Auftragsverarbeiter prüfen: Vertrag ist gut, Kontrolle ist besser

Viele Unternehmensprozesse wären ohne externe Dienstleister kaum noch vorstellbar. Ob Cloud-Anwendungen, Bewerbermanagement oder Marketing-Tools, häufig verarbeiten Externe personenbezogene Daten im Auftrag des Unternehmens und sind damit Auftragsverarbeiter im Sinne der DSGVO.

In der Praxis steht oft der Abschluss eines Auftragsverarbeitungsvertrags (AVV oder AV-Vertrag) im Mittelpunkt. Damit ist die datenschutzrechtliche Verantwortung des Unternehmens jedoch noch nicht erfüllt, denn Art. 28 DSGVO verlangt nicht nur die initiale Prüfung des Dienstleisters. Der Verantwortliche muss auch im laufenden Vertragsverhältnis immer wieder kontrollieren, ob der Auftragsverarbeiter die vereinbarten Pflichten tatsächlich einhält. Genau hier beginnt die Herausforderung, denn die DSGVO enthält zwar Vorgaben zu Kontroll- und Nachweispflichten, lässt deren konkrete Ausgestaltung aber in vielen Punkten offen. Daraus ergeben sich in der Praxis Fragen zum konkreten Handlungsbedarf für Verantwortliche, zum Umfang der Kontrollpflichten und dazu, welche vertraglichen Einschränkungen der Kontrollrechte überhaupt zulässig sind.​

Fehlende Kontrolle von Auftragsverarbeitern als Bußgeld- und Haftungsrisiko

Dass es sich bei der Kontrolle von Auftragsverarbeitern nicht nur um eine theoretische Pflicht handelt, zeigt auch die behördliche Praxis. Zunehmend im Fokus steht, ob Verantwortliche ihre Auftragsverarbeiter sorgfältig ausgewählt, wirksam kontrolliert und die entsprechenden Schritte nachvollziehbar dokumentiert haben.

Wie ernst die Behörden dieses Thema nehmen, wird an zwei Verfahren aus dem Jahr 2025 gegen Vodafone deutlich. In Griechenland wurde wegen unzureichender Prüfung und Überwachung eines Auftragsverarbeiters ein Bußgeld in Höhe von 350.000 Euro verhängt. In Deutschland belief sich das Bußgeld für unzureichende datenschutzrechtliche Überprüfung und Überwachung von Partneragenturen sogar auf 15 Millionen Euro.

Auch die Gerichte mussten sich bereits mit den Auswirkungen fehlender Auftragsverarbeiterkontrollen auseinandersetzen. Ein Beispiel dafür ist das Urteil des OLG Dresden vom 15.10.2024. Dem Fall lag zugrunde, dass ein externer Auftragsverarbeiter nach Beendigung des Vertragsverhältnisses die Löschung personenbezogener Daten lediglich per E-Mail ankündigte, eine belastbare Bestätigung der tatsächlich erfolgten Löschung aber zunächst ausblieb. Später tauchten Datensätze im Darknet auf. Das OLG leitete aus Art. 28 DSGVO nicht nur eine Pflicht zur sorgfältigen Auswahl, sondern auch eine fortbestehende Überwachungspflicht des Verantwortlichen ab. Der BGH hat diese Linie mit Urteil vom 11.11.2025 bestätigt.

Der Verantwortliche hätte also nicht nur auf die Löschankündigung des Dienstleisters vertrauen dürfen, sondern mindestens eine aktive Bestätigung der durchgeführten Löschung anfordern müssen. Da er dies nicht tat, hat der Verantwortliche im konkreten Fall seine Kontrollpflicht verletzt und ist aus diesem Grund auch für etwaige Schäden der betroffenen Personen haftbar.

Rechtsgrundlagen der Kontrollpflicht

Die Kontrollpflicht ergibt sich aus mehreren miteinander verzahnten Vorschriften der DSGVO. Ausgangspunkt ist Art. 28 Abs. 1 DSGVO, wonach ein Verantwortlicher nur mit solchen Auftragsverarbeitern zusammenarbeiten darf, die hinreichende Garantien dafür bieten, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Diese Vorschrift bezieht sich auf den ersten Blick auf die initiale Prüfung des Auftragsverarbeiters zu Beginn der Zusammenarbeit. Bei genauerer Betrachtung enthält die Regelung aber auch die Pflicht, den Auftragsverarbeiter laufend zu kontrollieren, um sicherzustellen, dass der initial geprüfte Zustand auch für die Dauer der Zusammenarbeit aufrechterhalten wird.

