¶ Auftragsverarbeitung
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Anbieter, Verträge, Weisungen, Prüfberichte oder organisationsbezogenen Freigaben.
Verantwortungsregel: Die Beauftragung überträgt nicht die Verantwortung des Verantwortlichen. Der Auftragsverarbeiter verarbeitet innerhalb der vereinbarten und dokumentierten Weisungen; eigene Zwecke oder wesentliche abweichende Mittel können eine andere Rollenbewertung auslösen.
Startregel: Personenbezogene Daten werden erst bereitgestellt, wenn Rolle, ausreichende Garantien, Vertrag, TOM, Unterauftragnehmer, internationale Zugriffe und erforderliche Freigaben geprüft sind.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-02 |
| Dokumentenart | Lebenszyklusverfahren für Auftragsverarbeitung |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Auftragsverarbeitung |
| Verantwortlich | festzulegende Datenschutzkoordination / Dienstleister- und Prozesseigner |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Einkauf, IT, Informationssicherheit und betroffene Fachrollen |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – Auswahl-, Vertrags-, Weisungs-, Kontroll- und Exitprozess nicht organisationsbezogen freigegeben |
| Version | 1.0 |
| Stand | 10.08.2026 |
| Gültig ab | Nach Prozesskonfiguration, Praxistest und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie nach Vorfall, wesentlicher Änderung oder Rechtsänderung |
| Schutzklasse | Vertraulich; Anbieterbewertungen, Verträge, TOM, Weisungen, Prüfungen und Exit-Nachweise geschützt |
| DSGVO-Bezug | Insbesondere Artikel 24, 28, 29, 32, 33 und 35 DSGVO |
| Schnittstellen | Auftragsverarbeiterregister, VVT, Einkauf, ISMS-Lieferantensteuerung, Drittlandprüfung, Betroffenenrechte, Vorfälle und Dokumentenlenkung |
Die Auftragsverarbeitung wird vor Datenzugriff geprüft, im Betrieb gesteuert und beim Exit nachweisbar beendet. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ Interaktiver Rollen- und AV-Prüfpfad
Der Baustein hilft, die tatsächliche Leistungssituation vor der Auswahl eines Vertragsmodells zu strukturieren. Er trifft keine automatische Rollen- oder Freigabeentscheidung und speichert keine Eingaben.
1. Leistungssituation wählen. Die Ausgabe zeigt einen ersten Prüfpfad, das mögliche Instrument, typische Nachweise und ein Warnsignal.
¶ Leistungssituation auswählen
Prüfpfad: –
¶ Mögliches Instrument
–
¶ Typischer Nachweis
–
¶ Warnsignal
Der Baustein unterstützt die Vorprüfung, entscheidet aber keine datenschutzrechtliche Rolle.
🔴 Rot – Leistung und tatsächliche Datenverarbeitung zuerst abgrenzen.
Die Ampel bewertet nur den Bearbeitungsstand der acht Felder. Grün bescheinigt weder eine zutreffende Rolle noch Vertragskonformität, technische Umsetzung oder Wirksamkeit.
¶ 1. Zweck und Geltung
Das Verfahren gilt für externe und konzerninterne Leistungen, bei denen personenbezogene Daten im Auftrag verarbeitet werden oder eine solche Rolle möglich ist. Das Auftragsverarbeiterregister ist die führende Übersicht.
¶ 2. Auslöser
Der Prozess startet insbesondere bei:
- neuer Software, Cloud-, Hosting-, Support- oder Beratungsleistung,
- Outsourcing oder konzerninterner Leistung,
- Zugriff auf Produktions-, Kunden-, Beschäftigten- oder Kommunikationsdaten,
- neuem Unterauftragnehmer oder Standort,
- wesentlicher Leistungs-, Zweck-, System- oder Vertragsänderung,
- Unternehmensübernahme oder Wechsel des Rechtsträgers,
- Vertragsverlängerung, Kündigung oder Anbieterwechsel.
Kostenlose Testkonten, Pilotierungen und Schatten-IT sind eingeschlossen, sobald personenbezogene Daten verarbeitet werden können.
