¶ Auftragsverarbeiterregister
Beispielregister: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Dienstleister, Vertragsdaten, Systeme, Unterauftragnehmer oder freigegebenen Transferentscheidungen.
Rollenregel: Ob eine Stelle Auftragsverarbeiter ist, richtet sich nach der tatsächlichen Verarbeitung. Lieferant, Cloud-Anbieter, Konzernunternehmen oder Vertragstitel allein bestimmen die Datenschutzrolle nicht.
Freigaberegel: Ein abgeschlossener Vertrag allein belegt keine ausreichenden Garantien. Rolle, Vertrag, Weisungen, TOM, Unterauftragnehmer, internationale Zugriffe, Unterstützungspflichten, Kontrolle und Exit werden gemeinsam geprüft.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-REG-04-01 |
| Dokumentenart | führendes Register der Auftragsverarbeiter |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Auftragsverarbeiterregister |
| Verantwortlich | festzulegende Datenschutzkoordination / Dienstleister- und Prozesseigner |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Einkauf, IT, Informationssicherheit und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogenen Auftragsverarbeiter, Verträge oder Freigaben bestätigt |
| Version | 0.4 |
| Stand | 08.08.2026 |
| Gültig ab | Nach Bestandsaufnahme, Rollen-, Vertrags-, Sicherheits- und Transferprüfung sowie formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie vor Beauftragung und bei wesentlichen Änderungen |
| Schutzklasse | Vertraulich; Verträge, TOM, Prüfberichte, Systeme, Zugriffe und Transferunterlagen geschützt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, Artikel 24, 28, 29, 32, 33 und 44 bis 49 DSGVO |
| Schnittstellen | VVT, Rechtsgrundlagen, Einkauf, ISMS-Lieferantenregister, TOM, Betroffenenrechte, Datenschutzverletzungen, Drittlandtransfer und Exit |
Das führende Register verbindet tatsächliche Rolle, Vertrag, Sicherheit, Unterauftragnehmer, Transfers, Kontrollen und Exit. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Register schafft eine eindeutige Übersicht über Stellen, die personenbezogene Daten im Auftrag verarbeiten. Es unterstützt:
- vollständige Erfassung von Diensten und Verarbeitungen,
- funktionale Abgrenzung der Datenschutzrollen,
- Auswahl anhand ausreichender Garantien,
- rechtzeitigen Vertragsschluss vor Verarbeitungsbeginn,
- Steuerung von Weisungen und Unterauftragnehmern,
- Bewertung internationaler Zugriffe und Übermittlungen,
- risikogerechte Kontrollen und Änderungsüberwachung,
- Rückgabe, Löschung und Nachweis beim Vertragsende.
¶ 2. Abgrenzung zu anderen Registern
| Register | Führender Inhalt | Verbindung |
|---|---|---|
| Auftragsverarbeiterregister | Datenschutzrolle, Verarbeitung, Artikel-28-Vertrag, Unterauftragnehmer, Transfers und Datenschutzkontrollen | verweist auf VVT und geschützte Vertragsakte |
| VVT | Zwecke, betroffene Personen, Datenkategorien, Empfänger, Fristen und TOM der Verarbeitung | verweist auf registrierte Dienstleister |
| ISMS-Lieferantenregister | Kritikalität, Informationssicherheitsrisiken, Leistungen, Zugänge und Sicherheitssteuerung | liefert Sicherheits- und Lieferanteninformationen |
| Vertragsregister | Vertrag, Laufzeit, Kündigung und kaufmännische Verantwortung | enthält kontrolliertes Original und Fristen |
Die Register werden verknüpft, aber nicht durch unkontrollierte Kopien parallel gepflegt.
¶ 3. Rollenprüfung
Für jede Verarbeitung wird geprüft, wer Zwecke und wesentliche Mittel bestimmt:
| Mögliche Rolle | Kennzeichen |
|---|---|
| Auftragsverarbeiter | verarbeitet personenbezogene Daten im Auftrag und nach dokumentierter Weisung des Verantwortlichen |
| eigener Verantwortlicher | bestimmt eigene Zwecke und wesentliche Mittel; erhält Daten nicht nur zur weisungsgebundenen Leistung |
| gemeinsam Verantwortlicher | bestimmt Zwecke und wesentliche Mittel gemeinsam mit mindestens einer weiteren Stelle |
| sonstiger Empfänger | erhält Daten auf anderer rechtlicher Grundlage ohne Auftragsverarbeitung |
Eine Organisation kann für unterschiedliche Vorgänge verschiedene Rollen haben. Die Einordnung erfolgt verarbeitungsbezogen und wird bei Änderungen erneut geprüft.
