Auftragsverarbeitung & Datenschutz
Datenschutz ist bei ERP- und Digitalisierungsprojekten nicht nur eine Vertragsanlage. Es geht darum, nachvollziehbar festzulegen, wer über Zwecke und Mittel einer Verarbeitung entscheidet, wer Daten in wessen Auftrag verarbeitet und welche Regeln für Zugriffe, Weisungen, Dienstleister, Sicherheitsvorfälle und die spätere Löschung gelten.
Auf dieser Seite erläutern wir die wichtigsten Grundlagen und typischen Prüfpunkte. Sie dient der allgemeinen Orientierung und ersetzt weder eine individuelle Datenschutzprüfung noch einen abgeschlossenen Auftragsverarbeitungsvertrag (AVV). Ob ein AVV erforderlich ist und welche Inhalte er im konkreten Fall haben muss, hängt von den tatsächlichen Aufgaben, Datenflüssen und Rollen im jeweiligen Projekt ab.
1. Was bedeutet Auftragsverarbeitung?
Nach der Datenschutz-Grundverordnung (DSGVO) liegt Auftragsverarbeitung vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach dokumentierten Weisungen eines Verantwortlichen verarbeitet. Der Verantwortliche legt grundsätzlich fest, warum und in welchem Umfang die Daten verarbeitet werden. Der Auftragsverarbeiter verarbeitet sie für diesen Zweck und darf die Daten nicht eigenmächtig für eigene, davon unabhängige Zwecke verwenden.
Ein Auftragsverarbeitungsvertrag – häufig „AVV“ oder „AV-Vertrag“ genannt – dokumentiert die Vereinbarung nach Artikel 28 DSGVO. Er beschreibt die konkrete Verarbeitung und verteilt Pflichten zwischen den Parteien. Ein AVV ist deshalb nicht bloß eine allgemeine Vertraulichkeitsvereinbarung und auch kein pauschaler Nachweis dafür, dass sämtliche Datenschutzanforderungen eines Projekts erfüllt sind.
Die tatsächliche Rolle richtet sich nach der gelebten Praxis und nicht allein nach der Überschrift eines Vertrags. Ein Anbieter kann für eine Tätigkeit Auftragsverarbeiter und für eine andere Tätigkeit selbst Verantwortlicher sein. Auch eine gemeinsame Verantwortlichkeit kann in Betracht kommen, wenn mehrere Parteien gemeinsam Zwecke und wesentliche Mittel bestimmen. Diese Rollen sind vor Beginn der jeweiligen Verarbeitung sorgfältig zu prüfen.
2. Wann ist ein AV-Vertrag erforderlich?
Ein AVV ist regelmäßig erforderlich, wenn ein externer Dienstleister personenbezogene Daten ausschließlich für die Aufgaben eines Kunden verarbeitet und dabei an dessen dokumentierte Weisungen gebunden ist. Das kann beispielsweise bei gehosteten Anwendungen, ausgelagerten Supportleistungen oder bestimmten Tätigkeiten in einem ERP-Projekt der Fall sein. Entscheidend ist nicht, dass ein Projekt mit IT oder ERP zu tun hat, sondern welche konkreten Daten der Dienstleister zu welchem Zweck tatsächlich verarbeitet.
Nicht jede Zusammenarbeit mit einem Dienstleister ist automatisch Auftragsverarbeitung. Erbringt ein Anbieter eine Leistung ohne Zugriff auf personenbezogene Daten, kann ein AVV für diese Tätigkeit entbehrlich sein. Verarbeitet er Daten für eigene gesetzliche Pflichten oder eigene Zwecke, kann er insoweit selbst Verantwortlicher sein. Bei gemeinsamer Festlegung von Zwecken und Mitteln kann eine Vereinbarung über gemeinsame Verantwortlichkeit statt eines AVV erforderlich werden.