¶ 3. Rollen- und Bedarfsprüfung
Vor der Auswahl werden beschrieben:
- fachlicher Bedarf und Zweck,
- Verantwortlicher und Prozesseigner,
- personenbezogene Daten und betroffene Personengruppen,
- Verarbeitungsschritte, Systeme und Zugriffe,
- vorgesehene Entscheidungs- und Weisungsbefugnisse,
- mögliche eigene Zwecke des Anbieters,
- Speicher-, Support- und Zugriffsländer,
- Alternativen mit weniger Daten oder geringerem Risiko.
Ist die Rolle nicht eindeutig, wird sie vor Vertragsschluss fachlich und rechtlich geklärt. Ein Muster-AV-Vertrag darf die tatsächliche Rollenlage nicht verdecken.
¶ 3.1 Rollen anhand der tatsächlichen Verarbeitung unterscheiden
| Konstellation | Maßgebliche Frage | Typisches Instrument |
|---|---|---|
| Auftragsverarbeitung | verarbeitet der Anbieter für die festgelegten Zwecke des Verantwortlichen und innerhalb dokumentierter Weisungen? | Vertrag oder anderes bindendes Rechtsinstrument nach Artikel 28 |
| Gemeinsame Verantwortlichkeit | bestimmen zwei oder mehr Stellen Zwecke und wesentliche Mittel gemeinsam? | transparente Vereinbarung nach Artikel 26 |
| Getrennte Verantwortliche | entscheidet der Empfänger für eigene Zwecke und wesentliche Mittel? | Rechtsgrundlagen-, Transparenz-, Empfänger- und gegebenenfalls Transferregelung |
| Keine personenbezogene Verarbeitung | sind personenbezogene Daten und mögliche administrative, Support- oder Telemetriezugriffe tatsächlich ausgeschlossen? | dokumentierter Negativ-Scope und Änderungsprüfung |
Die Einordnung erfolgt je Verarbeitungsschritt. Derselbe Anbieter kann für eine Leistung Auftragsverarbeiter und für eine andere Nutzung eigenständig Verantwortlicher sein. Bestimmt ein Auftragsverarbeiter entgegen der DSGVO selbst Zwecke und Mittel, gilt er für diese Verarbeitung nach Artikel 28 Absatz 10 als Verantwortlicher.
¶ 3.2 Rollenentscheidung als kurzer Aktenvermerk
Der Vermerk beantwortet mindestens:
- Wer entscheidet, warum verarbeitet wird?
- Wer entscheidet über wesentliche Mittel wie Datenarten, betroffene Personen, Empfänger und Aufbewahrungslogik?
- Welche Entscheidungen sind nur technische oder organisatorische Umsetzungsspielräume?
- Welche dokumentierten Weisungen bestehen und wer darf sie ändern?
- Verfolgt der Anbieter eigene Analyse-, Werbe-, Produktentwicklungs- oder Trainingszwecke?
- Welche Rolle gilt je Datenfluss, Supportfall, Protokoll- oder Telemetriedatum?
¶ 4. Risikobasierte Auswahl
Die Prüftiefe richtet sich unter anderem nach:
- Sensibilität und Umfang der Daten,
- Zahl und Schutzbedürftigkeit betroffener Personen,
- Art der Zugriffe und Administrationsrechte,
- Kritikalität und Abhängigkeit des Dienstes,
- Internetexposition, Vernetzung und Unterauftragnehmerkette,
- Drittlandzugriffen und rechtlichem Umfeld,
- Folgen von Verlust, Manipulation, Offenlegung oder Nichtverfügbarkeit,
- Wiederherstellungs-, Wechsel- und Exitfähigkeit.
Die Auswahlentscheidung enthält Kriterien, Ergebnisse, offene Punkte, Auflagen, Verantwortliche und Freigabe.
¶ 5. Prüfung ausreichender Garantien
Geprüft werden mindestens:
- Datenschutz- und Sicherheitsorganisation,
- konkrete TOM für den Dienst,
- Identitäts-, Berechtigungs- und Protokollierungskonzept,
- Verschlüsselung, Schlüsselverwaltung und Mandantentrennung,
- Schwachstellen-, Patch-, Backup- und Wiederherstellungsverfahren,
- Vorfallmeldung und Unterstützung,
- Löschung, Rückgabe und Datenportabilität,
- Unterauftragnehmer- und Transfersteuerung,
- unabhängige Nachweise mit passendem Geltungsbereich,
- Bereitschaft zu Informationen, Kontrollen und Abhilfemaßnahmen.
Offene Abweichungen erhalten Risikoentscheidung, Maßnahme, Frist und Owner. Eine positive Anbieterwerbung ersetzt keine Prüfung.
¶ 6. Vertrag und Anlagen
Vor Verarbeitungsbeginn werden Vertrag oder anderes bindendes Rechtsinstrument sowie die notwendigen Anlagen abgeschlossen. Geprüft werden:
- vollständige Artikel-28-Inhalte,
- eindeutiger Vertragsgegenstand und Leistungsumfang,
- dokumentierte Weisungen und Weisungsberechtigte,
- konkrete TOM statt unbestimmter Allgemeinplätze,
- aktuelle Unterauftragnehmer und Genehmigungsmodell,
- Speicher-, Support- und Zugriffsländer,
- Vorfall-, Betroffenenrechte- und Prüfunterstützung,
- Änderungsinformation und Widerspruchsmöglichkeit,
- Rückgabe, Löschung, Nachweis und Exit,
- Rangfolge und Versionen aller Vertragsbestandteile.
Die EU-Standardvertragsklauseln nach Artikel 28 können verwendet werden, wenn sie zur Konstellation passen. Sie sind von Standardvertragsklauseln als Transferinstrument für Drittländer zu unterscheiden.
¶ 6.1 Vollständigkeitsmatrix nach Artikel 28 Absatz 3
| Vertragsfeld | Was konkret festzulegen ist | Typischer Prüfnachweis |
|---|---|---|
| Ausgangsdaten | Gegenstand, Dauer, Art und Zweck; Datenarten; Kategorien betroffener Personen; Rechte und Pflichten des Verantwortlichen | Leistungs- und Datenanlage mit Version |
| dokumentierte Weisung | zulässige Zwecke, Weisungsberechtigte, Kanäle, Drittlandübermittlungen und gesetzlich erzwungene Verarbeitung | Weisungsmatrix und Eskalationsweg |
| Vertraulichkeit | verpflichtete oder gesetzlich verschwiegenheitspflichtige Personen | Verpflichtungs- und Rollenprozess |
| Sicherheit | geeignete Maßnahmen nach Artikel 32, dienst- und risikobezogen | TOM-Anlage, Konfigurations- und Prüfnachweis |
| weitere Auftragsverarbeiter | vorherige gesonderte oder allgemeine schriftliche Genehmigung, Änderungsinformation und Einspruchsmöglichkeit | aktuelle Liste, Frist- und Entscheidungsweg |
| Betroffenenrechte | Unterstützung entsprechend Art und technischer Möglichkeit der Verarbeitung | getesteter Anfrage- und Suchprozess |
| Artikel 32 bis 36 | Unterstützung bei Sicherheit, Verletzungen, DSFA und vorheriger Konsultation | Meldeweg, Kontaktliste und Unterstützungsnachweis |
| Ende der Leistung | Wahl des Verantwortlichen zwischen Rückgabe und Löschung; Kopien löschen, soweit keine Rechtspflicht entgegensteht | Exitplan, Lösch- oder Rückgabebestätigung und Test |
| Information und Prüfung | alle erforderlichen Informationen bereitstellen; Überprüfungen einschließlich Inspektionen ermöglichen und unterstützen | Kontrollklausel, Berichte, Audit- und Maßnahmenprozess |
| rechtswidrige Weisung | Verantwortlichen unverzüglich informieren | Eskalationsklausel und dokumentierter Kontaktweg |
Der Vertrag wird nicht nur auf das Vorhandensein von Überschriften geprüft. Anlagen, Leistungsbeschreibung, Sicherheitskonzept, Anbieterbedingungen und tatsächliche Systemkonfiguration müssen widerspruchsfrei zusammenpassen. Der Vertrag ist schriftlich abzufassen; ein elektronisches Format ist nach Artikel 28 Absatz 9 möglich.