¶ 4. Registerfelder
| Feldgruppe | Mindestinhalt |
|---|---|
| Identität | Register-ID, Rechtsträger, Anschrift, Kontakt und Prozesseigner |
| Leistung | Dienst, Zweck, Systeme, Betriebsmodell und Kritikalität |
| Verarbeitung | VVT-Referenz, betroffene Personen, Datenarten, Umfang, Dauer und Orte |
| Rolle | Ergebnis, Begründung, Prüfer und Datum der Rollenprüfung |
| Vertrag | Artikel-28-Vertrag, Fassung, Abschluss, Laufzeit, Anlagen und Weisungsweg |
| TOM | Prüfgrundlage, Sicherheitsniveau, offene Abweichungen und Reviewtermin |
| Unterauftragnehmer | Liste, Stand, Genehmigungsmodell, Informationsweg und Widerspruchsprozess |
| Internationaler Bezug | Speicherorte, Supportzugriffe, Länder, Transfergrundlage und Prüfrefenzen |
| Betrieb | Ansprechpartner, Vorfallweg, Betroffenenrechte, Änderungen und Kontrollen |
| Exit | Rückgabe, Löschung, Portabilität, Zugriffsende und Nachweise |
¶ 5. Aufnahmeprozess
- Bedarf und Leistung beschreiben.
- tatsächliche Datenverarbeitung und Rolle einordnen.
- VVT-, System-, Daten- und Standortbezug erfassen.
- ausreichende Garantien und TOM risikogerecht bewerten.
- Vertrag und Anlagen nach Artikel 28 prüfen.
- Unterauftragnehmer und internationale Zugriffe vollständig bewerten.
- offene Risiken und Maßnahmen entscheiden.
- fachliche, datenschutzrechtliche und beschaffungsbezogene Freigabe dokumentieren.
- Kontrollen, Änderungen und Exit über die Laufzeit steuern.
Eine technische Aktivierung vor Abschluss der erforderlichen Prüfungen wird durch Beschaffungs-, Projekt- und Bereitstellungsprozesse verhindert.
¶ 6. Ausreichende Garantien
Die Auswahlprüfung berücksichtigt abhängig vom Risiko:
- fachliche und organisatorische Zuverlässigkeit,
- Datenschutzorganisation und erreichbare Kontaktstellen,
- technische und organisatorische Maßnahmen,
- Informationssicherheitsmanagement, Prüfberichte oder Zertifizierungen,
- Umgang mit Schwachstellen, Vorfällen und Wiederherstellung,
- Unterstützung bei Betroffenenrechten und DSFA,
- Lösch-, Aufbewahrungs- und Rückgabeverfahren,
- Unterauftragnehmer- und Transfersteuerung,
- Änderungs-, Audit- und Exitfähigkeit.
Ein Zertifikat oder Fragebogen ist ein Prüfhinweis, aber kein alleiniger Wirksamkeitsnachweis für den konkreten Dienst.
¶ 7. Vertragsinhalte nach Artikel 28
Der Vertrag beziehungsweise das andere Rechtsinstrument regelt mindestens:
- Gegenstand und Dauer der Verarbeitung,
- Art und Zweck der Verarbeitung,
- Art personenbezogener Daten und Kategorien betroffener Personen,
- Pflichten und Rechte des Verantwortlichen,
- Verarbeitung nur auf dokumentierte Weisung einschließlich Transfers,
- Vertraulichkeitsverpflichtung befugter Personen,
- angemessene Sicherheit nach Artikel 32,
- Bedingungen für weitere Auftragsverarbeiter,
- Unterstützung bei Betroffenenrechten,
- Unterstützung bei Sicherheit, Datenschutzverletzungen, DSFA und Konsultation,
- Löschung oder Rückgabe nach Abschluss sowie Löschung vorhandener Kopien, soweit zulässig,
- erforderliche Informationen und Ermöglichung von Überprüfungen.
Anlagen, Leistungsbeschreibung, TOM, Unterauftragnehmerliste und Transferunterlagen müssen zum tatsächlich eingesetzten Dienst passen.
