¶ Lieferantenkontrollen und Exit
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Lieferanten, Bewertungen, Verträge, Abweichungen oder Exitnachweise.
Kontrollregel: Art, Tiefe und Häufigkeit der Kontrolle richten sich nach Verarbeitung, Kritikalität, Datenzugriff, Unterauftragnehmern, Drittlandbezug, Änderungshäufigkeit und bisherigen Feststellungen.
Exitregel: Ein Vertragsende ist erst datenschutzfachlich abgeschlossen, wenn Verarbeitung, Zugriffe, Datenbestände, Kopien, Schlüssel, Schnittstellen und Unterauftragnehmerketten kontrolliert beendet und nachgewiesen sind.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-08 |
| Dokumentenart | Verfahren für Lieferantenkontrollen und Exit |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Lieferantenkontrollen-und-Exit |
| Verantwortlich | festzulegender Service Owner / Prozesseigner / Einkauf / Datenschutzkoordination |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Informationssicherheit, IT, Rechtsfunktion und Vertragsmanagement |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine realen Lieferantenkontrollen, Feststellungen oder Exitnachweise bestätigt |
| Version | 0.1 |
| Stand | 08.08.2026 |
| Gültig ab | Nach Festlegung von Rollen, Risikomodell, Kontrollplan, Eskalation und Exitverfahren sowie formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie bei wesentlichen Lieferanten-, Leistungs-, Risiko- oder Rechtsänderungen |
| Schutzklasse | Vertraulich; Verträge, Bewertungen, Auditberichte, Vorfälle, Abweichungen und Exitnachweise geschützt |
| DSGVO-Bezug | Insbesondere Artikel 5 Absatz 2, 24, 28, 32 und 44 bis 49 DSGVO |
| Schnittstellen | Auftragsverarbeiterregister, Beschaffung, VVT, TOM, SCC, TIA, Vorfälle, BCM, Zugriffsmanagement und Löschung |
Lieferanten werden vor dem Start eingestuft, während des Betriebs nach Risiko kontrolliert und erst nach vollständigem Daten-, Zugriffs- und Nachweisabschluss beendet. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck und Geltungsbereich
Das Verfahren steuert datenschutzrelevante Dienstleister und Lieferanten vom Bedarf bis zum nachgewiesenen Exit. Es gilt insbesondere für Auftragsverarbeiter, Unterauftragnehmer, Cloud- und Plattformanbieter, Support- und Wartungsdienste sowie sonstige Empfänger mit relevantem Daten- oder Systemzugriff.
Informationssicherheits-, Datenschutz-, Compliance-, Leistungs- und Notfallkontrollen werden abgestimmt, ohne ihre unterschiedlichen Prüfziele zu vermischen.
¶ 2. Führender Bestand
Jeder relevante Lieferant wird im Auftragsverarbeiterregister oder einem angebundenen Lieferantenregister mit mindestens folgenden Angaben geführt:
- Rechtsträger, Leistung und Service Owner,
- Datenschutzrolle und Vertragsreferenz,
- Verarbeitungen, Systeme, Daten und Personengruppen,
- Standorte, Fernzugriffe und Unterauftragnehmer,
- Transfergrundlage, TIA und Zusatzmaßnahmen,
- Kritikalität, Kontrollklasse und Kontrolltermin,
- offene Feststellungen, Maßnahmen und Freigabestatus,
- Kündigungs-, Exit- und Löschregelungen.
Technische Nutzung, Vertrag, Register und VVT müssen übereinstimmen.
¶ 3. Risikobasierte Kontrollklasse
| Kontrollklasse | Typische Merkmale | Mindeststeuerung |
|---|---|---|
| erhöht | umfangreiche oder sensible Daten, kritischer Dienst, privilegierte Zugriffe, komplexe Kette, Drittland- oder hohe Abhängigkeit | vertiefte Due Diligence, engmaschige Nachweise, fachliche Prüfung und dokumentierte Wirksamkeitskontrolle |
| normal | begrenzte Auftragsverarbeitung mit klaren Rollen, beherrschbaren Zugriffen und stabiler Leistung | standardisierte Prüfung, Vertrags- und Nachweisreview sowie anlassbezogene Vertiefung |
| gering | kein oder nur sehr begrenzter personenbezogener Datenzugriff und geringe Abhängigkeit | dokumentierte Einordnung und angemessene Basiskontrolle |
Die Klasse wird begründet. Eine Zertifizierung oder bekannte Marke senkt die Kontrollpflicht nicht automatisch.
