Wer entscheidet über Zwecke und Mittel?
Die DSGVO unterscheidet Verantwortliche und Auftragsverarbeiter nach ihrer tatsächlichen Rolle. Ein Cloud-Dienst kann Daten weisungsgebunden verarbeiten; andere Leistungen können eigenständige oder gemeinsame Verantwortlichkeit betreffen. Die Bezeichnung im Vertrag ersetzt diese Einordnung nicht. Beschreiben Sie deshalb, welche Daten für welche Zwecke und nach wessen Entscheidungen verarbeitet werden.
Was muss der Vertrag abdecken?
Artikel 28 verlangt unter anderem Angaben zu Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Datenarten und betroffenen Personengruppen. Hinzu kommen Pflichten etwa zu Weisungen, Vertraulichkeit, Sicherheit und Unterstützung. Das Dokument muss zur eingesetzten Leistung passen. Ein allgemeines Formular mit unzutreffenden Systemen oder fehlenden Datenkategorien löst die tatsächlichen Fragen nicht.
Unterauftragnehmer und Sicherheit prüfen
Weitere eingesetzte Dienstleister sind nach den gesetzlichen Anforderungen zu berücksichtigen. Auch technische und organisatorische Maßnahmen müssen zur Verarbeitung passen. Zertifikate können Informationen liefern, ersetzen aber nicht jede eigene Prüfung. Änderungen bei Hosting, Support oder Unterauftragnehmern sollten deshalb nicht nur als rein technische Nebensache behandelt werden.
Drittlandübermittlung ist eine zusätzliche Frage
Ein AV-Vertrag ersetzt nicht automatisch die Voraussetzungen für internationale Datenübermittlungen. Speicherort, Fernzugriff und beteiligte Stellen können hierfür relevant sein. Die Anforderungen des Kapitels V DSGVO sind gegebenenfalls zusätzlich zu prüfen. Aus einer europäischen Rechnungsadresse allein lässt sich nicht der vollständige Datenfluss ableiten.
Vertragsende und Auskunftsfähigkeit organisieren
Rückgabe oder Löschung nach Leistungsende und die Unterstützung bei Betroffenenrechten gehören in eine umsetzbare Regelung. Prüfen Sie außerdem, wie das Unternehmen erforderliche Informationen und Kontrollen erhält. Vertrag, tatsächliche Konfiguration und interne Prozesse sollten übereinstimmen. Eine Datenschutzvereinbarung im Ablageordner genügt nicht, wenn sie im Betrieb nicht umgesetzt wird.
Unterlagen für die konkrete Prüfung
Leistungsbeschreibung, Hauptvertrag, AV-Vertrag, Sicherheitsmaßnahmen, Unterauftragnehmerliste und Übersicht über Datenflüsse und Zugriffe.
Halten Sie bekannte Fristen und Termine bereit. Umfang und Kosten einer weiteren Tätigkeit werden vor der Beauftragung geklärt. Eine allgemeine Anfrage wahrt keine Frist und begründet noch keine Übernahme des Mandats.
Weitere Fragen zum Thema
Braucht jeder Vertrag mit einem IT-Unternehmen automatisch einen AV-Vertrag?
Nein. Entscheidend ist, ob tatsächlich eine Auftragsverarbeitung im Sinne der DSGVO vorliegt. Andere Rollen können andere Vereinbarungen und Pflichten auslösen.
Erlaubt ein AV-Vertrag automatisch jede Übermittlung außerhalb Europas?
Nein. Die Anforderungen an Auftragsverarbeitung und internationale Übermittlung sind getrennt zu prüfen. Beide müssen zur tatsächlichen Leistung und zum Datenfluss passen.
Amtliche Quellen und Einordnung
Quellenabgleich für die Veröffentlichung: 08.11.2026. Für frühere Vorgänge können andere Fassungen und Übergangsregeln gelten. Allgemeine Rechtsinformation mit KI-Unterstützung; die Darstellung ersetzt keine individuelle Beratung und dokumentiert keine individuelle anwaltliche Freigabe.
Passende Ratgeber und Urteilsanalysen
Den eigenen Fall einordnen lassen
Die Kanzlei mandati in Essen ist telefonisch und über die Kontaktseite erreichbar. Beschreiben Sie Ihr konkretes Anliegen und nennen Sie bekannte Termine. Welche Unterlagen zusätzlich benötigt werden und welche Tätigkeit übernommen werden kann, wird anhand Ihrer Situation geklärt.
Quellen und redaktionelle Verantwortung
Herausgeber: MANDATI Rechtsanwaltskanzlei & Steuerberatung in Essen. Verantwortlich für den Internetauftritt: Rechtsanwalt Uğur Demirel.
Die aufgeführten Gesetzestexte helfen beim Nachlesen. Welche Fassung und welche Vorschriften auf Ihren Fall anwendbar sind, hängt vom Sachverhalt ab. Konkrete Gerichtsentscheidungen und weitere Nachweise stehen, soweit vorhanden, im Beitrag.
- Datenschutz-Grundverordnung, insbesondere Artikel 12, 15–17 und 82Im Beitrag verlinkt
- Datenschutz-Grundverordnung (EU) 2016/679Im Beitrag genannt
Allgemeine Rechtsinformation mit KI-Unterstützung. Der Bearbeitungsstand ist kein Nachweis einer individuellen anwaltlichen Prüfung. Quellen & Redaktion · Unsere Anwälte · Kontakt in Essen