Auftragsverarbeitung beim IT-Dienstleister: Wann sie greift und wer sie kontrolliert

Die Auftragsverarbeitung beim IT-Dienstleister beginnt nicht mit einer Unterschrift, sondern in dem Moment, in dem ein externer Betrieb an Kunden- und Beschäftigtendaten herankommt. Genau dieser Moment wird übersehen, weil Wartung wie eine rein technische Leistung aussieht. Was daraus folgt, wo alte Verträge zur Auftragsdatenverarbeitung nicht mehr reichen und wer am Ende haftet, klärt dieser Leitfaden.
Eine Frau reicht einem Mann ein Kuvert mit unversehrtem gelbgrünem Siegel. Sinnbild für die Auftragsverarbeitung beim IT-Dienstleister, die mit dem möglichen Zugriff beginnt.
© KI-generiert (TenMedia)

Wann Auftragsverarbeitung beim IT-Dienstleister greift

54 Prozent der Unternehmen in Deutschland mit mindestens zehn Beschäftigten nutzten 2025 kostenpflichtige Cloud-Dienste, am häufigsten für E-Mail und Datenspeicherung. Beides sind Postfächer und Dateien mit Namen und Adressen bei einem externen Anbieter, und damit Auftragsverarbeitung beim IT-Dienstleister.

Auftragsverarbeitung beim IT-Dienstleister liegt vor, sobald ein externer Anbieter personenbezogene Daten im Auftrag und nach Weisung des beauftragenden Unternehmens verarbeitet, ohne selbst über Zweck und Mittel zu entscheiden. Nach Art. 28 DSGVO braucht dieses Verhältnis einen schriftlichen Auftragsverarbeitungsvertrag. Das beauftragende Unternehmen bleibt dabei Verantwortlicher und damit gegenüber den betroffenen Personen und der Aufsichtsbehörde in der Pflicht.

Der mögliche Zugriff zählt, nicht der tatsächliche

Die Aufsichtsbehörden stellen nicht darauf ab, ob ein Techniker Daten tatsächlich ansieht, denn nach dem Kurzpapier Nr. 13 der Datenschutzkonferenz genügt die Möglichkeit des Zugriffs. Damit entsteht die Pflicht nicht durch eine Handlung, sondern durch eine Berechtigung. Auftragsverarbeitung bei Fernwartung setzt deshalb keinen Datenabruf voraus, sondern nur ein Konto, das ihn erlauben würde. Nachweisen lässt sich diese Berechtigung nur mit Unterlagen, weshalb weiter unten Nachweise, die eine Vor-Ort-Prüfung ersetzen zusammengestellt sind. Hier zählt allein, ob eine Verarbeitung im Auftrag durch den IT-Dienstleister stattfindet.

Welche IT-Leistungen brauchen keinen AVV?

Nicht jede externe Arbeit an der IT löst die Pflicht aus. Entscheidend ist, ob die Verarbeitung personenbezogener Daten die beauftragte Leistung selbst ist oder nur unvermeidliches Beiwerk. Der Landesbeauftragte für den Datenschutz Niedersachsen nennt als Gegenbeispiel eine Druckerei, die fertige Dokumente mit eingesetzten Adressen ausdruckt. Sie verarbeitet keine Daten im Auftrag, sondern druckt. Für Wartung, Support und den laufenden Anwendungsbetrieb gilt das fast nie, weshalb im IT Service Management Auftragsverarbeitung beim IT-Dienstleister der Regelfall ist.

Grenzfälle aus der Aufsichtspraxis

Wann liegt Auftragsverarbeitung vor, und wann ist die Verarbeitung nur Beiwerk? Zwischen beiden Polen liegen Fälle, die sich erst am Vertrag entscheiden. Die Aufsichtsbehörden haben dazu Einordnungen veröffentlicht, die eine rechtliche Prüfung nicht ersetzen.

Eine dokumentierte Einordnung erfüllt einen Teil der Rechenschaftspflicht. Für die IT-Compliance ist die Liste der eingesetzten Dienstleister der erste Prüfpunkt, nicht der letzte.