Die Einordnung sollte vor dem Zugriff auf Produktivdaten erfolgen. Dabei zählen auch Supportfälle, Fernwartung, Test- und Migrationsumgebungen, Protokolldaten, Exporte und Sicherungskopien. Ein bloß theoretischer Zugriff und ein regelmäßig tatsächlich genutzter Zugriff können für die Prüfung unterschiedliche Bedeutung haben.
3. Rollen im ERP- und Beratungsprojekt
Bei Beratung, Einführung, Anpassung, Migration und Support kann die Rolle je nach Arbeitsschritt verschieden sein. Ein Kunde kann zum Beispiel Verantwortlicher für die Beschäftigten-, Kunden- oder Lieferantendaten in seinem ERP-System sein. Ein Dienstleister kann Auftragsverarbeiter sein, wenn er bei einer konkret vereinbarten Aufgabe auf diese Daten zugreift und dies ausschließlich nach Kundenweisung tut.
Andere Tätigkeiten können davon abzugrenzen sein: Eine Beratung auf Basis anonymisierter oder ausschließlich geschäftlicher Kontaktdaten ist nicht ohne Weiteres dieselbe Verarbeitung wie eine Fernwartung an einem Produktivsystem. Vertragsabwicklung, Rechnungsstellung und gesetzliche Aufbewahrungspflichten des Dienstleisters können außerdem eigene Verarbeitungsvorgänge darstellen. Die Zuordnung muss daher anhand der realen Leistungsbeschreibung und der Datenflüsse erfolgen.
Die Beispiele auf dieser Seite sind allgemeine Erläuterungen. Sie bestätigen nicht, dass in jedem Auftrag dieselben Daten verarbeitet werden oder dass für jeden Kunden dieselbe Rolle gilt. Projektumfang, eingesetzte Systeme, Zugriffsrechte und Unterauftragnehmer sind im Einzelfall festzustellen.
4. Was muss ein AVV mindestens regeln?
Artikel 28 Absatz 3 DSGVO verlangt insbesondere, dass Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen beschrieben werden. Ebenso müssen Rechte und Pflichten des Verantwortlichen und die Verarbeitungspflichten des Auftragsverarbeiters geregelt sein. Eine belastbare Vereinbarung ist auf die tatsächliche Leistung zugeschnitten, verständlich dokumentiert und mit den dazugehörigen Anlagen konsistent.
Weisungen und Zweckbindung
Der Vertrag sollte festlegen, in welcher Form Weisungen erteilt werden, wer dazu berechtigt ist und wie Änderungen dokumentiert werden. Der Dienstleister verarbeitet die Daten nur im Rahmen der vereinbarten Zwecke und rechtmäßigen Weisungen. Hält er eine Weisung für datenschutzwidrig, muss der vereinbarte Prozess vorsehen, wie er den Kunden darauf hinweist. Gesetzliche Pflichten, die eine Verarbeitung verlangen, sind gesondert zu berücksichtigen.
Vertraulichkeit und berechtigte Zugriffe
Personen, die zur Verarbeitung befugt sind, müssen zur Vertraulichkeit verpflichtet und angemessen auf ihre Aufgaben hingewiesen sein. Zugriffe sollten auf diejenigen Personen und Daten beschränkt werden, die für die jeweilige Tätigkeit erforderlich sind. Welche Berechtigungen, Freigaben und Nachweise im Projekt sinnvoll sind, hängt unter anderem von Datenarten, Systemarchitektur und Supportmodell ab.
Technische und organisatorische Maßnahmen
Der AVV muss die Sicherheit der Verarbeitung nach Artikel 32 DSGVO berücksichtigen. Dazu gehören angemessene Maßnahmen, die Risiken wie unbefugte Offenlegung, Veränderung, Verlust oder Nichtverfügbarkeit adressieren. Typische Themen für die Prüfung sind Zutritts-, Zugangs- und Zugriffskontrolle, Berechtigungsmanagement, sichere Übertragung und Speicherung, Verfügbarkeit, Wiederherstellbarkeit, Protokollierung, Trennung unterschiedlicher Datenbestände und regelmäßige Überprüfung der Maßnahmen.
