¶ Unterauftragsverarbeiter
Beispieldokument: Diese Seite ist ein Musterentwurf für die fiktive „Muster GmbH“. Sie enthält keine realen Anbieterketten, Genehmigungen, Widersprüche oder Transferentscheidungen.
Genehmigungsregel: Weitere Auftragsverarbeiter werden nur nach vorheriger spezifischer oder allgemeiner schriftlicher Genehmigung des Verantwortlichen eingesetzt. Bei allgemeiner Genehmigung wird jede beabsichtigte Ergänzung oder Ersetzung rechtzeitig mitgeteilt und eine reale Widerspruchsmöglichkeit eingeräumt.
Durchgriffsregel: Dem weiteren Auftragsverarbeiter werden dieselben einschlägigen Datenschutzpflichten auferlegt. Der Hauptauftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung verantwortlich.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-MA-04-03 |
| Dokumentenart | Verfahren für weitere Auftragsverarbeiter |
| Wiki.js-Pfad | /DSGVO/04-Auftragsverarbeitung-und-Drittland/Unterauftragsverarbeiter |
| Verantwortlich | festzulegende Datenschutzkoordination / Dienstleister- und Prozesseigner |
| Fachlich geprüft durch | Datenschutzbeauftragte/r, sofern benannt, Rechtsfunktion, Einkauf, IT und Informationssicherheit |
| Freigabe durch | Geschäftsführung beziehungsweise dokumentierte befugte Leitung |
| Status | Entwurf – keine organisationsbezogene Genehmigungs-, Informations- oder Widerspruchsregel freigegeben |
| Version | 1.0 |
| Stand | 09.08.2026 |
| Gültig ab | Nach Vertragsabgleich, Prozesstest und formaler Freigabe |
| Nächste Prüfung | Mindestens jährlich sowie vor jeder Ergänzung, Ersetzung oder wesentlichen Leistungsänderung |
| Schutzklasse | Vertraulich; Anbieterketten, Verträge, Zugriffe, Prüfungen und Transferunterlagen geschützt |
| DSGVO-Bezug | Insbesondere Artikel 28 Absätze 2 und 4 sowie Artikel 32 und 44 bis 49 DSGVO |
| Schnittstellen | Auftragsverarbeiterregister, Auftragsverarbeitung, Einkauf, TOM, Drittlandtransfer, Änderungen und Exit |
Änderung erkennen, vollständig prüfen, wirksam entscheiden und Pflichten über die gesamte Verarbeitungskette kontrollieren. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Zweck
Das Verfahren verhindert, dass personenbezogene Daten ohne Kenntnis und Kontrolle des Verantwortlichen an weitere Auftragsverarbeiter gelangen. Es regelt Bestand, Genehmigung, Änderung, Widerspruch, Vertragsdurchgriff, Transfers, Kontrollen und Exit.
¶ 2. Vollständiger Bestand
Für jeden weiteren Auftragsverarbeiter werden mindestens erfasst:
- Rechtsträger, Kontakt und Register-ID,
- konkrete Teilleistung und Hauptauftragsverarbeiter,
- betroffene VVT, Systeme, Daten und Personengruppen,
- Speicher-, Verarbeitungs-, Support- und Zugriffsländer,
- Beginn, Änderung und Ende des Einsatzes,
- Genehmigungsmodell und aktueller Genehmigungsstand,
- Vertragspflichten, TOM und Prüfnachweise,
- weitere Kette, soweit vorhanden,
- Transfergrundlage und zusätzliche Maßnahmen,
- Exit-, Rückgabe- und Löschstatus.
Marketinglisten oder pauschale Webseitenhinweise genügen nicht, wenn Rechtsträger, Leistung, Ort und Änderung nicht eindeutig zuordenbar sind.