¶ 7. Weisungsmanagement
Die Grundweisungen ergeben sich aus Vertrag, Zweck, Leistungsbeschreibung und Anlagen. Weitere Weisungen werden nur durch befugte Rollen erteilt und nachvollziehbar dokumentiert.
Der Prozess regelt:
- zulässige Form und Kanäle,
- Authentisierung der Weisungsberechtigten,
- Prüfung auf Vertrag, Recht und Sicherheit,
- Umsetzung und Bestätigung,
- Behandlung dringender oder widersprüchlicher Weisungen,
- Warnung bei angenommener Rechtswidrigkeit,
- Versionierung und geschützte Aufbewahrung.
¶ 8. Kontrollierter Start
Vor Produktivsetzung werden mindestens bestätigt:
- Register-ID und VVT-Verknüpfung,
- Rollen- und Freigabeentscheidung,
- wirksamer Vertrag und aktuelle Anlagen,
- technische Konfiguration entsprechend TOM,
- minimale Konten, Rechte, Daten und Schnittstellen,
- sichere Übertragung und Schlüsselbereitstellung,
- Melde-, Support- und Eskalationskontakte,
- Lösch-, Export- und Wiederherstellungstest, soweit risikogerecht,
- geplante Kontrollen und Reviewtermine.
¶ 8.1 Freigabegates
| Gate | Entscheidung | Sperrkriterium |
|---|---|---|
| Bedarf | Verarbeitung erforderlich und datensparsame Alternative geprüft | unklarer Zweck oder unnötige Echtdaten im Test |
| Rolle | tatsächliche Zwecke, Mittel und Weisungen eingeordnet | Rolle nur aus Anbieterbezeichnung oder Vertragsmuster abgeleitet |
| Anbieter | Garantien, TOM, Orte und Kette ausreichend bewertet | wesentliche Risiken ohne Entscheidung oder Abhilfe |
| Vertrag | bindendes Instrument und aktuelle Anlagen vollständig | fehlender Artikel-28-Kerninhalt oder widersprüchliche Bedingungen |
| Technik | Rechte, Schnittstellen, Protokolle, Löschung und Backup konform konfiguriert | produktiver Zugriff vor Freigabe oder übermäßige Berechtigungen |
| Betrieb | Owner, Kontakte, Register, Kontrollen und Exit vorbereitet | kein Vorfall-, Rechte-, Änderungs- oder Beendigungsweg |
Eine kaufmännische Bestellung oder technisch erfolgreiche Verbindung ersetzt keines dieser Gates. Abweichungen werden mit Risiko, kompensierender Maßnahme, Befristung, Entscheidungskompetenz und erneutem Prüfdatum geführt.
¶ 9. Betrieb
Im laufenden Betrieb werden gesteuert:
- dokumentierte Weisungen und Zweckgrenzen,
- Benutzer, Rollen, privilegierte Zugriffe und Fernwartung,
- Datenimporte, Exporte, Schnittstellen und Protokolle,
- Aufbewahrung, Löschung, Backups und Wiederherstellung,
- Betroffenenanfragen und Datenschutzverletzungen,
- Verfügbarkeit, Sicherheitsmeldungen und Schwachstellen,
- Unterauftragnehmer, Standorte und internationale Zugriffe,
- Abweichungen, Maßnahmen und Nachweise.
¶ 10. Betroffenenrechte und Datenschutzverletzungen
Die operativen Kontakt- und Fristwege werden getestet. Anfragen werden unverzüglich an den Verantwortlichen weitergeleitet und nur auf dessen dokumentierte Weisung bearbeitet.