Diese Beispiele sind keine pauschale Zusicherung, dass jede genannte Maßnahme in jedem Projekt in identischer Form eingesetzt wird. Erforderlichkeit und Ausgestaltung sind risikobasiert und abhängig vom konkreten Auftrag zu beurteilen. Maßnahmendetails gehören in die projektbezogene Dokumentation und sollten nicht mit allgemeinen Werbeaussagen verwechselt werden.
Unterauftragsverarbeiter
Ein Auftragsverarbeiter darf weitere Auftragsverarbeiter nur unter den Voraussetzungen des Artikels 28 DSGVO einsetzen. Der AVV muss regeln, ob eine besondere oder allgemeine schriftliche Genehmigung gilt und wie der Kunde über beabsichtigte Änderungen informiert wird. Bei allgemeiner Genehmigung muss der Kunde die Möglichkeit erhalten, gegen Änderungen Einspruch zu erheben. Der ursprüngliche Auftragsverarbeiter muss die Datenschutzpflichten an den Unterauftragsverarbeiter weitergeben und bleibt dem Verantwortlichen gegenüber für dessen Pflichten verantwortlich.
Für jedes Projekt sollten die tatsächlich benötigten Unterauftragnehmer, ihre Aufgaben und die relevanten Verarbeitungsorte geprüft werden. Eine Dienstleisterliste sollte mit dem Vertrag und der gelebten Leistung übereinstimmen. Auf dieser allgemeinen Informationsseite wird bewusst keine projektübergreifende Liste behauptet, die nicht für jeden Auftrag zutreffen würde.
Unterstützung bei Betroffenenrechten und Datenschutzpflichten
Der Auftragsverarbeiter muss den Verantwortlichen, soweit möglich und unter Berücksichtigung der Art der Verarbeitung, bei der Beantwortung von Anfragen betroffener Personen unterstützen. Dazu zählen je nach Auftrag beispielsweise Auskunft, Berichtigung, Löschung, Einschränkung oder Datenübertragbarkeit. Ebenso sind angemessene Unterstützung bei Pflichten nach Artikeln 32 bis 36 DSGVO, etwa bei Sicherheitsbewertungen oder Datenschutz-Folgenabschätzungen, zu vereinbaren.
Meldung von Datenschutzverletzungen
Der Vertrag sollte einen klaren Kommunikationsweg vorsehen, damit der Auftragsverarbeiter den Verantwortlichen unverzüglich über eine Verletzung des Schutzes personenbezogener Daten informiert. Eine solche Meldung sollte die verfügbaren Informationen enthalten, die der Verantwortliche benötigt, um Risiko, Umfang, mögliche Folgen und erforderliche Folgemaßnahmen zu bewerten. Der Verantwortliche bleibt für seine eigenen Melde- und Benachrichtigungspflichten zuständig; dafür gelten gesetzliche Fristen und Voraussetzungen.
Nachweis, Prüfung und Audits
Der Auftragsverarbeiter muss Informationen bereitstellen, die erforderlich sind, um die Einhaltung der vereinbarten Pflichten nachzuweisen, und Prüfungen einschließlich Inspektionen ermöglichen. Vertraglich lassen sich dafür nachvollziehbare Verfahren festlegen: zum Beispiel geeignete Nachweise, angemessene Ankündigungsfristen, Schutz anderer Kunden und Geschäftsgeheimnisse sowie Regeln für Aufwand und Häufigkeit. Eine Zertifizierung allein ersetzt nicht automatisch jede Prüfung des konkreten Auftrags.
