Kaum ein Datenschutz-Dokument wird so routiniert abgeheftet und so selten gelesen wie der Auftragsverarbeitungsvertrag. Dabei ist Art. 28 DSGVO eindeutig: Wer einen Dienstleister personenbezogene Daten verarbeiten lässt — vom Hoster über das Lohnbüro bis zum Newsletter-Tool — braucht einen AV-Vertrag mit definierten Pflichtinhalten. Bei unseren AV-Inventuren in neuen Mandaten finden wir immer wieder dieselben fünf Fehler.
Fehler 1: Es gibt gar keine vollständige Dienstleisterliste
Der AV-Vertrag ist nur so gut wie die Übersicht dahinter. In der Praxis fehlen fast immer dieselben Kandidaten: das Ticket-Tool des Vertriebs, der Übersetzungsdienst, das neue KI-Werkzeug einer Fachabteilung. Die Inventur beginnt deshalb nicht beim Vertragsordner, sondern beim Verarbeitungsverzeichnis — jede Verarbeitung mit externem System braucht einen Blick auf die Auftragsverarbeiter-Frage.
Fehler 2: Der Vertrag existiert, passt aber nicht zur Leistung
Standard-Templates beschreiben gern „IT-Dienstleistungen” — geprüft wird aber, ob Gegenstand, Dauer, Art der Daten und Kategorien betroffener Personen die tatsächliche Leistung abbilden. Ein AV-Vertrag, der das Hosting beschreibt, während der Dienstleister längst auch Support mit Vollzugriff leistet, ist im Prüffall wenig wert.
Fehler 3: Subunternehmer bleiben im Dunkeln
Art. 28 verlangt, dass weitere Auftragsverarbeiter nur mit Genehmigung eingesetzt werden — praktisch meist als allgemeine Genehmigung mit Informationspflicht. Was fehlt, ist die Kontrolle: Wo steht die aktuelle Subunternehmerliste? Kommt die Änderungsmitteilung wirklich an, und prüft sie jemand? Gerade bei US-Unterauftragnehmern hängt daran die gesamte Drittlandsfrage.
Fehler 4: Weisungs- und Löschregelungen ohne Praxisbezug
Papierlage: „Der Auftragnehmer löscht nach Vertragsende alle Daten.” Realität: Niemand hat je eine Löschbestätigung angefordert. Wir empfehlen, das Vertragsende als Prozess zu denken — wer beendet, fordert Löschung oder Rückgabe an und legt die Bestätigung zur Dokumentation. Das dauert zehn Minuten und ist im Audit ein Unterschied ums Ganze.
Schnelltest für Ihren Bestand: Nehmen Sie Ihre drei wichtigsten Dienstleister. Finden Sie in unter fünf Minuten den AV-Vertrag, die aktuelle Subunternehmerliste und die Regelung zur Löschung? Wenn ja, sind Sie besser aufgestellt als die meisten.
Fehler 5: Einmal geschlossen, nie wieder angeschaut
Dienstleister ändern Leistungen, Konzernstrukturen und Standorte. Ein AV-Bestand will darum turnusmäßig geprüft werden — wir machen das in laufenden Mandaten einmal jährlich im Zuge der Vor-Ort-Kontrolle, mit einer Prüfcheckliste je Dienstleister. Bei Trägern mit mehreren Gesellschaften gehört dazu auch die Frage, welche Gesellschaft eigentlich Vertragspartner ist — eine AV-Inventur über alle Einheiten deckt hier regelmäßig Überraschungen auf.
Fazit
Der AV-Vertrag ist kein Papiertiger, sondern die vertragliche Leitplanke für die Hälfte Ihrer Datenverarbeitung. Wer Liste, Passung, Subunternehmer, Löschung und Turnus im Griff hat, hat aus der lästigen Formalie ein Steuerungsinstrument gemacht. Unterstützung dabei leistet unser Team vom externen Datenschutzbeauftragten — die AV-Inventur gehört bei uns zum Standardprogramm jeder Bestandsaufnahme.