¶ 4. Prüfung vor Beauftragung
Vor Auswahl und Vertrag werden mindestens geprüft:
- tatsächliche Rolle und Weisungsgebundenheit,
- fachliche und technische Eignung,
- ausreichende Garantien für geeignete TOM,
- Zugriffs-, Berechtigungs- und Administrationsmodell,
- Vorfall-, Betroffenenrechte- und Unterstützungsprozesse,
- Unterauftragnehmer, Orte und internationale Zugriffe,
- Datenportabilität, Rückgabe, Löschung und Exitfähigkeit,
- wirtschaftliche und betriebliche Abhängigkeiten,
- verfügbare Prüf-, Audit- und Nachweisrechte.
Nicht prüfbare oder widersprüchliche Angaben werden als offene Feststellung behandelt.
¶ 5. Nachweishierarchie
Je nach Risiko können herangezogen werden:
- konkrete technische und vertragliche Angaben zum betroffenen Dienst,
- unabhängige Prüfberichte oder geeignete Zertifizierungsnachweise mit erkennbarem Geltungsbereich,
- Berichte über Wirksamkeit und festgestellte Abweichungen,
- Interviews, Demonstrationen, Stichproben oder Remote-Prüfungen,
- Vor-Ort-Prüfungen, wenn Risiko, Vertrag oder Feststellungen dies erfordern.
Ein Zertifikat wird auf Aussteller, Standard, Geltungsbereich, Standort, Dienst, Laufzeit, Ausschlüsse und festgestellte Abweichungen geprüft. Es ersetzt nicht die Prüfung der konkreten Verarbeitung.
¶ 6. Kontrollierter Produktivstart
Vor dem ersten realen Datenzugriff müssen mindestens abgeschlossen sein:
- Rollen- und Bedarfsprüfung,
- Vertrag nach Artikel 28 oder anderes passendes Rolleninstrument,
- TOM- und Berechtigungsprüfung,
- Unterauftragnehmergenehmigung,
- Transfergrundlage und gegebenenfalls TIA,
- technische Konfiguration und Datenminimierung,
- Vorfall- und Eskalationskontakte,
- Exit- und Löschregelung,
- dokumentierte Startfreigabe.
Ein abgeschlossenes Bestellverfahren ist keine Datenschutzfreigabe.
¶ 7. Kontrollplan
| Kontrollfeld | Beispiele | Frequenz / Auslöser |
|---|---|---|
| Vertrag und Rolle | Leistungsumfang, Weisungen, Pflichten, Laufzeit | turnusmäßig und bei Leistungsänderung |
| TOM | Zugriff, Verschlüsselung, Protokollierung, Wiederherstellung | nach Kontrollklasse und technischer Änderung |
| Unterauftragnehmer | Rechtsträger, Tätigkeit, Orte, Genehmigung | bei jeder angekündigten Änderung und turnusmäßig |
| Drittland | Empfänger, Instrument, TIA, Zusatzmaßnahmen | bei Länder-, Rechts-, Zugriffs- oder Maßnahmenänderung |
| Leistung | Verfügbarkeit, Support, vereinbarte Kontrollen | nach Kritikalität und Leistungsbericht |
| Vorfälle | Meldung, Reaktion, Ursachen und Abhilfe | bei jedem relevanten Ereignis |
| Rechte und Löschung | Unterstützung, Fristen, Löschläufe | anhand von Fällen, Tests oder Nachweisen |
| Exitfähigkeit | Export, Löschung, Schlüssel, Abhängigkeiten | vor Vertrag, turnusmäßig und vor Kündigung |
Frequenzen werden organisationsbezogen festgelegt und nicht aus dieser Musterseite als erfüllt abgeleitet.
¶ 8. Laufende Überwachung
Während des Betriebs werden insbesondere bewertet:
- vereinbarte Nachweise und Prüfberichte,
- Änderungen von Leistung, Zweck und technischen Funktionen,
- neue Standorte, Fernzugriffe oder Unterauftragnehmer,
- Sicherheitsvorfälle, Beschwerden und Betroffenenanfragen,
- Abweichungen von Weisungen oder Vertrag,
- Wirksamkeit von TOM und Zusatzmaßnahmen,
- wirtschaftliche oder betriebliche Anzeichen für Ausfallrisiken,
- Fortbestand von Transfergrundlagen und Exitfähigkeit.
Das Fehlen gemeldeter Vorfälle ist allein kein Wirksamkeitsnachweis.
¶ 9. Änderungssteuerung
Der Lieferant muss relevante Änderungen rechtzeitig melden. Die interne Prüfung klärt:
- Ändert sich Rolle, Zweck oder Leistungsumfang?
- Kommen neue Daten, Systeme, Zugriffe oder Funktionen hinzu?
- Wechseln Rechtsträger, Standort, Land oder Unterauftragnehmer?
- Ändern sich Vertrag, TOM, SCC, TIA oder Schlüsselkontrolle?
- Entsteht eine neue Abhängigkeit oder ein neues Exitrisiko?
Wesentliche Änderungen werden vor ihrer Nutzung bewertet und freigegeben. Bis dahin können Nutzung, Datenumfang oder Zugriff beschränkt werden.
¶ 10. Feststellungen und Maßnahmen
| Status | Bedeutung |
|---|---|
| Hinweis | Verbesserung ohne bestätigte Pflichtverletzung |
| Abweichung | Anforderung oder vereinbarte Kontrolle nicht erfüllt |
| Kritisch | Rechte, Schutz, Verfügbarkeit oder Rechtmäßigkeit wesentlich gefährdet |
| Maßnahme offen | Verantwortlich, Frist und erwarteter Nachweis festgelegt |
| Wirksam geprüft | Umsetzung und Schutzwirkung nachvollziehbar bestätigt |
| Eskaliert | Entscheidung über Auflage, Aussetzung oder Beendigung erforderlich |
Eine Selbstauskunft des Lieferanten schließt eine Feststellung nicht ohne Plausibilisierung und Wirksamkeitsnachweis.
¶ 11. Eskalation und Aussetzung
Auslöser können sein:
- schwerwiegende oder wiederholte Vertragsverletzung,
- nicht behobene kritische Schwachstelle,
- unzulässiger Zugriff oder nicht freigegebener Unterauftragnehmer,
- fehlende Transfergrundlage oder unwirksame Zusatzmaßnahme,
- unzureichende Vorfallmeldung oder Mitwirkung,
- Verweigerung vereinbarter Nachweise,
- konkrete Insolvenz-, Ausfall- oder Kontrollverlustanzeichen.
Mögliche Entscheidungen sind Zusatzkontrolle, Fristsetzung, Zugriffsbeschränkung, Datensperre, Aussetzung, Ersatzlösung oder Vertragsbeendigung.
¶ 12. Exitplanung vor Vertragsende
Der Exit wird bereits bei Auswahl und Vertrag geplant. Festgelegt werden:
- kündbare Leistungen, Fristen und verantwortliche Rollen,
- Exportformat, Vollständigkeit und sichere Übergabe,
- technische und fachliche Migrationsabhängigkeiten,
- Rückgabe- oder Löschwahl des Verantwortlichen,
- Kopien, Backups, Protokolle und gesetzliche Aufbewahrung,
- Konten, Tokens, Zertifikate, Schlüssel und Schnittstellen,
- Unterauftragnehmer und Weiterübermittlungen,
- Abschlussnachweise und Abnahme.
Für kritische Dienste werden Ersatz-, Übergangs- und Wiederanlaufoptionen dokumentiert.
¶ 13. Datenrückgabe und Löschung
Nach Ende der Leistung werden nach dokumentierter Weisung:
- benötigte Daten vollständig, sicher und nutzbar zurückgegeben,
- verbleibende personenbezogene Daten und Kopien gelöscht,
- Backups nach kontrollierter Regel behandelt,
- gesetzlich erforderliche Restbestände getrennt, beschränkt und befristet,
- Löschläufe, Ausnahmen und Bestätigung dokumentiert.
Eine pauschale Erklärung „branchenüblich gelöscht“ ist kein ausreichender Einzelfallnachweis.
¶ 14. Technischer Zugriffsentzug
Der technische Exit umfasst mindestens:
- Benutzer-, Administrations- und Supportkonten,
- API-Schlüssel, Tokens, Zertifikate und Geheimnisse,
- VPN-, Fernwartungs- und Netzwerkverbindungen,
- Verschlüsselungs- und Wiederherstellungsschlüssel,
- Geräte, Agenten, Integrationen und Weiterleitungen,
- Protokollierung des Entzugs und nachgelagerte Kontrolle.
Zugriffsentzug und Datenlöschung werden getrennt bestätigt.
¶ 15. Unterauftragnehmer- und Transferkette
Der Hauptauftragnehmer weist nach, dass Rückgabe, Löschung, Zugriffsentzug und fortbestehende Pflichten auch bei allen relevanten Unterauftragnehmern und Weiterempfängern umgesetzt wurden.
Kann ein Kettenglied nicht geschlossen werden, bleibt der Exit offen und wird risikogerecht eskaliert.
¶ 16. Exitabnahme
| Prüffeld | Abschlusskriterium |
|---|---|
| Leistung | Verarbeitung und Datenzugriff beendet |
| Daten | Rückgabe vollständig und Löschung bestätigt |
| Zugriffe | Konten, Schlüssel und Verbindungen entzogen |
| Kette | Unterauftragnehmer und Weiterübermittlungen abgeschlossen |
| Vertrag | Pflichten, offene Forderungen und Restaufbewahrung geklärt |
| Register | Status, Enddatum und Nachweisreferenzen aktualisiert |
| VVT / Systeme | Empfänger, Schnittstellen und Verfahren nachgeführt |
| Nachweise | fachlich geprüft und geschützt abgelegt |
Erst nach Abnahme erhält der Vorgang den Status beendet.
¶ 17. Rollen
| Rolle | Verantwortung |
|---|---|
| Service Owner / Prozesseigner | Leistung, Bedarf, Datenfluss, Kontrolle und Exit fachlich steuern |
| Einkauf / Vertragsmanagement | Vertrag, Termine, Nachweise, Änderungen und Kündigung steuern |
| Datenschutzkoordination | Rollen-, Register-, Transfer- und Nachweisabgleich koordinieren |
| Informationssicherheit / IT | TOM, Zugriffe, technische Kontrollen und Deprovisionierung prüfen |
| Rechtsfunktion | Vertrags-, Haftungs- und Eskalationsfragen prüfen |
| Datenschutzbeauftragte/r | risikoorientiert beraten und überwachen, sofern benannt |
| Freigabestelle | Start, Auflagen, Aussetzung und Abschluss entscheiden |
¶ 18. Kennzahlen als Steuerungshilfe
Mögliche Kennzahlen sind:
- Anteil fälliger Kontrollen fristgerecht abgeschlossen,
- offene kritische Abweichungen nach Frist,
- nicht angekündigte Lieferanten- oder Unterauftragnehmeränderungen,
- Zeit von Kündigung bis technischem Zugriffsentzug,
- Anteil vollständig bestätigter Lösch- und Exitnachweise,
- wiederkehrende Feststellungen je Kontrollfeld.
Musterkennzahlen belegen weder Umsetzung noch Wirksamkeit. Zielwerte und Datenquellen sind organisationsbezogen festzulegen.
¶ 19. Geschützte Nachweise
- Risiko- und Kontrollklasse,
- Due-Diligence-Unterlagen und Bewertungsentscheidung,
- Vertrag, TOM, Unterauftragnehmer und Transferunterlagen,
- Kontrollplan, Berichte, Feststellungen und Maßnahmen,
- Vorfälle, Eskalationen und Freigaben,
- Kündigung, Migrations- und Exitplan,
- Datenexport, Löschung und Restaufbewahrung,
- Zugriffsentzug und technische Abschlusskontrolle,
- Abnahme und Registeraktualisierung.
Reale Lieferanten-, Vertrags-, Sicherheits- und Exitnachweise verbleiben in der geschützten Ablage.
¶ 20. Qualitätskontrolle
- Sind sämtliche datenschutzrelevanten Lieferanten im führenden Bestand erfasst?
- Ist die Kontrollklasse begründet und aktuell?
- Wurde der Produktivstart erst nach vollständiger Prüfung freigegeben?
- Bezieht sich jeder Nachweis auf den tatsächlich genutzten Dienst und Geltungsbereich?
- Werden Änderungen vor Nutzung erkannt und bewertet?
- Sind Feststellungen bis zur geprüften Wirksamkeit verfolgt?
- Ist der Exit technisch, vertraglich und fachlich vorbereitet?
- Sind Rückgabe, Löschung, Zugriffe und Unterauftragnehmerkette vollständig abgeschlossen?
- Stimmen Register, VVT, Vertrag, Technik und Nachweise überein?
¶ 21. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Auftragsverarbeiterregister | führender Lieferanten-, Vertrags-, Kontroll- und Exitstatus |
| Auftragsverarbeitung | Rollen-, Auswahl-, Vertrags- und Weisungsprozess |
| Unterauftragsverarbeiter | Genehmigung, Änderungen und Pflichtendurchgriff |
| Drittlandtransfers | internationale Zugriffe, Instrument und Überwachung |
| Transfer Impact Assessment | Rechts-, Praxis-, Zugriffs- und Maßnahmenbewertung |
| Standardvertragsklauseln und zusätzliche Maßnahmen | Vertragsmodule, Anlagen, Maßnahmen, Aussetzung und Exit |
| ISMS-Lieferantenbewertungen | Informationssicherheits-, Leistungs- und Nachweisbewertung |
| ISMS-Lieferanten und Dienstleister | übergreifende Lieferantensteuerung |
¶ 22. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 28 – EUR-Lex
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern – finale Fassung
- Durchführungsbeschluss (EU) 2021/915 mit Standardvertragsklauseln nach Artikel 28 – EUR-Lex
¶ 23. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Lieferantenprüfung, Datenschutzkontrollen, Maßnahmensteuerung und kontrolliertem Exit
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 24. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 0.1 | 08.08.2026 | Musterverfahren für risikobasierte Lieferantenkontrollen und kontrollierten Exit erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |