Was muss in einen Auftragsverarbeitungsvertrag?
Die Themenliste gliedert Art. 28 Abs. 3 DSGVO in sechs Rahmenangaben und die acht Pflichten nach lit. a bis h. Markieren Sie, welche Themen Sie im Vertrag gefunden haben. Die Arbeitsunterlage zeigt Ihre Markierungen und offene Punkte; sie prüft weder Klauseln noch die Wirksamkeit des Vertrags.
Inhalt aktualisiert:
Markieren Sie, welche Themen Sie in Ihrem Vertrag gefunden haben. Nicht markiert bedeutet noch offen. Übertragen werden nur die Markierungen, kein Vertragstext; gespeichert wird nichts. Auch alle Haken bestätigen keinen wirksamen Vertrag.
Rahmen des Auftrags (Art. 28 Abs. 3 Satz 1 DSGVO)
Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 Satz 2 DSGVO)
Ihre Einordnung mit offenen Punkten und Arbeitsunterlage erscheint hier.
So geht es
- Den Rahmen des Auftrags abhakenGegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 Satz 1 DSGVO). Ohne sie steht nicht fest, worauf sich die Pflichten des Dienstleisters beziehen.
- Die acht Pflichten abhakenWeisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32, Bedingungen für weitere Auftragsverarbeiter, Unterstützung bei den Betroffenenrechten, Unterstützung bei den Pflichten aus Art. 32 bis 36, Löschung oder Rückgabe nach Abschluss sowie Nachweise und Überprüfungen (lit. a bis h).
- Eigene Markierungen lesenSie sehen die markierten und offenen Themen, getrennt nach beiden Gruppen. Nicht markiert heißt offen in Ihrer Liste; die Software kennt den Vertrag nicht. Auch 14 von 14 bestätigen keine Rechtskonformität.
- Unterlage zur Weiterarbeit mitnehmenLaden Sie TXT herunter oder drucken Sie die Liste. Notieren Sie Fundstellen, offene Vertragsanlagen und Fragen an den Anbieter erst in Ihrer eigenen geschützten Datei. Nach einer Korrektur ist die Unterlage neu zu erstellen.
Warum vierzehn und nicht acht
Satz 1 beschreibt den Auftrag, Satz 2 die Pflichten des Auftragsverarbeiters. Für die Arbeitsliste sind Gegenstand und Dauer getrennt, Art und Zweck der Verarbeitung zusammengefasst. So entstehen sechs Rahmenangaben und acht Pflichtthemen. Die Zahl 14 ist diese Gliederungshilfe, kein im Gesetz festgelegter Vollständigkeitswert.
Die Vertragspflichten müssen zur tatsächlichen Verarbeitung passen. Die endgültigen EDPB-Leitlinien 07/2020 verlangen konkrete Regelungen statt einer bloßen Wiederholung der DSGVO. Prüfen Sie auch ausgefüllte Anlagen, Sicherheitsmaßnahmen, Unterauftragnehmer und gegebenenfalls Drittlandübermittlungen. Die Form nach Art. 28 Abs. 9 ist zusätzlich zu beachten.
Was ein vollständiger Eintrag heißt und was nicht
Eine Markierung bedeutet hier ausschließlich: Sie haben das Thema als geregelt eingeordnet. Die Website liest keinen Vertrag. Ein offenes Thema kann im Vertrag vorhanden sein, aber noch nicht geprüft oder markiert worden sein. Halten Sie Fundstellen und Unsicherheiten deshalb in Ihrer eigenen Ablage fest.
Die Themenliste setzt eine Auftragsverarbeitung voraus. Ob der Dienstleister Auftragsverarbeiter, eigener oder gemeinsam Verantwortlicher ist, muss vorher anhand der tatsächlichen Aufgabe geklärt werden. Das Werkzeug erzeugt keinen Vertragstext und trifft keine rechtliche Entscheidung über einen konkreten Vertrag.
Die beiden Zusagen, die man erst im Ernstfall vermisst
lit. e betrifft die Unterstützung bei Betroffenenrechten durch geeignete technische und organisatorische Maßnahmen, soweit dies möglich ist und unter Berücksichtigung der Art der Verarbeitung. Der Vertrag oder seine Anlagen sollen beschreiben, wie Anfragen weitergeleitet und Informationen bereitgestellt werden. Die Verantwortung für die Bearbeitung verbleibt beim Verantwortlichen.
lit. f betrifft die Unterstützung bei den Pflichten aus Art. 32 bis 36 unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen. Dazu gehören Sicherheit, Datenpannen und erforderliche Folgenabschätzungen. Klären Sie konkrete Kontaktwege und Abläufe; eine Überschrift allein sagt noch nichts über die vereinbarte Unterstützung aus.
Quellen und amtliche Anlaufstellen
- Art. 28 DSGVO: Auftragsverarbeiter
- EDPB: endgültige Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
Häufige Fragen
Reicht ein unterschriebenes Muster aus dem Netz?
Ein Muster muss zur tatsächlichen Verarbeitung passen und mit seinen Anlagen inhaltlich geprüft werden. Die Liste übernimmt nur Ihre Markierungen. Sie bestätigt weder einen wirksamen Vertrag noch ausreichende Schutzmaßnahmen.
Muss der Vertrag auf Papier unterschrieben sein?
Nein. Art. 28 Abs. 9 DSGVO verlangt Schriftform und lässt ein elektronisches Format ausdrücklich genügen. Wer daraus einen Postweg macht, verschärft die Verordnung und verzögert jeden Vertragsschluss.
Was gilt für Unterauftragnehmer?
lit. d verlangt, dass der Vertrag die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter regelt (Art. 28 Abs. 2 und Abs. 4 DSGVO). Halten Sie fest, welche Regelung Ihr Vertrag dafür trifft; ohne sie fehlt der Maßstab, wenn der Dienstleister seinerseits jemanden einschaltet.
Gehört jeder Dienstleister in das Verzeichnis?
Hinein gehört, wer personenbezogene Daten in Ihrem Auftrag verarbeitet. Im Verarbeitungsverzeichnis erscheinen diese Stellen als Kategorien von Empfängern (Art. 30 Abs. 1 lit. d DSGVO); hier steht daneben, ob der Vertrag mit ihnen die vierzehn Angaben trägt.
Alle Funktionen inklusive. Keine Kreditkarte.
Auftragsverarbeiter im Verzeichnis führen14 Themen auf Grundlage des Art. 28 Abs. 3 · Arbeitsunterlage als TXT und Druck · Keine Vertragsinhalte erforderlich
Diese Arbeitsliste hält Ihre eigenen Markierungen zu Art. 28 Abs. 3 DSGVO fest. Sie erzeugt keinen Vertragstext und prüft keinen vorgelegten Vertrag rechtlich. Nicht markiert bedeutet offen in der Liste; auch 14 von 14 bestätigen keine Rechtskonformität. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.