Rückgabe und Löschung
Nach Ende der Leistung muss der Auftragsverarbeiter nach Wahl des Verantwortlichen die personenbezogenen Daten zurückgeben oder löschen, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Der Vertrag sollte auch festlegen, wie mit Kopien, Exporten, temporären Dateien und Sicherungskopien umgegangen wird und wann Löschungen abgeschlossen werden können. Gesetzliche Aufbewahrungspflichten und technisch bedingte Löschzyklen sind dabei transparent zu berücksichtigen.
5. Daten und betroffene Personen konkret beschreiben
Die Beschreibung im AVV sollte nicht bei einem allgemeinen Begriff wie „Kundendaten“ stehen bleiben. Je nach konkretem Auftrag können beispielsweise geschäftliche Kontaktdaten, Beschäftigten- und Benutzerkontodaten, Auftrags- und Stammdaten, Supportanfragen, Systemprotokolle oder Daten in bereitgestellten Test- und Migrationsbeständen relevant sein. Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO dürfen nicht einfach vorausgesetzt oder ausgeschlossen werden: Es ist zu klären, ob sie im konkreten System vorhanden sind und ob der Dienstleister damit in Berührung kommen kann.
Auch die Kategorien betroffener Personen gehören in die Prüfung. Je nach Verarbeitungszweck können das Beschäftigte, Kunden, Ansprechpartner, Lieferanten, Bewerber oder Nutzer eines Systems sein. Zweck, Umfang und Zugriff sollen so begrenzt werden, dass der Dienstleister nur die Informationen erhält, die für die beauftragte Aufgabe notwendig sind.
Für Tests, Fehleranalysen und Schulungen sollte geprüft werden, ob anonymisierte oder hinreichend pseudonymisierte Daten ausreichen. Produktivdaten sollten nicht allein aus Bequemlichkeit in Entwicklungs- oder Demonstrationsumgebungen kopiert werden. Zugänge und Zugangsdaten sollten nur über vereinbarte, angemessene Wege bereitgestellt und nach Abschluss einer Tätigkeit wieder entzogen werden.
6. Internationale Datenübermittlungen
Wenn Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt oder dort zugänglich gemacht werden, ist zusätzlich das Kapitel V der DSGVO zu prüfen. Maßgeblich sind unter anderem der jeweilige Empfänger, der tatsächliche Zugriff, ein möglicher Angemessenheitsbeschluss und gegebenenfalls geeignete Garantien sowie ergänzende Maßnahmen. Ein Vertrag nach Artikel 28 DSGVO allein ist keine ausreichende Grundlage für jede Drittlandübermittlung.
Deshalb sollten Verarbeitungsorte, Supportzugriffe, Unterauftragnehmer und mögliche Fernzugriffe im konkreten Auftrag abgefragt werden. Eine Übermittlung darf nicht pauschal angenommen oder ausgeschlossen werden, ohne die beteiligten Dienste und Datenflüsse zu kennen.
7. Was der Kunde vor Projektbeginn klären sollte
Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung und die Erfüllung seiner Pflichten verantwortlich. Vor einer Datenfreigabe sind insbesondere Zweck und Rechtsgrundlage, Transparenz gegenüber betroffenen Personen, Datenminimierung, Aufbewahrungsfristen und die Zugriffsberechtigungen im eigenen System zu prüfen. Ein AVV nimmt dem Kunden diese Verantwortung nicht ab.
- Welche konkrete Leistung wird beauftragt und welche Arbeitsschritte umfassen einen Datenzugriff?
- Wer entscheidet bei jedem Verarbeitungsvorgang über Zwecke und wesentliche Mittel?
- Welche Datenarten und Personengruppen können tatsächlich betroffen sein?
- Wer darf produktive Systeme, Testsysteme, Protokolle und Sicherungskopien einsehen?
- Welche Unterauftragnehmer und Verarbeitungsorte sind für genau diesen Auftrag erforderlich?
- Welche Sicherheitsmaßnahmen sind angesichts des Risikos angemessen und wie werden sie nachgewiesen?
