Startseite › Auftragsverarbeitung
Auftragsverarbeitung: wer dazuzählt, was in den Vertrag gehört
Stand: August 2026
Kurz gefasst: Ein Auftragsverarbeiter ist jeder Dienstleister, der personenbezogene Daten weisungsgebunden für Sie verarbeitet — Cloudspeicher, CRM, Newsletter-Dienst, Webhosting, externe IT. Mit jedem von ihnen ist ein Vertrag nach Art. 28 DSGVO zu schließen. Nicht dazu zählen Dienstleister, die aufgrund eigener Berufspflichten selbst entscheiden — allen voran die Steuerberatung, die überwiegend als eigenständig Verantwortliche gilt.
Die Abgrenzung, an der es meistens hakt
Entscheidend ist nicht, wer die Daten technisch speichert, sondern wer über Zweck und Mittel der Verarbeitung entscheidet. Wer nur ausführt, was Sie vorgeben, ist Auftragsverarbeiter. Wer aufgrund eigener beruflicher oder gesetzlicher Pflichten selbst entscheidet, ist eigenständig verantwortlich.
| Dienstleister | Einordnung | Was zu tun ist |
|---|---|---|
| Cloudspeicher, Office-Pakete | Auftragsverarbeiter | Vertrag abschließen, Serverstandort und Unterauftragnehmer prüfen |
| CRM-, ERP- und Buchhaltungssoftware | Auftragsverarbeiter | Vertrag abschließen, meist beim Anbieter abrufbar |
| Newsletter- und Marketingwerkzeuge | Auftragsverarbeiter | Vertrag abschließen, Drittlandsübermittlung gesondert prüfen |
| Webhosting, Formular- und Analysedienste | Auftragsverarbeiter | Vertrag abschließen — wird häufig vergessen |
| Externe IT-Betreuung, Fernwartung | Auftragsverarbeiter | Vertrag abschließen, Zugriffe protokollieren |
| Steuerberatung, Rechtsvertretung, Wirtschaftsprüfung | in der Regel eigenständig verantwortlich | Kein Vertrag nach Art. 28; Übermittlung braucht eine eigene Grundlage |
| Lohnverrechnung ohne eigenen Entscheidungsspielraum | strittig, im Einzelfall zu klären | Mit der Kanzlei abstimmen und die Einordnung schriftlich festhalten |
| Post-, Druck- und Versanddienstleister | Auftragsverarbeiter | Vertrag abschließen, sofern Adressdaten übergeben werden |
| Reinigungsfirma, Wachdienst | meist nicht | Kein Vertrag; Zugriff auf Unterlagen organisatorisch verhindern |
Weil sie ähnlich aussieht wie ein Dienstleister: Sie bekommt Daten und arbeitet damit. Sie erfüllt dabei aber eigene berufsrechtliche Pflichten und ist an Weisungen nicht in derselben Weise gebunden. Ein Vertrag nach Art. 28 wäre inhaltlich falsch — was fehlt, ist stattdessen die saubere Grundlage für die Übermittlung und deren Vermerk im Verarbeitungsverzeichnis.
Was im Vertrag stehen muss
Art. 28 Abs. 3 DSGVO gibt den Inhalt vor. Ein Vertrag, dem einer dieser Punkte fehlt, erfüllt seinen Zweck nicht — auch wenn er unterschrieben ist:
- Gegenstand und Dauer der Verarbeitung.
- Art und Zweck der Verarbeitung sowie Art der Daten und Kategorien betroffener Personen.
- Verarbeitung nur auf dokumentierte Weisung, einschließlich der Regelung für Drittlandsübermittlungen.
- Vertraulichkeit der eingesetzten Personen.
- Technische und organisatorische Maßnahmen nach Art. 32 — als Anlage, nicht als Floskel.
- Bedingungen für Unterauftragnehmer: Genehmigung, Information über Wechsel, Weitergabe derselben Pflichten.
- Unterstützung bei Betroffenenrechten — Auskunft, Löschung, Berichtigung.
- Unterstützung bei Meldepflichten nach einer Datenpanne, mit Reaktionszeit.
- Löschung oder Rückgabe nach Ende der Leistung, nach Ihrer Wahl.
- Nachweise und Prüfrechte, inklusive der Duldung von Überprüfungen.
Die drei Punkte, die im Alltag wirklich zählen
- Unterauftragnehmer. Ihr Anbieter nutzt selbst Dienstleister — Rechenzentrum, Support, Backup. Die Liste gehört in den Vertrag oder in eine verlinkte Übersicht, und Änderungen müssen Ihnen mitgeteilt werden. Sonst wissen Sie nicht, wo Ihre Kundendaten tatsächlich liegen.
- Drittland. Liegen Daten außerhalb der EU oder des EWR, braucht es eine eigene Grundlage. Fragen Sie konkret nach dem Serverstandort und danach, ob Support- oder Wartungszugriffe aus Drittstaaten erfolgen — das wird häufig übersehen, weil die Daten selbst in der EU liegen.
- Rückgabe und Löschung. Was passiert am Ende? Ein Vertrag, der die Rückgabe in einem Format vorsieht, das Sie nicht weiterverwenden können, ist eine Sackgasse. Klären Sie Format und Frist, bevor Sie einsteigen.
So finden Sie die fehlenden Verträge
Nicht aus dem Gedächtnis — sondern über die Spuren, die Werkzeuge im Betrieb hinterlassen:
- Kontoauszüge und Kreditkartenabrechnungen der letzten zwölf Monate durchgehen Jedes Software-Abo taucht dort auf, auch das, an das sich niemand erinnert.
- Browser-Lesezeichen und gespeicherte Zugänge im Team abfragen Werkzeuge, die ohne Beteiligung der Geschäftsführung eingeführt wurden, finden sich hier.
- Postfach nach „Willkommen bei" durchsuchen Registrierungsmails sind ein zuverlässiger Fund — inklusive Datum der Einführung.
- Je Werkzeug prüfen: Vertrag vorhanden? Die meisten Anbieter stellen ihn zum Download oder zur elektronischen Annahme bereit.
- Ergebnis in das Verarbeitungsverzeichnis übernehmen Die Liste, die dabei entsteht, ist ohnehin dessen Grundlage — zwei Aufgaben, ein Durchgang.
Ein kostenloses Werkzeug, das jemand „nur kurz zum Ausprobieren" verwendet hat und in dem seit zwei Jahren echte Kundendaten liegen. Kostenlos heißt nicht folgenlos: Auch dort braucht es einen Vertrag — oder die Daten müssen dort weg.
Wie das mit den anderen Pflichten zusammenhängt
Die Liste Ihrer Werkzeuge ist die Grundlage für gleich drei Nachweise: das Verarbeitungsverzeichnis, die Auskunftsfähigkeit — man muss wissen, wo gesucht wird — und das Löschkonzept, denn gelöscht werden muss überall, nicht nur im Hauptsystem.
Welche Nachweise fehlen bei Ihnen?
Der Pflichten-Check fragt Verzeichnis, Auftragsverarbeitung, Einwilligungen, Löschfristen, Auskunftsfähigkeit und Arbeitszeitaufzeichnung ab — Befund sofort am Bildschirm.
Pflichten-Check starten Neun Fragen, rund drei Minuten, kostenlos.