Bei Datenschutzverletzungen meldet der Auftragsverarbeiter ohne unangemessene Verzögerung und liefert verfügbare Informationen fortlaufend nach. Vertragliche Stundenangaben sind interne Vereinbarungen; sie ersetzen nicht die rechtliche Bewertung und Meldeentscheidung des Verantwortlichen.
¶ 11. Unterauftragnehmer und Änderungen
Änderungsinformationen werden nicht nur technisch empfangen, sondern bewertet. Der Prozess enthält:
- eindeutigen Eingangskanal und verantwortliche Rolle,
- angemessene Vorlaufzeit,
- Vergleich von Leistung, Zugriff, Standort und Schutz,
- Transfer- und Risikoprüfung,
- Entscheidung über Zustimmung, Widerspruch, Auflage oder Exit,
- Aktualisierung von Vertrag, Register, VVT und Informationen,
- Nachweis der weitergegebenen Pflichten.
¶ 12. Regelmäßige Kontrolle
Kontrollen werden nach Risiko und Anlass geplant. Sie können Dokumentenprüfung, technische Prüfung, Interview, Stichprobe, unabhängigen Bericht oder Audit umfassen. Feststellungen werden nach Schwere, Frist und Risiko gesteuert.
Kontrolliert wird nicht nur, ob Dokumente vorliegen, sondern ob der konkret genutzte Dienst und seine Einstellungen den Vereinbarungen entsprechen.
¶ 12.1 Muster für Kontrollklassen
| Klasse | Typische Merkmale | Beispielhafte Kontrolle |
|---|---|---|
| A – erhöht | besondere Datenkategorien, große Mengen, kritischer Dienst, privilegierte Zugriffe oder komplexe Transferkette | mindestens jährliche vertiefte Prüfung, technische Stichprobe, Berichtsbewertung und Maßnahmenverfolgung |
| B – mittel | regelmäßige Verarbeitung mit begrenztem Scope und beherrschbaren Abhängigkeiten | dokumentierte Jahresprüfung, Konfigurationsabgleich und anlassbezogene Stichprobe |
| C – begrenzt | wenige, wenig sensible Daten, minimale Zugriffe und leicht ersetzbarer Dienst | turnusmäßige Selbstauskunft plus Prüfung wesentlicher Änderungen und Vorfälle |
Die Klasse ist ein Organisationsmodell und keine Vorgabe der DSGVO. Frequenz und Tiefe werden aus dem konkreten Risiko hergeleitet. Ein Zertifikat oder Prüfbericht wird auf Aussteller, Zeitraum, Geltungsbereich, Ausnahmen und Bezug zum tatsächlich genutzten Dienst geprüft.
¶ 13. Unzulässige oder abweichende Verarbeitung
Anzeichen eigener oder abweichender Zwecke werden unverzüglich eskaliert. Mögliche Maßnahmen sind:
- Verarbeitung und Datenbereitstellung stoppen oder einschränken,
- Sachverhalt und betroffene Daten sichern,
- Rolle und Rechtsgrundlage neu bewerten,
- Vertrag, Informationen und VVT korrigieren,
- Datenschutzverletzung und Betroffenenfolgen prüfen,
- Abhilfe, Anbieterwechsel oder Kündigung entscheiden.
¶ 14. Exit
Der Exit wird möglichst vor Vertragsschluss planbar gemacht und vor Beendigung konkretisiert. Er umfasst:
- vollständigen Datenexport und Qualitätsprüfung,
- sichere Migration oder Rückgabe,
- Abschaltung von Schnittstellen, Konten, Schlüsseln und Zugriffen,
- Löschung beim Auftragsverarbeiter und seinen Unterauftragnehmern,
- Behandlung technisch verzögerter Backup-Löschung,
- Bestätigung und risikogerechte Verifikation,
- Abschluss offener Anfragen, Vorfälle und Maßnahmen,
- Archivierung erforderlicher Vertrags- und Prüfnachweise.
