitungstätigkeiten und Verträgen verknüpfen. Damit ist belegbar, welche Maßnahmen für welchen Dienstleister gelten sollen.
Verarbeitungstätigkeiten und Systeme
Der Abschnitt „Vertragsbeziehungen" zeigt zu jeder Verarbeitungstätigkeit und zu jedem System die Datenempfänger und die Verträge, die sie abdecken – die Grundlage dafür, fehlende Verträge überhaupt zu erkennen.
Was der Umstieg praktisch bedeutet
Der häufigste Einwand lautet, alle Verträge müssten dann neu geschlossen werden. Das ist nicht der Fall. Bestehende, unterzeichnete Verträge bleiben gültig; sie werden als Dokument hinterlegt, dem Dienstleister und den Verarbeitungstätigkeiten zugeordnet und mit Frist- und Prüfterminen versehen. Neu aufgesetzt wird nur, was inhaltlich ohnehin überholt ist.
Der Aufwand liegt selten in der Technik. Er liegt in der Klärung: Welche Dienstleister setzen wir tatsächlich ein, wer im Haus verantwortet die Beziehung, und welche Verarbeitung steckt dahinter. Genau diese Klärung ist der eigentliche Gewinn – die Lücken werden sichtbar, bevor ein Kunde oder eine Aufsichtsbehörde sie sichtbar macht.
Drei Fehler, die den Umstieg unnötig schwer machen
Mit dem Ordner beginnen statt mit der Dienstleisterliste. Wer nur die vorhandenen PDFs überträgt, überträgt auch die Lücken. Der Einstieg ist die Liste der eingesetzten Systeme und Empfänger; erst der Abgleich zeigt, wo ein Vertrag fehlt.
Die Prüfung als Dokument statt als Termin verstehen. Ein eingeholtes Zertifikat ohne Wiedervorlage ist in zwei Jahren wertlos. Erst der terminierte Turnus macht aus der einmaligen Auswahl eine laufende Kontrolle.
Den Fachbereich außen vor lassen. Wer einen Dienstleister beauftragt, weiß am besten, welche Daten dorthin fließen. Bleibt die Vertragsakte allein beim Datenschutz, entsteht dieselbe Abhängigkeit von einer Person wie zuvor – nur in einer anderen Oberfläche.
Woran Sie erkennen, dass es Zeit ist
Ein Ordner mit AVV-PDFs ist kein Fehler. Er wird erst dann zum Risiko, wenn mindestens einer dieser Punkte zutrifft:
- Sie können nicht ad hoc sagen, für welche Dienstleister ein Vertrag fehlt.
- Prüftermine und Kündigungsfristen stehen im Kalender einer einzelnen Person.
- Kunden fragen regelmäßig nach Ihrer Liste der Auftragsverarbeiter.
- Sie haben keinen dokumentierten Nachweis einer Dienstleisterprüfung aus den letzten zwölf Monaten.
- Mitteilungen über neue Unterauftragsverarbeiter bleiben unbeantwortet liegen.
Trifft davon nichts zu, ist die Ablage in Ordnung. Trifft davon zwei oder mehr zu, arbeitet sie bereits gegen Sie.
FAQ
Häufige Fragen zu AVV und Dienstleisterprüfung
Für jeden Dienstleister, der personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet – etwa Hosting, Lohnabrechnung, CRM, Newsletter-Versand oder Wartung mit Datenzugriff. Nicht erforderlich ist ein Auftragsverarbeitungsvertrag, wenn der Partner die Daten in eigener Verantwortung verarbeitet, wie in der Regel Steuerberatung, Rechtsberatung oder Banken. Die Abgrenzung entscheidet sich an der Weisungsbindung, nicht an der Branche.
Die DSGVO nennt keinen festen Turnus. Art. 28 Abs. 1 DSGVO verlangt aber, nur mit Auftragsverarbeitern zu arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten – und das ist eine dauerhafte Anforderung, keine einmalige vor Vertragsschluss. In der Praxis hat sich eine risikoabhängige Staffelung bewährt: kritische Dienstleister jährlich, unkritische in längeren Abständen, zusätzlich anlassbezogen bei Vorfällen oder wesentlichen Änderungen.
Ein Zertifikat oder ein Prüfbericht ist ein gutes Element der Prüfung, aber allein kein Nachweis. Entscheidend ist, dass Sie den Geltungsbereich und die Gültigkeitsdauer bewerten, das Ergebnis dokumentieren und den nächsten Prüftermin festlegen. Ein Zertifikat ohne Wiedervorlage und ohne festgehaltene Bewertung belegt lediglich, dass es irgendwann einmal vorlag.
Prüfen Sie zunächst, was Ihr Vertrag vorsieht: eine gesonderte Genehmigung oder eine allgemeine Genehmigung mit Informations- und Widerspruchsrecht nach Art. 28 Abs. 2 DSGVO. Danach ist zu bewerten, ob der neue Subunternehmer Daten in ein Drittland übermittelt und auf welcher Grundlage. Die Entscheidung und ihr Datum gehören zum Vertrag – ebenso die aktualisierte Subunternehmerliste, die in preeco | datenschutz über mehrere Verträge hinweg gepflegt werden kann.
Nein. Art. 28 Abs. 9 DSGVO verlangt Schriftform, ausdrücklich auch in einem elektronischen Format. Eine digitale Unterzeichnung ist damit zulässig. Praktisch wichtiger als die Form ist die Nachvollziehbarkeit: wer wann für welche Vertragspartei gezeichnet hat und welcher Vertragsstand dabei galt. In preeco | datenschutz entsteht bei Freigabe oder Unterzeichnung automatisch eine unveränderliche Revision, und zwei Stände lassen sich vergleichen.
Ihre Vertragsakte gemeinsam durchgehen
Bringen Sie Ihre Dienstleisterliste und Ihren AVV-Ordner mit. In 30 Minuten zeigen wir, wo die Lücken liegen und wie der Prüfturnus aufgesetzt wird.