¶ 3. Spezifische und allgemeine Genehmigung
| Modell | Mindestanforderung |
|---|---|
| spezifische Genehmigung | konkrete Stelle und konkrete Verarbeitung werden vor Einsatz schriftlich genehmigt |
| allgemeine Genehmigung | Rahmen ist schriftlich vereinbart; jede beabsichtigte Ergänzung oder Ersetzung wird vorab mitgeteilt und kann geprüft sowie beanstandet werden |
Das gewählte Modell, die befugten Rollen, Mitteilungsfrist, Informationsinhalte und Folgen eines Widerspruchs werden vertraglich und operativ festgelegt.
¶ 4. Änderungsmitteilung
Eine verwertbare Mitteilung enthält:
- Hauptauftragsverarbeiter und betroffenen Dienst,
- neuen oder ersetzten Rechtsträger,
- Teilleistung und Verarbeitungszweck,
- Datenkategorien und betroffene Personen,
- Standorte, Fernzugriffe und internationale Transfers,
- vorgesehenes Einsatzdatum,
- TOM und wesentliche Änderungen,
- weitere Unterauftragnehmer,
- Kontakt für Rückfragen und Widerspruch.
Die Mitteilung wird aktiv an den vereinbarten Empfänger gesendet. Eine unbemerkte Änderung einer Webliste ist kein belastbarer Informationsprozess.
¶ 5. Prüfung
Vor der Entscheidung werden bewertet:
- Übereinstimmung mit Leistung, Zweck und Weisungen,
- Rolle und Umfang der Teilleistung,
- ausreichende Garantien und konkrete TOM,
- Vertraulichkeit, Berechtigungen und Mandantentrennung,
- Löschung, Rückgabe und Unterstützungspflichten,
- Standorte, Drittlandzugriffe und Transfergrundlagen,
- weitere Ketten und Kontrollmöglichkeiten,
- Auswirkungen auf Risiko, DSFA, Informationen und Verträge,
- Wechsel- oder Exitfähigkeit bei Ablehnung.
¶ 6. Entscheidung
| Ergebnis | Folge |
|---|---|
| genehmigt | Einsatz im definierten Umfang; Register und Anlagen aktualisieren |
| mit Auflagen | Einsatz erst nach dokumentierter Erfüllung oder begründeter Risikoentscheidung |
| Widerspruch | Datenzugriff verhindern; Alternative, technische Einschränkung oder Exit umsetzen |
| weitere Klärung | kein Einsatz vor belastbarer Entscheidung |
Schweigen gilt nur dann als vereinbarte Reaktion, wenn Verfahren, Frist und Informationsqualität dies rechtlich und vertraglich wirksam tragen. Intern wird eine positive nachvollziehbare Entscheidung bevorzugt.
¶ 7. Pflichtendurchgriff
Der Vertrag zwischen Haupt- und weiterem Auftragsverarbeiter legt die einschlägigen Pflichten aus der Hauptvereinbarung auf, insbesondere:
- Verarbeitung nur innerhalb zulässiger Weisungen,
- Vertraulichkeit und angemessene Sicherheit,
- Unterstützung bei Betroffenenrechten, Vorfällen und DSFA,
- Löschung oder Rückgabe,
- Informationen und Kontrollen,
- Weiterbeauftragung nur innerhalb der genehmigten Kette.
Der Verantwortliche dokumentiert, wie der Hauptauftragsverarbeiter den Pflichtendurchgriff und die ausreichenden Garantien nachweist.
¶ 8. Drittland und Fernzugriff
Jeder Speicher-, Support-, Administrations- oder Sicherheitszugriff außerhalb des EWR wird gesondert geprüft. Artikel-28-Genehmigung und Drittlandtransfergrundlage erfüllen unterschiedliche Anforderungen. Beide müssen tragfähig sein.
Neue Standorte oder Konzernzugriffe können auch ohne Wechsel des Rechtsträgers eine erneute Transfer- und Risikoprüfung auslösen.