¶ 15. Verantwortlichkeiten
| Rolle | Musteraufgabe |
|---|---|
| Prozesseigner | Bedarf, Zweck, Daten, fachliche Leistung und Betriebssteuerung |
| Einkauf / Vertragsmanagement | Beschaffungsstopp, Vertrag, Laufzeit, Änderungen und Kündigung |
| Datenschutzkoordination | Rollen-, Vertrags-, Register-, Rechte- und Transferprüfung koordinieren |
| Informationssicherheit / IT | TOM, technische Konfiguration, Zugriffe, Vorfälle und Exit prüfen |
| Datenschutzbeauftragte/r | beraten und die Einhaltung im Rahmen der gesetzlichen Aufgaben überwachen |
| Geschäftsführung / befugte Leitung | wesentliche Risiken, Ausnahmen und formale Freigaben entscheiden |
Reale Rollen, Befugnisse und Vertretungen sind organisationsbezogen festzulegen.
¶ 15.1 RACI-orientierte Übergaben
| Arbeitsergebnis | Ergebnisverantwortlich | Durchführend / beratend | Muss informiert werden |
|---|---|---|---|
| Rollen- und Scopeentscheidung | Prozesseigner mit befugter Datenschutz-/Rechtsfreigabe | Datenschutzkoordination, DSB beratend | Einkauf, IT, Informationssicherheit |
| Anbieter- und TOM-Bewertung | Dienstleisterowner / Informationssicherheit | IT, Datenschutz, Einkauf | Prozesseigner |
| Vertrag und Anlagen | Vertragsmanagement / befugte Leitung | Datenschutz, Informationssicherheit, Fachbereich | Systemowner, Registerführung |
| Produktivsetzung | Prozesseigner / Systemowner gemäß Freigabemodell | IT-Betrieb, Datenschutzkoordination | Support, Incident- und Rechteprozess |
| Kontrolle und Abhilfe | Dienstleisterowner | Datenschutz, Informationssicherheit, Einkauf | Leitung bei wesentlichem Risiko |
| Exit und Löschabschluss | Prozesseigner / Vertragsowner | IT, Anbieter, Datenschutzkoordination | Register- und VVT-Verantwortliche |
¶ 16. Nachweise
- Bedarfs- und Rollenprüfung,
- Auswahl- und Risikobewertung,
- kontrollierter Vertrag und Anlagen,
- TOM- und Transferprüfung,
- Register- und VVT-Referenz,
- Freigabe und Produktivsetzungscheck,
- Weisungen, Änderungen und Unterauftragnehmerinformationen,
- Kontrollen, Abweichungen und Maßnahmen,
- Vorfall- und Betroffenenrechte-Unterstützung,
- Exit-, Rückgabe- und Löschbestätigung.
Die Originale verbleiben in der geschützten Ablage; das öffentliche Wiki enthält keine Vertrags- oder Anbieterdetails.
¶ 16.1 Qualitätsgate für den Abschluss
Ein Vorgang ist erst vollständig, wenn:
- Rolle und Scope je tatsächlichem Verarbeitungsschritt begründet sind,
- Vertrag, Anlagen, TOM, Unterauftragnehmerliste und Transferstatus denselben Dienststand abbilden,
- technische Konten, Rechte, Datenflüsse und Löschlogik den Vereinbarungen entsprechen,
- offene Feststellungen einen Owner, Termin, Risikostatus und Wirksamkeitsprüfung besitzen,
- Register und VVT auf geschützte Originalnachweise verweisen,
- Änderungen, Vorfälle, Betroffenenrechte und Exit einen getesteten Arbeitsweg besitzen.
¶ 16.2 Fiktives Praxisbeispiel
Reines Muster – kein realer Anbieter: Die Muster GmbH plant ein cloudbasiertes Ticketsystem. Der Anbieter verarbeitet Kundenkontakte und Supportinhalte für den festgelegten Servicezweck. Eine optionale Nutzung der Inhalte zum Training eigener Modelle wird technisch deaktiviert und vertraglich ausgeschlossen. Vor Produktivstart werden Artikel-28-Vertrag, TOM, Unterauftragnehmer, Supportländer, Rollen und Löschfristen geprüft. Der Testnutzer erhält nur Minimalrechte. Ein fiktiver Auskunftsfall, eine Vorfallmeldung und der Datenexport werden geprobt. Erst nach dokumentierter Freigabe werden Echtdaten zugelassen. Ein später angekündigter neuer Unterauftragnehmer öffnet die Änderungs- und Transferprüfung erneut.
