Was muss in einen Auftragsverarbeitungsvertrag?
Art. 28 Abs. 3 DSGVO verlangt vierzehn Angaben in zwei Gruppen: sechs zum Rahmen des Auftrags (Satz 1) und acht Pflichten des Auftragsverarbeiters (Satz 2 lit. a bis h). Die Checkliste hakt sie einzeln ab und sagt, wie viele belegt sind. Sie erzeugt keinen Vertragstext und prüft keinen vorgelegten Vertrag rechtlich.
Kreuzen Sie an, was Ihr Vertrag regelt. Der Vertragstext wird nicht übertragen, und es wird nichts gespeichert.
Rahmen des Auftrags (Art. 28 Abs. 3 Satz 1 DSGVO)
Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 Satz 2 DSGVO)
Ihr Ergebnis erscheint hier.
So geht es
- Den Rahmen des Auftrags abhakenGegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen (Art. 28 Abs. 3 Satz 1 DSGVO). Ohne sie steht nicht fest, worauf sich die Pflichten des Dienstleisters beziehen.
- Die acht Pflichten abhakenWeisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32, Bedingungen für weitere Auftragsverarbeiter, Unterstützung bei den Betroffenenrechten, Unterstützung bei den Pflichten aus Art. 32 bis 36, Löschung oder Rückgabe nach Abschluss sowie Nachweise und Überprüfungen (lit. a bis h).
- Ergebnis lesenSie sehen, wie viele der vierzehn Angaben belegt sind und welche fehlen, getrennt nach beiden Gruppen. Eine Lücke im Rahmen wiegt schwerer als eine offene Zusage, weil ohne ihn der Bezugspunkt fehlt.
- Verträge im Verzeichnis haltenGeschlossen wird schriftlich, ein elektronisches Format genügt ausdrücklich (Art. 28 Abs. 9 DSGVO). Im Konto liegt je Dienstleister ein Eintrag mit Stand und offenen Angaben, statt einer Sammlung von Dateianhängen im Postfach.
Warum vierzehn und nicht acht
Die verbreitete Liste zählt lit. a bis h und übersieht Satz 1. Der Wortlaut trennt beides: Satz 1 beschreibt den Auftrag, Satz 2 die Zusagen des Auftragsverarbeiters. Eine flache Liste von vierzehn Haken verwischt, wer wem was schuldet, und deshalb zählt die Checkliste beide Gruppen getrennt. Wo die Rahmenangaben in einer Anlage stehen, lohnt der Blick, ob diese Anlage wirklich ausgefüllt ist.
Einen Vorbehalt gibt es hier nicht. Art. 30 Abs. 1 stellt für das Verarbeitungsverzeichnis zwei Angaben unter „wenn möglich“; Art. 28 Abs. 3 kennt nichts dergleichen. Alle vierzehn sind Pflichtinhalt, und die Form nach Abs. 9 ist keine fünfzehnte Angabe, sondern die Art, wie der Vertrag festgehalten wird.
Was ein vollständiger Eintrag heißt und was nicht
Belegt heißt: Zu jeder der vierzehn Angaben steht etwas im Eintrag. Ob eine Angabe inhaltlich trägt, entscheidet der Verantwortliche; ein Haken ist keine Vertragsprüfung. Die Grenze gilt in beide Richtungen – was hier fehlt, fehlt im Eintrag. Vielleicht steht es im Vertrag und nur das Formular ist noch nicht ausgefüllt; ein Urteil über ein Dokument, das die Software nie gelesen hat, gibt sie nicht ab.
Aus demselben Grund erzeugt das Werkzeug keinen Vertragstext. Ein Muster, das jemand ungeprüft unterschreibt, wäre die teurere Variante desselben Fehlers, und die rechtliche Prüfung eines fremden Vertrags wäre Rechtsberatung.
Die beiden Zusagen, die man erst im Ernstfall vermisst
lit. e verpflichtet den Auftragsverarbeiter, Sie bei Anträgen betroffener Personen nach Kapitel III DSGVO zu unterstützen. Die Antwortfrist bleibt in jedem Fall bei Ihnen: unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Ohne diese Zusage haben Sie keinen vertraglichen Anspruch darauf, dass der Dienstleister mitwirkt, während die Daten bei ihm liegen.
lit. f betrifft die Unterstützung bei den Pflichten aus Art. 32 bis 36 DSGVO, zu denen die Meldung einer Datenpanne gehört. Der Auftragsverarbeiter meldet unverzüglich an Sie und nicht an die Aufsichtsbehörde (Art. 33 Abs. 2 DSGVO). Wie schnell er Sie erreicht, entscheidet über den Rest Ihrer eigenen Frist: Was bei ihm liegen bleibt, fehlt Ihnen hinterher an den 72 Stunden.
Häufige Fragen
Reicht ein unterschriebenes Muster aus dem Netz?
Das lässt sich pauschal nicht beantworten, und dieses Werkzeug tut es auch nicht. Es hakt ab, ob zu jeder der vierzehn Angaben etwas dasteht. Ob der Text zu Ihrem konkreten Auftrag passt, ist eine Frage an den Vertrag und nicht an eine Checkliste.
Muss der Vertrag auf Papier unterschrieben sein?
Nein. Art. 28 Abs. 9 DSGVO verlangt Schriftform und lässt ein elektronisches Format ausdrücklich genügen. Wer daraus einen Postweg macht, verschärft die Verordnung und verzögert jeden Vertragsschluss.
Was gilt für Unterauftragnehmer?
lit. d verlangt, dass der Vertrag die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter regelt (Art. 28 Abs. 2 und Abs. 4 DSGVO). Halten Sie fest, welche Regelung Ihr Vertrag dafür trifft; ohne sie fehlt der Maßstab, wenn der Dienstleister seinerseits jemanden einschaltet.
Gehört jeder Dienstleister in das Verzeichnis?
Hinein gehört, wer personenbezogene Daten in Ihrem Auftrag verarbeitet. Im Verarbeitungsverzeichnis erscheinen diese Stellen als Kategorien von Empfängern (Art. 30 Abs. 1 lit. d DSGVO); hier steht daneben, ob der Vertrag mit ihnen die vierzehn Angaben trägt.
Alle Funktionen inklusive. Keine Kreditkarte.
Auftragsverarbeiter im Verzeichnis führenVierzehn Angaben im Wortlaut des Art. 28 Abs. 3 · Rahmen und Pflichten getrennt gezählt · Rechnet ohne Anmeldung
Dieses Verzeichnis hält fest, welche der vierzehn Pflichtangaben des Art. 28 Abs. 3 DSGVO in Ihrem Eintrag belegt sind; es erzeugt keinen Vertragstext und prüft keinen vorgelegten Vertrag rechtlich. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.