¶ 9. Kontrolle und Kettenrisiko
Die Kontrolle berücksichtigt:
- Länge und Transparenz der Verarbeitungskette,
- Kritikalität der Teilleistung,
- Konzentrations- und Abhängigkeitsrisiken,
- Aktualität von TOM und Prüfberichten,
- Sicherheitsvorfälle und wiederkehrende Abweichungen,
- Fähigkeit des Hauptauftragsverarbeiters, die Kette tatsächlich zu überwachen,
- Nachweise zu Löschung, Wechsel und Vertragsende.
¶ 10. Vorfälle und Betroffenenrechte
Melde- und Unterstützungswege müssen über alle Stufen funktionieren. Der Hauptauftragsverarbeiter bündelt und übermittelt Informationen ohne unangemessene Verzögerung; vertragliche Unterketten dürfen die Bearbeitung gesetzlicher Fristen nicht blockieren.
¶ 11. Beendigung und Ersetzung
Bei Beendigung oder Ersetzung werden kontrolliert:
- Ende von Datenübermittlungen und Zugriffen,
- Rückgabe oder Migration,
- Löschung aktiver Daten und spätere Backup-Löschung,
- Entzug von Konten, Schlüsseln und Schnittstellen,
- Abschluss offener Vorfälle und Anfragen,
- Aktualisierung von Register, Vertrag, VVT und Informationen,
- Lösch- und Abschlussbestätigung.
¶ 12. Nachweisregister
| Feld | Inhalt |
|---|---|
| Haupt- / Unterauftragsverarbeiter | eindeutige Rechtsträger und Dienste |
| Änderung | Ergänzung, Ersetzung, Standort oder Leistungsänderung |
| Mitteilung | Eingang, Inhalt, Frist und Empfänger |
| Prüfung | Rolle, TOM, Kette, Transfer und Risiko |
| Entscheidung | genehmigt, Auflage, Widerspruch oder Klärung |
| Umsetzung | technischer Zugriff, Vertrags- und Registerstand |
| Kontrolle | Review, Feststellungen, Maßnahmen und Nachweise |
| Exit | Rückgabe, Zugriffsentzug, Löschung und Abschluss |
Reale Anbieter- und Vertragsdaten verbleiben in der geschützten Ablage.
¶ 13. Kontrollen
- Ist die tatsächlich eingesetzte Kette vollständig bekannt?
- Erreichen Änderungsmitteilungen die zuständige Rolle rechtzeitig?
- Enthalten sie Rechtsträger, Leistung, Orte, Zugriffe und Startdatum?
- Wird vor Einsatz geprüft und entschieden?
- Besteht eine reale Widerspruchs- und Exitmöglichkeit?
- Sind Pflichten vertraglich durchgereicht und kontrollierbar?
- Sind Drittlandzugriffe gesondert bewertet?
- Stimmen Register, Vertrag, technische Nutzung und öffentliche Anbieterlisten überein?
¶ 14. Praxisfall: neuer Cloud-Unterauftragnehmer
Ein bestehender SaaS-Anbieter kündigt an, einen neuen Infrastruktur- und Supportanbieter einzusetzen. Die Meldung nennt nur einen Handelsnamen und ein geplantes Datum. Das genügt nicht für eine belastbare Entscheidung. Der Verantwortliche fordert Rechtsträger, konkrete Teilleistung, Speicher- und Zugriffsländer, Datenkategorien, TOM, weitere Kette und Transfermechanismus an.
¶ 14.1 Entscheidungsschritte
- Betroffene Dienste und VVT-Einträge bestimmen.
- Prüfen, ob allgemeine oder spezifische Genehmigung vereinbart ist.
- Vertragliche Mitteilungsfrist und tatsächliche Widerspruchsmöglichkeit bewerten.
- Garantien, TOM und Pflichtendurchgriff auf den neuen Anbieter prüfen.
- Speicher-, Support- und Fernzugriffe auf Drittlandtransfer bewerten.
- Risiko, Alternativen, Exitfähigkeit und mögliche Betriebsunterbrechung dokumentieren.
- Genehmigung, Auflage, Widerspruch oder Ausstieg befugt entscheiden.