¶ 17. Kontrollen
- Verhindert der Beschaffungsprozess einen ungeprüften Datenzugriff?
- Entspricht die Vertragsrolle der tatsächlichen Verarbeitung?
- Sind Vertrag, Anlagen und TOM aktuell und dienstbezogen?
- Funktionieren Weisungs-, Vorfall- und Betroffenenrechte-Wege?
- Werden Unterauftragnehmer- und Standortänderungen rechtzeitig bewertet?
- Stimmen Register, VVT, technische Konfiguration und Vertrag überein?
- Werden Abweichungen bis zum Wirksamkeitsnachweis verfolgt?
- Ist der Exit realistisch, getestet und vollständig nachweisbar?
¶ 17.1 Steuerungskennzahlen
| Kennzahl | Zweck | Musterstatus |
|---|---|---|
| Dienste ohne abgeschlossene Rollenentscheidung | verhindert Schein-AV-Verträge und ungesteuerte Empfänger | Keine freigegebenen Echtdaten |
| Produktivstarts ohne vollständiges Gate | misst Durchsetzung des Beschaffungsstopps | Erhebungsmethode festzulegen |
| Überfällige Artikel-28- und TOM-Reviews | zeigt Aktualitätsrisiken | Zielwert und Eskalationsschwelle festzulegen |
| Nicht bewertete Unterauftragnehmeränderungen | zeigt Lücken in Genehmigungs- und Transfersteuerung | Sollwert: keine überfälligen Änderungen |
| Überfällige Kontrollmaßnahmen | misst Abweichungsabbau bis zur Wirksamkeitsprüfung | Keine belastbare Messreihe vorhanden |
| Erfolgreiche Exit- und Löschtests | zeigt praktische Beendigungsfähigkeit | Testplan organisationsbezogen freizugeben |
Die Kennzahlen bescheinigen in dieser Musterseite keine Umsetzung. Für jede Kennzahl werden Definition, Datenquelle, Owner, Zeitraum, Zielwert und Eskalationsweg festgelegt.
¶ 18. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Auftragsverarbeiterregister | führende Übersicht, Status und Nachweisreferenzen |
| Gemeinsame Verantwortung | Abgrenzung bei gemeinsam festgelegten Zwecken und wesentlichen Mitteln |
| Verzeichnis von Verarbeitungstätigkeiten | Zwecke, Daten, Empfänger, Systeme und TOM |
| Betroffenenanfragen und Identitätsprüfung | Frist- und Unterstützungsprozess |
| Lieferanten und Dienstleister | Informationssicherheits- und Lieferantensteuerung |
| Unterauftragsverarbeiter | Genehmigung, Änderung, Widerspruch und Weitergabe von Pflichten |
| Lieferantenkontrollen und Exit | risikobasierte Kontrollen, Abweichungen, Aussetzung, Rückgabe, Löschung und Zugriffsentzug |
| AVV-Prüfliste | öffentliches Kriterienmodell für Rollen-, Vertrags-, TOM-, Transfer- und Exitprüfung |
¶ 19. Offizielle Grundlagen
- DSGVO, konsolidierte Fassung – insbesondere Artikel 28 und 29 (EUR-Lex)
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern – finale Fassung
- EU-Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern im EU-/EWR-Raum
¶ 20. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Datenschutzmanagement, Auftragsverarbeitung, Vertragsprüfung und Lieferantenkontrollen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 21. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 10.08.2026 | Rollenmatrix, Artikel-28-Vollständigkeit, Freigabegates, Kontrollklassen, RACI, Qualitätsgate, Praxisbeispiel, Kennzahlen und interaktiven AV-Prüfpfad ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Verfahren für Lieferantenkontrollen und Exit verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für den Lebenszyklus der Auftragsverarbeitung erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |
Seite 1 von 1 · DSGVO-MA-04-02 · Version 1.0