- Wie werden Weisungen, Zugriffsfreigaben, Vorfälle, Prüfungen und Änderungen dokumentiert?
- Wie werden Daten nach Projektende zurückgegeben, gelöscht oder aufgrund gesetzlicher Pflichten weiter aufbewahrt?
Es empfiehlt sich, die Antworten mit der Leistungsbeschreibung, Systemarchitektur und den tatsächlichen Abläufen abzugleichen. Ändert sich der Projektumfang – etwa durch neue Supportzugriffe, zusätzliche Module oder weitere Anbieter – sollte auch die Datenschutzdokumentation überprüft und bei Bedarf aktualisiert werden.
8. Website-Datenschutz und Kundenprojekte sind getrennte Themen
Unsere Datenschutzerklärung beschreibt die Verarbeitung im Zusammenhang mit dem Besuch dieser Website. Dort ist für das Website-Hosting bei IONOS ein Auftragsverarbeitungsvertrag genannt. Diese Aussage betrifft das Hosting der Website und ist kein AVV für ERP-, Beratungs-, Support- oder sonstige Kundenprojekte.
Für einen Kundenauftrag müssen die Beteiligten, Daten, Zwecke, Systeme, Unterauftragnehmer und Verarbeitungsorte jeweils anhand der konkreten Leistung geprüft werden. Aus einer Website-Datenschutzerklärung lässt sich nicht ableiten, dass ein Kunde seine eigenen Datenschutzpflichten erfüllt oder dass ein passender Vertrag für seine Projektkonstellation besteht.
9. Wie geht es bei einem konkreten Auftrag weiter?
Wenn Sie prüfen möchten, ob für eine konkrete Zusammenarbeit ein AVV erforderlich ist, klären wir zunächst den Leistungsumfang und die vorgesehenen Datenzugriffe. Auf dieser Grundlage können die datenschutzrechtlichen Rollen, die Verarbeitungstätigkeiten, die benötigten Anlagen und offene Fragen zu Unterauftragnehmern, Verarbeitungsorten und Löschfristen abgegrenzt werden. Vereinbarungen sollten vor dem entsprechenden Datenzugriff geschlossen und mit den tatsächlichen Abläufen in Einklang gebracht werden.
Bitte senden Sie uns für eine erste Abstimmung keine sensiblen personenbezogenen Daten, Zugangsdaten oder vollständigen Produktivdatenbestände per unverschlüsselter E-Mail. Für die Vertragsabstimmung genügt zunächst eine Beschreibung der geplanten Leistung und der betroffenen Systeme. Kontakt: michael.haak@haakgmbh.de oder telefonisch unter 02056 9209090.
Ein individueller AVV und seine Anlagen werden nicht durch diese Webseite ersetzt. Bitte lassen Sie Vertragsentwürfe und die konkrete Rollen- und Risikobewertung bei Bedarf durch Ihre Datenschutzbeauftragten oder qualifizierte Rechtsberatung prüfen.
10. Rechtsgrundlagen und weiterführende Informationen
Die zentralen Regelungen zur Auftragsverarbeitung finden sich insbesondere in Artikel 28 DSGVO. Die Sicherheit der Verarbeitung regelt Artikel 32 DSGVO. Für Datenschutzverletzungen sind unter anderem Artikel 33 und 34 DSGVO relevant; Drittlandübermittlungen werden in Kapitel V (Artikel 44 ff.) behandelt. Die Einordnung hängt stets von den tatsächlichen Umständen und weiteren anwendbaren Vorschriften ab.
Diese Darstellung ist eine allgemeine Information mit Stand Oktober 2026 und keine Rechtsberatung. Sie kann weder eine vollständige Prüfung des Einzelfalls noch einen konkreten Vertrag ersetzen. Weitere Angaben zur Verarbeitung personenbezogener Daten auf unserer Website finden Sie in der Datenschutzerklärung; Anbieterangaben stehen im Impressum.