¶ 8. Weisungen
Dokumentierte Weisungen können im Vertrag und in kontrollierten Betriebsprozessen enthalten sein. Geregelt werden:
- befugte Weisungsgeber und Empfänger,
- zulässige Verarbeitung und Datenzugriffe,
- Änderungen, Notfälle und gesetzlich verlangte Abweichungen,
- Warnung bei aus Sicht des Auftragsverarbeiters rechtswidriger Weisung,
- Nachweis, Versionierung und Aufbewahrung.
Supporttickets oder Administrationsbefehle werden nicht automatisch als rechtlich ausreichende Weisung behandelt.
¶ 9. Unterauftragnehmer
Das Register führt die tatsächlich eingesetzten weiteren Auftragsverarbeiter mit Leistung, Standort, Datenzugriff und Genehmigungsstand. Bei allgemeiner schriftlicher Genehmigung muss der Verantwortliche über beabsichtigte Änderungen informiert werden und eine reale Möglichkeit zum Widerspruch besitzen.
Die Pflichten aus dem Hauptvertrag werden vertraglich weitergegeben. Der Hauptauftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten des weiteren Auftragsverarbeiters verantwortlich.
¶ 10. Internationale Zugriffe und Drittlandbezug
Speicherort innerhalb des EWR allein schließt einen Drittlandbezug nicht aus. Geprüft werden unter anderem:
- Fernwartung und Support,
- Administrations- und Sicherheitszugriffe,
- Konzernzugriffe und zentrale Plattformdienste,
- Telemetrie, Protokolle, Backups und Wiederherstellung,
- Unterauftragnehmer und Weiterübermittlungen,
- anwendbare Transfergrundlage und zusätzliche Maßnahmen.
Der Artikel-28-Vertrag und eine Transfergrundlage erfüllen unterschiedliche Funktionen und werden getrennt dokumentiert.
¶ 11. Kontrollen über den Lebenszyklus
Kontrolltiefe und Frequenz richten sich nach Daten, Betroffenenrisiko, Kritikalität, Zugriffsmodell, Änderungen und bisherigen Feststellungen. Mögliche Nachweise sind:
- aktuelle TOM und Eigenerklärungen,
- unabhängige Prüfberichte und Zertifikatsumfang,
- vertraglich vereinbarte Nachweise oder Audits,
- technische Konfigurations- und Berechtigungsprüfungen,
- Vorfall-, Verfügbarkeits- und Wiederherstellungsnachweise,
- Lösch-, Export- und Exit-Tests,
- Nachverfolgung von Abweichungen und Maßnahmen.
Die Bewertung unterscheidet Dokument vorhanden, Prüfung durchgeführt, Ergebnis bestanden und Maßnahme wirksam.
¶ 12. Änderungen
Erneut geprüft werden insbesondere:
- neue Leistungen, Zwecke, Datenarten oder Personengruppen,
- neue Systeme, Standorte oder Zugriffsländer,
- neue oder ausgetauschte Unterauftragnehmer,
- wesentliche Änderungen der TOM oder Vertragsbedingungen,
- Unternehmensübernahmen oder Rollenänderungen,
- Vorfälle, Beschwerden, Auditfeststellungen oder Leistungsprobleme,
- neue rechtliche oder behördliche Anforderungen.
¶ 13. Vorfälle und Betroffenenrechte
Vertrag und Betriebsweg stellen sicher, dass der Auftragsverarbeiter:
- Datenschutzverletzungen ohne unangemessene Verzögerung meldet,
- erforderliche Informationen strukturiert nachliefert,
- Beweise und Protokolle angemessen sichert,
- Anfragen betroffener Personen unverzüglich weiterleitet,
- Suche, Berichtigung, Löschung, Einschränkung und Export unterstützt,
- ohne Befugnis keine eigene Antwort im Namen des Verantwortlichen gibt.
¶ 14. Exit und Vertragsende
Vor und nach Beendigung werden gesteuert:
- Export und geordnete Rückgabe erforderlicher Daten,
- Format, Vollständigkeit und Integritätsprüfung,
- Entzug von Konten, Schlüsseln, Schnittstellen und Fernzugriffen,
- Löschung aktiver Daten, Arbeitskopien und nach Frist auch Backups,
- Umgang mit gesetzlich erforderlicher Restaufbewahrung,
- Bestätigung durch Auftragsverarbeiter und Unterauftragnehmer,
- Abschluss offener Vorfälle, Anfragen und Maßnahmen,
- Aufbewahrung der erforderlichen Vertrags- und Prüfnachweise.