Aus diesem Grund sieht Art. 28 Abs. 3 lit. h DSGVO vor, dass der abgeschlossene AV-Vertrag zwingend eine Regelung zum Kontrollrecht des Verantwortlichen enthalten muss. Der Auftragsverarbeiter muss dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung stellen und Kontrollen ermöglichen.

Flankiert werden diese Regelungen durch die allgemeinen Pflichten des Verantwortlichen aus Art. 5 Abs. 2 und Art. 24 DSGVO. Danach muss der Verantwortliche die Einhaltung der DSGVO nachweisen können. Der Europäische Datenschutzausschuss (EDSA) verweist insoweit unter Bezugnahme auf den EuGH darauf, dass diese Vorschriften eine allgemeine Rechenschafts- und Compliance-Pflicht begründen.

Externer Datenschutzbeauftragter // Newsletter abonnieren // Hinweisgebersystem

Wie die Prüfung praktisch umgesetzt werden kann

In der Praxis lässt sich die Kontrolle von Auftragsverarbeitern auf unterschiedliche Weise umsetzen. Eine starre Pflicht zur Vor-Ort-Kontrolle besteht dabei nicht in jedem Fall. Vielmehr kommt es auf eine risikobasierte Auswahl geeigneter Kontrollinstrumente an.

Geeignete Mittel der Kontrolle

Als praktische Mittel kommen insbesondere Fragebögen, die Prüfung technischer und organisatorischer Maßnahmen, die Anforderung von Zertifikaten und Auditberichten sowie die Auswertung öffentlich zugänglicher Informationen in Betracht. Je nach Fall können auch Prüfungen durch sachverständige Dritte oder Vor-Ort-Inspektionen sinnvoll sein.

Solche Kontrollen spielen nicht nur während des laufenden Auftragsverhältnisses eine Rolle, sondern auch bei dessen Beendigung. Dann ist zu prüfen, ob personenbezogene Daten tatsächlich gelöscht oder zurückgegeben wurden. Dazu können aussagekräftige Löschbestätigungen, gegebenenfalls auch bezogen auf Kopien, Testumgebungen und eingesetzte Unterauftragsverarbeiter, ein zentrales Kontrollmittel sein.

Prüfungsumfang abhängig vom Risiko der Verarbeitung

Die grundsätzliche Pflicht zur Überprüfung von Auftragsverarbeitern besteht unabhängig vom Risiko der Datenverarbeitung. Der Umfang der Kontrolle richtet sich in der Praxis aber nach Art, Umfang, Sensibilität und Schadenspotenzial der Verarbeitung. Bei etablierten Dienstleistern können deshalb dokumentierte Nachweise, TOM-Unterlagen oder Zertifizierungen ausreichen. Geht es hingegen um große Datenmengen, sensible Daten oder besonders kritische Prozesse, sind vertiefte Prüfungen bis hin zu tatsächlichen Kontrollen vor Ort erforderlich. Auch ein etwaiger Drittlandtransfer kann den Umfang der Kontrolle beeinflussen. Entscheidend ist zudem eine sorgfältige Dokumentation. Wer kontrolliert, sollte das Vorgehen so festhalten, dass die Prüfung später gegenüber Aufsichtsbehörden nachvollziehbar belegt werden kann.

Kontrolle entlang der Verarbeitungskette

Besondere praktische Herausforderungen entstehen dort, wo nicht nur ein einzelner Auftragsverarbeiter eingebunden ist, sondern eine ganze Verarbeitungskette mit Unterauftragsverarbeitern und weiteren nachgelagerten Dienstleistern. Nach der Auffassung des EDSA muss der Verantwortliche sicherstellen können, dass entlang dieser Kette nur solche Stellen eingesetzt werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.

In der Praxis stößt dies jedoch schnell an Grenzen, insbesondere bei langen und komplexen Dienstleisterstrukturen. Umso wichtiger ist es, dass Unternehmen sich von ihren direkten Auftragsverarbeitern belastbare Informationen und Nachweise dazu einholen, dass auch eingesetzte Unterauftragsverarbeiter sorgfältig ausgewählt und überprüft werden. Daneben kommt den Regelungen im AVV besondere Bedeutung zu. Darin sollte klar abgesichert sein, dass für Unterauftragsverarbeiter dieselben Datenschutz- und Sicherheitsstandards gelten wie für den unmittelbaren Vertragspartner.