Eine allgemeine Genehmigung bedeutet nicht, dass jede Änderung automatisch akzeptiert ist. Ein Widerspruch benötigt vertraglich und praktisch eine Folge: Klärung, alternative Leistungserbringung, Aussetzung oder kontrollierter Exit.
¶ 15. Änderungs- und Negativtest
Mindestens jährlich wird geprüft, ob Register, Vertrag, Anbieterportal, technische Datenflüsse und tatsächliche DNS-, Hosting- oder Supportbeziehungen übereinstimmen. Ein Testfall simuliert eine neue Anbieterankündigung und misst, ob sie den richtigen Empfänger erreicht, rechtzeitig bewertet und vor Einsatz entschieden wird.
Beim Exit wird nicht nur der Hauptvertrag beendet. Unterauftragnehmerzugriffe, Kopien, Backups, Schlüssel, Supportkonten und Weiterübermittlungen werden nachverfolgt. Lösch- oder Rückgabenachweise werden auf Plausibilität geprüft. Offene gesetzliche Aufbewahrung wird zweckgebunden und zugriffsbeschränkt behandelt.
¶ 15.1 Häufige Fragen
Reicht eine öffentliche Unterauftragnehmerliste?
Sie kann informieren, reicht aber nur, wenn Änderungen aktiv, rechtzeitig und eindeutig zugeordnet werden und eine reale Prüfung beziehungsweise Widerspruchsmöglichkeit besteht.
Muss jeder Unterauftragnehmer einzeln auditiert werden?
Nicht pauschal. Tiefe und Methode richten sich nach Leistung, Daten, Zugriff, Ländern, Risiko und vorhandenen Garantien. Der Hauptauftragsverarbeiter bleibt für den Pflichtendurchgriff verantwortlich.
¶ 16. Verknüpfte Seiten
| Seite | Funktion |
|---|---|
| Auftragsverarbeiterregister | führender Bestand und Status |
| Auftragsverarbeitung | Auswahl, Vertrag, Weisungen, Betrieb und Exit |
| Verzeichnis von Verarbeitungstätigkeiten | Daten- und Prozessbezug |
| Drittlandtransfers | Transfergrundlagen, TIA und internationale Zugriffe |
| Standardvertragsklauseln und zusätzliche Maßnahmen | Modul 3, Anlage III, Pflichtendurchgriff, Zusatzmaßnahmen und Exit |
| Lieferantenkontrollen und Exit | laufende Kontrolle, Änderungen, Eskalation und Abschluss der Unterauftragnehmerkette |
¶ 17. Offizielle Grundlagen
- DSGVO, insbesondere Artikel 28 Absätze 2 und 4 – EUR-Lex
- EDSA-Leitlinien 07/2020 zu Verantwortlichen und Auftragsverarbeitern
¶ 18. Weiterführende Informationen von SMCT MANAGEMENT
Unterstützung bei Auftragsverarbeitung, Unterauftragnehmerketten, Transfers und Lieferantenkontrollen
- Datenschutzmanagement
- Datenschutz-Leistungen
- Pflichten von Verantwortlichen und Auftragsverarbeitern
Erstgespräch unter info@smct-management.de vereinbaren
¶ 19. Änderungshistorie
| Version | Datum | Änderung | Erstellt/geändert durch | Freigabe |
|---|---|---|---|---|
| 1.0 | 09.08.2026 | Praxisfall, Änderungsprüfung, Widerspruchsfolgen, Negativtest und Exitnachweise ergänzt | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.3 | 08.08.2026 | Lieferantenkontrollen und Exit für die Unterauftragnehmerkette verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.2 | 08.08.2026 | Standardvertragsklauseln und zusätzliche Maßnahmen für Drittland-Unterauftragnehmer verknüpft | Datenschutzkoordination / Musterrolle | Ausstehend |
| 0.1 | 08.08.2026 | Musterverfahren für weitere Auftragsverarbeiter erstellt | Datenschutzkoordination / Musterrolle | Ausstehend |