Was Altverträge zur Auftragsdatenverarbeitung offenlassen

Bis 2018 hieß die Sache Auftragsdatenverarbeitung, kurz ADV, und stand als Datenverarbeitung im Auftrag in § 11 des alten Bundesdatenschutzgesetzes. Viele Vereinbarungen zur Auftragsdatenverarbeitung laufen weiter, weil niemand sie gekündigt hat. Auffällig wird das oft erst beim Exit-Management, wenn Rückgabe und Löschung der Daten anstehen. Sie regeln Kontrolle, aber nicht die Pflichten, die Art. 28 DSGVO hinzufügt, etwa die Meldung von Datenschutzverletzungen an den Auftraggeber. Eine solche Vereinbarung von 2016 ist damit kein Auftragsverarbeitungsvertrag, sondern ein Dokument, das so aussieht. Weil der Wartungsvertrag für Software oft aus derselben Zeit stammt, sind er und die Auftragsdatenverarbeitung zusammen zu prüfen.

Die Verantwortung bleibt beim Auftraggeber

Ein Auftragsverarbeitungsvertrag verlagert keine Verantwortung, er verteilt Pflichten. Verantwortlicher bleibt das beauftragende Unternehmen, auch für die Teile der Verarbeitung, die es selbst nicht sieht. Die Auswahl des Dienstleisters ist damit selbst eine datenschutzrechtliche Entscheidung, keine rein technische. Dazu gehört ein Weisungsrecht, das auch benutzt wird, denn ohne Festlegungen läuft die Auftragsverarbeitung durch den IT-Dienstleister nach den Gewohnheiten des Anbieters. Auftragsverarbeitung ohne Vertrag ist nach Art. 28 Abs. 3 DSGVO nicht vorgesehen.

Reicht das AVV-Formular des Dienstleisters?

Ein eigenes Formular für den Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag, gehört bei IT-Dienstleistern zum Standard und ist oft brauchbar. Geprüft werden muss es dennoch, denn es ist aus Anbietersicht geschrieben und deckt die Auftragsverarbeitung beim IT-Dienstleister aus dessen Blickwinkel ab. Fünf Fragen entscheiden, ob es trägt:

❓ Sind alle Unterauftragsverarbeiter namentlich aufgeführt, mit Teilleistung und Ort?
❓ Steht dort ein Weisungs- und Kontrollrecht oder nur eine Auskunftsbereitschaft?
❓ Sind die technischen und organisatorischen Maßnahmen (TOMs) konkret oder pauschal benannt?
❓ Ist geregelt, was am Ende mit den Daten passiert, und in welcher Frist?
❓ Ist eine Verlagerung in ein Drittland ausgeschlossen oder an Zustimmung gebunden?

Ob ein Auftragsverarbeitungsvertrag erforderlich ist, entscheiden diese Antworten nicht, sie entscheiden nur über seine Qualität.

Auftragsverarbeitung beim IT-Dienstleister prüfen

Art. 28 Abs. 1 DSGVO erlaubt dem Verantwortlichen nur die Zusammenarbeit mit Auftragsverarbeitern, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Welche Maßnahmen geeignet sind, ergibt sich aus Art. 32 DSGVO, der Verschlüsselung, Pseudonymisierung, Verfügbarkeit und regelmäßige Überprüfung nennt. Laut den Aufsichtsbehörden gilt diese Pflicht nicht nur bei Vertragsschluss, sondern über die gesamte Laufzeit. Sie scheitert selten am Willen, sondern an der Ausstattung, denn ein Betrieb mit 80 Beschäftigten hat keine Revisionsabteilung.

Wie prüfen KMU ihren Dienstleister ohne Audit-Team?

Auftragsverarbeitung beim IT-Dienstleister zu prüfen verlangt keinen Besuch vor Ort. Die Verordnung fordert, dass die Einhaltung überprüfbar ist und überprüft wird, und beides lässt sich mit Unterlagen erreichen, sofern diese etwas aussagen. Ein Zertifikat mit passendem Anwendungsbereich wiegt schwerer als eine Selbstauskunft, weil eine unabhängige Stelle es ausgestellt hat. Fehlt der Geltungsbereich, sagt es über die beauftragte Leistung nichts.

Nachweise, die eine Vor-Ort-Prüfung ersetzen

Ein belastbares Nachweispaket besteht aus wenigen Dokumenten, die die Kontrollpflicht abdecken. Es wird einmal angefordert, datiert abgelegt und bei jeder Verlängerung erneuert.

Fehlt eines dieser Dokumente, ist das noch kein Befund, sondern eine Frage. Bleibt sie unbeantwortet, läuft Auftragsverarbeitung beim IT-Dienstleister ohne die Kontrolle des Auftragsverarbeiters, die Art. 28 verlangt.

Unterauftragsverarbeiter im Hosting erkennen

Hinter dem beauftragten Betrieb stehen weitere Anbieter, etwa ein Rechenzentrum, ein Cloud-Anbieter oder ein Domain-Dienst. Alle sind Unterauftragsverarbeiter und müssen im Vertrag stehen, denn ein IT-Dienstleister als Auftragsverarbeiter haftet für sie voll, auch wenn er sie einkauft. Eine Auftragsverarbeitung beim Hosting entsteht unabhängig vom Einblick in die Inhalte, weil bereits die Speicherung eine Verarbeitung ist. Managed Hosting für Individualsoftware bündelt die Kette bei einem Vertragspartner, ein selbst zusammengestellter Betrieb verteilt sie auf mehrere.

Löschung und Rückgabe am Ende der Zusammenarbeit

Die Auftragsverarbeitung beim IT-Dienstleister endet nicht mit der Kündigung. Art. 28 Abs. 3 Buchstabe g DSGVO verlangt, dass der Auftragsverarbeiter die Daten nach Ende der Leistung löscht oder zurückgibt, je nach Wahl des Verantwortlichen. Ohne Frist und Nachweisform im AV-Vertrag hängt die Rückgabe am Entgegenkommen eines Anbieters, der gerade den Auftrag verloren hat. Beim Wechsel des IT-Dienstleisters fällt das doppelt ins Gewicht, weil dieselben Bestände übergeben und gelöscht werden müssen.

Unterauftragsverarbeiter beim Vertragsende

Die Löschpflicht endet nicht beim direkten Vertragspartner. Auch Subunternehmer, die Kopien in Sicherungen oder Protokollen halten, müssen sie entfernen, und der Auftragsverarbeiter haftet weiter. Damit sind diese Zuständigkeiten Teil des laufenden Vertrags. Vor der Kündigung sind vier Punkte zu klären:

TenMedia tritt in Wartungs- und Betriebsprojekten selbst als Auftragsverarbeiter auf und legt dafür einen Mustervertrag nach Art. 28 DSGVO samt vollständiger Subunternehmerliste vor. Alle vier Unterauftragnehmer haben ihren Sitz in der EU, und eine Verlagerung in ein Drittland setzt die Zustimmung des Auftraggebers voraus. Für die Plattform zum Pre-Employment-Screening gilt derselbe Rahmen, dort werden Bewerberdaten im Auftrag verarbeitet.

FAQs

Ist Fernwartung ohne tatsächlichen Datenzugriff schon Auftragsverarbeitung? keyboard_arrow_down keyboard_arrow_up
Ja, Auftragsverarbeitung bei Fernwartung setzt keinen tatsächlichen Zugriff voraus, sondern nur die technische Möglichkeit. Nicht darunter fallen rein technische Arbeiten ohne Datenbezug, etwa an Stromversorgung, Kühlung oder Klimatechnik. Entscheidend ist die Berechtigung, nicht ihre Nutzung. Ein Wartungsvertrag ersetzt den AV-Vertrag dabei nicht.
Muss der Auftraggeber jeden Unterauftragsverarbeiter des IT-Dienstleisters genehmigen? keyboard_arrow_down keyboard_arrow_up
Ohne Genehmigung darf der Auftragsverarbeiter keinen weiteren Dienstleister einsetzen. Art. 28 Abs. 2 DSGVO lässt zwei Wege zu. Bei der gesonderten Genehmigung stimmt der Auftraggeber jedem Unterauftragsverarbeiter vorher schriftlich zu. Bei der allgemeinen Genehmigung wird eine Liste vereinbart, und der Dienstleister muss jede Änderung vorher mitteilen, sodass der Auftraggeber widersprechen kann. In beiden Fällen gelten für den Unterauftragsverarbeiter dieselben Datenschutzpflichten wie für den Hauptdienstleister. Die Liste gehört deshalb in den Vertrag und nicht in eine Anlage, die niemand pflegt, denn nur so bleibt die Kontrolle des Auftragsverarbeiters praktisch überhaupt möglich.
Wie regelt TenMedia die Auftragsverarbeitung in Wartungs- und Betriebsprojekten? keyboard_arrow_down keyboard_arrow_up
Grundlage ist ein Mustervertrag nach Art. 28 DSGVO mit Subunternehmerliste, dazu ein datiertes Dokument zu den technischen und organisatorischen Maßnahmen. Die Zertifizierung nach ISO 27001 durch den TÜV SÜD deckt Entwicklung, Hosting und Wartung ab. Damit ist die Auftragsverarbeitung beim IT-Dienstleister nachweisbar.