Kontrollrechte im AVV: Welche Einschränkungen und Kosten zulässig sind

Die DSGVO regelt nicht im Einzelnen, wie Kontrollrechte auszugestalten sind. Deshalb besteht bei der vertraglichen Regelung ein gewisser Spielraum, der in der Praxis häufig genutzt wird. Dabei ist nicht jede Einschränkung unzulässig. Vertretbar sein können etwa Regelungen zur Voranmeldung von Prüfungen, zur Durchführung während üblicher Geschäftszeiten, zum Schutz von Betriebs- und Geschäftsgeheimnissen oder zum Ausschluss von Prüfer:innen, die in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen. Solche Vorgaben können dazu dienen, die Kontrolle praktikabel in den Betriebsablauf einzubetten.

Die Grenze ist jedoch dort erreicht, wo das Kontrollrecht so eingeschränkt wird, dass es in der Praxis nicht mehr umsetzbar ist. Kritisch oder unzulässig sind daher insbesondere Klauseln, die Vor-Ort-Inspektionen vollständig ausschließen oder die Wahrnehmung von Kontrollrechten faktisch vereiteln. Der Verantwortliche muss sich in jedem Fall wirksam davon überzeugen können, dass die Auftragsverarbeitung den gesetzlichen und vertraglichen Anforderungen entspricht.

Ähnliches gilt für die Kosten der Kontrolle. Kostenregelungen sind grundsätzlich verhandelbar und nach der Auffassung des EDSA nicht per se unzulässig. Sie dürfen aber nicht so ausgestaltet sein, dass sie abschreckend wirken oder Kontrollen wirtschaftlich praktisch unmöglich machen. Entscheidend bleibt auch hier, dass das Kontrollrecht nicht nur auf dem Papier besteht, sondern im Bedarfsfall tatsächlich ausgeübt werden kann.

Sie möchten wissen, ob Ihre Kontrolle von Auftragsverarbeitern den gesetzlichen Anforderungen genügt und wie Sie Ihre Prüfprozesse rechtssicher aufstellen?  Melden Sie sich gerne hier.

Fazit und Praxischeckliste für Unternehmen​

Die Kontrolle von Auftragsverarbeitern ist kein Thema, das sich mit dem Abschluss eines AVV erledigt. Wer personenbezogene Daten durch externe Dienstleister verarbeiten lässt, bleibt datenschutzrechtlich verantwortlich und muss sicherstellen, dass die vereinbarten und gesetzlichen Anforderungen nicht nur zu Beginn, sondern während des gesamten Auftragsverhältnisses eingehalten werden. In der Praxis kommt es daher auf nachvollziehbare und risikobasierte Kontrollen an.

Dafür braucht es klare interne Prozesse. Zuständigkeiten, Prüfkriterien und Abläufe sollten verbindlich festgelegt werden. Eine Kontrolle sämtlicher Auftragsverarbeiter zur selben Zeit ist dabei weder erforderlich noch praktikabel. Sinnvoller ist ein risikobasierter Prüfplan, nach dem die Auftragsverarbeiter schrittweise und regelmäßig überprüft werden. Der Prüfplan sollte auch festlegen, wie viele Auftragsverarbeiter jährlich kontrolliert werden, wann Folgeprüfungen stattfinden und unter welchen Umständen eine vorgezogene Kontrolle erforderlich ist. Anlass hierfür können etwa Änderungen des Leistungsumfangs, neue Datenkategorien, zusätzliche Unterauftragsverarbeiter oder Sicherheitsvorfälle sein.

Wer prüfen möchte, wie belastbar die eigenen Prozesse in diesem Bereich aufgestellt sind, sollte sich insbesondere folgende Fragen stellen:

• Werden technische und organisatorische Maßnahmen des Auftragsverarbeiters in angemessenen Abständen erneut überprüft?
• Werden Änderungen bei eingesetzten Unterauftragsverarbeitern laufend erfasst und geprüft?
• Werden Zertifikate, Auditberichte, Fragebögen oder sonstige Nachweise nicht nur eingeholt, sondern auch regelmäßig ausgewertet?
• Gibt es definierte Prüfintervalle, die sich am Risiko der jeweiligen Verarbeitung orientieren?
• Wird bei Veränderungen der Verarbeitung, etwa bei neuen Tools, Funktionen oder Datenkategorien, neu bewertet, ob die bisherigen Kontrollen noch ausreichen?
• Sind laufende Kontrollen, Rückfragen und Bewertungen nachvollziehbar dokumentiert?
• Ist organisatorisch sichergestellt, dass die Löschung oder Rückgabe der Daten bei Auftragsende kontrolliert und erforderliche Nachweise, insbesondere Löschbestätigungen, eingefordert werden?