¶ 15. Statusmodell
| Status | Bedeutung |
|---|---|
| Bedarf erfasst | Dienst ist bekannt; Rollen- und Risikoprüfung offen |
| In Prüfung | Vertrag, TOM, Unterauftragnehmer oder Transfers werden bewertet |
| Mit Auflagen | Nutzung nur nach dokumentierter Entscheidung und fristgebundenen Maßnahmen |
| Freigegeben | erforderliche Prüfungen und Freigaben für den definierten Umfang vorhanden |
| Gesperrt | Nutzung oder neue Datenübermittlung nicht freigegeben |
| In Exit | Rückgabe, Zugriffsende und Löschung werden abgewickelt |
| Beendet | Exit kontrolliert; erforderliche Nachweise archiviert |
Technische Nutzung und formale Freigabe werden getrennt ausgewiesen.
¶ 16. Leeres Musterregister
| Register-ID | Auftragsverarbeiter / Dienst | VVT | Vertrag | TOM | Unterauftragnehmer | Drittland | Status |
|---|---|---|---|---|---|---|---|
| Noch anzulegen | keine Realorganisation | – | Nicht geprüft | Nicht geprüft | Nicht geprüft | Nicht geprüft | Bedarf erfasst |
Die Zeile ist ein Strukturbeispiel und kein Nachweis eines freigegebenen Dienstleisters.
¶ 17. Kontrollen
- Sind alle tatsächlich eingesetzten Dienste und Konzernleistungen erfasst?
- Ist die Rolle je Verarbeitung funktional begründet?
- Passt der Vertrag zum realen Dienst und Datenfluss?
- Sind TOM und ausreichende Garantien risikogerecht geprüft?
- Sind Unterauftragnehmer, Standorte und Fernzugriffe vollständig?
- Sind Artikel-28-Vertrag und Drittlandgrundlage getrennt bewertet?
- Funktionieren Vorfall-, Betroffenenrechte- und Weisungswege?
- Werden Änderungen und Exit technisch sowie vertraglich nachgewiesen?
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Geltungsbereich und Verantwortliche | Rollenabgrenzung und Organisationsbezug |
| Verzeichnis von Verarbeitungstätigkeiten | Zwecke, Daten, Empfänger, Systeme und TOM |
| Betroffenenanfragen und Identitätsprüfung | Unterstützungspflichten bei Betroffenenrechten |
| Lieferanten und Dienstleister | Informationssicherheits- und Lieferantensteuerung |
| Auftragsverarbeitung | Auswahl, Vertrag, Weisungen, Betrieb, Änderungen und Beendigung |
| Unterauftragsverarbeiter | Genehmigung, Änderungsinformation, Widerspruch und Pflichtendurchgriff |
| Gemeinsame Verantwortung | Abgrenzung bei gemeinsam bestimmten Zwecken und wesentlichen Mitteln |
| Drittlandtransfers | Transferinventar, Instrument, TIA, Zusatzmaßnahmen und internationale Zugriffe |
| Transfer Impact Assessment | konkrete Rechts-, Praxis-, Zugriffs- und Maßnahmenbewertung für relevante Transfers |
| Standardvertragsklauseln und zusätzliche Maßnahmen | SCC-Modul, Anlagen, TIA, Zusatzmaßnahmen und Vertragsstatus |
| Lieferantenkontrollen und Exit | Kontrollklasse, Kontrollplan, Feststellungen, Maßnahmen, Aussetzung und Abschlussstatus |
| AVV-Prüfliste | öffentliches Kriterienmodell; reale Vertrags- und Anbieterprüfung wird geschützt geführt |
¶ 19. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 28 und 29 – EUR-Lex
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
- EU-Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern im EU-/EWR-Raum
¶ 20. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutzmanagement, Auftragsverarbeitung, Lieferantenprüfung und kontrollierter Nachweisführung
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 21. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.4 | 08.08.2026 | Lieferantenkontrollen und Exit als vertiefte Betriebs- und Abschlusssteuerung verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.3 | 08.08.2026 | Standardvertragsklauseln und zusätzliche Maßnahmen als vertiefte Vertragsprüfung verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Transfer Impact Assessment als vertiefte Transferprüfung verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Führendes Musterregister für Auftragsverarbeiter erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |