Offizieller Skill · Rechtliche Grundlagen

Checkliste für Auftragsverarbeitungsverträge

v1.0.0 · Aktualisiert am 4. November 2026

Prüft einen AVV (DPA) auf Rollen, Unterauftragsverarbeiter, TOM, Meldung von Datenpannen, Übermittlungen, Löschung und Prüfrechte gegen das, was euer Team leisten kann.

Zum Pod meines Teams hinzufügen

Funktioniert in Claude, ChatGPT und Coding-Agents. In Team und Business aktualisiert sich der offizielle Skill in deinem Pod von selbst, wenn wir ihn verbessern.

Wann du ihn nutzt

Ein Enterprise-Kunde schickt seinen AVV zusammen mit dem Vertrag
Du musst den Auftragsverarbeitungsvertrag eines Dienstleisters unterschreiben

Was du ihm gibst

AVV und Hauptvertrag
Deine Rolle bei den Daten
Euer Hosting, eure Dienstleister und euer Vorgehen bei Vorfällen

Was du bekommst

Eine bewertete Klauseltabelle mit einer Spalte „Können wir das?“, noch zu bestätigenden Zusagen und Fragen an Rechtsanwalt oder Rechtsanwältin.

So funktioniert er

Rollen und Umfang bestätigen Nimm die Liste aus Art. 28 Abs. 3 DSGVO als Rahmen der Checkliste: Gegenstand und Dauer, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen und dann 8 Pflichten des Auftragsverarbeiters (dokumentierte Weisungen, Vertraulichkeit des Personals, Sicherheit, Bedingungen für Unterauftragsverarbeiter, Unterstützung bei Anfragen betroffener Personen, Unterstützung bei Sicherheits- und Meldepflichten, Löschung oder Rückgabe am Ende, Informationen und Prüfungen). Finde heraus, wer als Verantwortlicher und wer als Auftragsverarbeiter benannt ist. Passen die Rollen nicht dazu, wie der Dienst tatsächlich funktioniert (zum Beispiel nutzt der Dienstleister die Daten auch für sein eigenes Produkt), markiere rot und frag einen Rechtsanwalt oder eine Rechtsanwältin.
Die Verarbeitung auf Weisung prüfen Der Auftragsverarbeiter sollte nur auf dokumentierte Weisung handeln. Notier jedes Recht, das sich der Auftragsverarbeiter vorbehält, Daten für eigene Zwecke zu nutzen (Analytics, Produktverbesserung, Training von Modellen): immer markieren.
Die Unterauftragsverarbeiter prüfen Ist die Genehmigung gesondert oder allgemein? Bei einer allgemeinen Genehmigung benennt der Auftragsverarbeiter laut den Fragen und Antworten der EU-Kommission zu ihren Standardvertragsklauseln jeden einzelnen Unterauftragsverarbeiter (Kategorien reichen nicht), teilt Änderungen schriftlich mit, und die Parteien legen die Frist dafür fest; der Verantwortliche kann widersprechen. Prüf, ob der AVV sagt, wie viele Tage vorher informiert wird und was nach einem Widerspruch passiert. Bist du der Auftragsverarbeiter, vergleich die Liste mit euren tatsächlichen Dienstleistern; ein fehlender Dienstleister ist rot.
Die technischen und organisatorischen Maßnahmen prüfen Gibt es eine Anlage mit den technischen und organisatorischen Maßnahmen (TOM)? Vergleich jede Zusage mit den Fakten deiner Seite. Eine Zusage ohne passenden Fakt bekommt „[prüfen: ...]“.
Die Meldung von Datenpannen prüfen Notier die Frist genau so, wie sie dasteht. Die Standardvertragsklauseln der Kommission sprechen von „unverzüglich“ und überlassen eine feste Stundenzahl den Parteien; eine harte Stundenfrist ist also verhandelt. Notier, was die Meldung enthalten muss. Bist du der Auftragsverarbeiter und kannst die Frist heute nicht einhalten, markiere rot.
Die Übermittlungen prüfen Wohin die Daten gehen und welchen Mechanismus der AVV nennt. Die Standardvertragsklauseln der Kommission von 2021 für Übermittlungen gelten für Verantwortliche oder Auftragsverarbeiter in der EU, die Daten an solche außerhalb der EU übermitteln, und laut den Fragen und Antworten der Kommission kommt vor dem Rückgriff darauf eine Folgenabschätzung für die Übermittlung (Transfer Impact Assessment); prüf, ob es eine gibt. Beurteile nicht, ob der Mechanismus ausreicht: „[anwaltlich klären: Reicht dieser Übermittlungsmechanismus für diese Länder?]“.
Löschung, Rückgabe und Prüfungen prüfen Löschung oder Rückgabe am Ende, innerhalb welcher Frist und mit Bestätigung. Prüfrechte: wie oft, mit welcher Vorankündigung, wer zahlt, ob ein Bericht eines unabhängigen Dritten eine Vor-Ort-Prüfung ersetzen kann. Unbegrenzte Vor-Ort-Prüfungen auf Kosten des Auftragsverarbeiters sind für einen Auftragsverarbeiter rot.
Haftung und den Rest prüfen Ob der AVV eigene Haftungsregeln hat oder der Haftungsobergrenze des Hauptvertrags folgt, Freistellungen, Unterstützung bei Anfragen betroffener Personen und Rangfolge der Dokumente. Dann Tabelle, Lücken und Fragen schreiben.

Teile ihn mit deinem Team

Füge ihn einem AI Skill Pod hinzu, und alle im Team, auch Freelancer, nutzen dieselbe Version aus ihrer eigenen KI. Lies, wie Teams KI-Skills am besten teilen