¶ AVV-Prüfliste
Keine Vertragsvorlage: Diese Seite ist ein öffentliches Kriterienmodell und ersetzt weder die Prüfung der tatsächlichen Rollen noch einen kundenindividuell abgestimmten Vertrag. Verträge, Anbieterbewertungen und Anlagen verbleiben geschützt.
¶ Dokumenteninformationen
| Feld | Wert |
|---|---|
| Dokumenten-ID | DSGVO-VOR-09-06 |
| Dokumentenart | Prüfliste für Auftragsverarbeitung |
| Wiki.js-Pfad | /DSGVO/09-Vorlagen-und-Archiv/AVV-Pruefliste |
| Status | Entwurf – keine reale Vertrags- oder Anbieterprüfung enthalten |
| Version / Stand | 1.0 / 09.08.2026 |
| Schutzklasse | Öffentliches Kriterienmodell; Verträge und Prüfnachweise vertraulich |
| DSGVO-Bezug | Artikel 28, 29, 32, 33 und 44 ff. DSGVO |
Auftragsverarbeitung vor Beginn, während des Betriebs und beim Exit prüfen. Eigene redaktionelle SVG-Grafik. Zum Vergrößern öffnen.
¶ 1. Vorprüfung der Rollen
- Wer entscheidet über Zwecke und wesentliche Mittel der Verarbeitung?
- Liegt tatsächlich Auftragsverarbeitung, gemeinsame Verantwortung, getrennte Verantwortung oder eine andere Rolle vor?
- Verfolgt der Anbieter eigene Zwecke oder nutzt er Daten außerhalb dokumentierter Weisungen?
- Sind betroffene Verarbeitungen, Daten, Personen, Systeme, Standorte und Zugriffe abgegrenzt?
Die Bezeichnung des Vertrags entscheidet nicht über die tatsächliche Rollenverteilung.
¶ 1.1 Rollenentscheidung dokumentieren
Die Prüfliste beginnt deshalb mit dem tatsächlichen Verarbeitungsgeschehen: Wer legt Zwecke fest? Wer bestimmt wesentliche Mittel? Darf der Dienstleister Daten für eigene Produktverbesserung, Analysen oder Werbung verwenden? Welche Weisungen sind praktisch möglich? Die Antworten werden mit Leistungsbeschreibung, Datenfluss und tatsächlicher Konfiguration abgeglichen.
| Ergebnis | Kennzeichen | Nächster Schritt |
|---|---|---|
| Auftragsverarbeitung | Verarbeitung ausschließlich für dokumentierte Zwecke und Weisungen des Verantwortlichen | Artikel-28-Vertrag und Anbieterprüfung |
| gemeinsame Verantwortung | Parteien bestimmen Zwecke oder wesentliche Mittel gemeinsam | Rollenmatrix und Vereinbarung nach Artikel 26 |
| getrennte Verantwortung | jede Partei verfolgt eigene Zwecke in eigener Verantwortung | Rechtsgrundlage, Transparenz und Übermittlung prüfen |
| unklar | Vertrag, Produktfunktion und Praxis widersprechen sich | Einsatz nicht freigeben, offene Punkte klären |
¶ 2. Prüffelder
| Bereich | Prüfkriterien |
|---|---|
| Gegenstand und Dauer | Dienst, Verarbeitung, Beginn, Laufzeit und Beendigung eindeutig |
| Art und Zweck | Tätigkeiten, Zwecke, Datenarten und betroffene Personen vollständig |
| Weisungen | Grundweisungen, Weisungsberechtigte, Kanäle und Umgang mit rechtswidriger Weisung |
| Vertraulichkeit | verpflichtete Personen, Rollen, Berechtigungen und Geheimnisschutz |
| Sicherheit | konkrete TOM nach Artikel 32, Geltungsbereich, Änderungen und Nachweise |
| Unterauftragnehmer | aktuelle Liste, Genehmigungsmodell, Information, Widerspruch und Weitergabe der Pflichten |
| Unterstützung | Betroffenenrechte, Sicherheit, Verletzungen, DSFA, Aufsicht und Nachweise |
| Löschung und Rückgabe | Wahlrecht, Fristen, Formate, Backups, Bestätigung und gesetzliche Aufbewahrung |
| Kontrolle | Informations-, Prüf- und Auditmöglichkeiten sowie Behandlung von Abweichungen |
| Drittland | Speicher-, Support- und Zugriffsländer, Transferinstrument und zusätzliche Maßnahmen |
| Exit | Export, Migration, Konten, Schlüssel, Unterauftragnehmer und Löschverifikation |
¶ 3. Prüfablauf über den Dienstleisterlebenszyklus
¶ Vor Beauftragung
- Dienst, Datenfluss, Rollen und Schutzbedarf beschreiben.
- Anbieter, Standorte, Unterauftragnehmer und Zugriffswege erfassen.
- Vertragsentwurf, TOM und Nachweise gegen den konkreten Einsatz prüfen.
- Drittlandtransfers und mögliche Behördenzugriffe bewerten.
- offene Punkte, Auflagen, Risiko und Entscheidung dokumentieren.
¶ Während des Betriebs
Änderungsmitteilungen, Unterauftragnehmer, Zertifikate, Vorfälle, Serviceänderungen und Prüfergebnisse werden fortlaufend überwacht. Ein einmal geprüfter AVV bleibt nicht automatisch aktuell. Wesentliche Änderungen lösen eine erneute Rollen-, Vertrags- und Risikoprüfung aus.
¶ Beim Exit
Die Organisation prüft Datenexport, Format, Vollständigkeit, Konten, Schnittstellen, Schlüssel, Rückgabe, Löschung und verbleibende Sicherungen. Eine allgemeine Vertragsklausel ersetzt nicht die dokumentierte Durchführung und Bestätigung.
¶ 4. Praxisbeispiel: Cloud-Fachanwendung
Ein Anbieter hostet eine Kundenanwendung in der EU, nutzt aber einen globalen Supportdienst und mehrere Unterauftragnehmer. Die Prüfung darf nicht beim Rechenzentrumsstandort enden. Sie klärt unter anderem:
- ob Supportpersonal aus Drittländern auf personenbezogene Daten zugreifen kann,
- wie Unterauftragnehmer angekündigt und Einwände behandelt werden,
- welche Protokolle, Berechtigungs- und Verschlüsselungsmaßnahmen gelten,
- wie der Anbieter bei Betroffenenanfragen und Datenschutzverletzungen unterstützt,
- welche Daten nach Vertragsende in Backups oder Diagnosedaten verbleiben,
- ob Export und Migration in einem getesteten Format möglich sind.
Das Ergebnis kann eine Freigabe mit Auflagen, eine befristete Risikobehandlung oder eine Ablehnung sein. Ein vorhandenes ISO-Zertifikat wird als Nachweisbaustein betrachtet, aber auf Scope, Aktualität und Relevanz für den genutzten Dienst geprüft.
¶ 5. Entscheidungsnachweis
Die Prüfung dokumentiert Versionen, Prüfer, Datum, Ergebnis, offene Punkte, Risiko, Auflagen, Owner, Frist und Freigabe. Ein vorhandener Vertrag oder ein Zertifikat belegt nicht automatisch die tatsächliche und wirksame Umsetzung für den genutzten Dienst.
¶ Qualitätsgate
- Rolle und Datenfluss sind anhand tatsächlicher Funktionen geklärt.
- Vertrag und Anlagen sind vollständig, konsistent und eindeutig versioniert.
- TOM beziehen sich auf den genutzten Dienst und nicht nur auf den Anbieter allgemein.
- Unterauftragnehmerliste, Standorte und Änderungsmechanismus sind bekannt.
- Drittlandzugriffe einschließlich Support und Fernwartung wurden geprüft.
- Unterstützung bei Rechten, Vorfällen, DSFA und Prüfungen ist praktisch nutzbar.
- Löschung, Rückgabe und Exit sind technisch und organisatorisch ausführbar.
- offene Punkte besitzen Risiko, Auflage, Owner, Termin und Entscheidung.
Eine Freigabe gilt nur für den dokumentierten Dienst, Umfang, Zweck und Konfigurationsstand. Erweiterungen oder neue Module werden nicht stillschweigend von der alten Prüfung umfasst.
¶ 6. Geschützte Anbieterakte
Verträge, Sicherheitsanlagen, Auditberichte, Testate, Korrespondenz und technische Details werden geschützt geführt. Das öffentliche Wiki kann Anbieter-ID, Prüfstatus und Referenzmodell erläutern, enthält aber keine vertraulichen Vertrags- oder Sicherheitsunterlagen.
¶ 7. Verknüpfte Seiten
- Auftragsverarbeitung
- Auftragsverarbeiterregister
- Unterauftragsverarbeiter
- Drittlandtransfers
- TOM-Prüfliste
- Dokumentenvorlagen
¶ 8. Offizielle Grundlagen
¶ 9. Weiterführende Informationen von SMCT MANAGEMENT
Rollen-, Vertrags- und Dienstleisterprüfung für konkrete Verarbeitungssituationen
¶ 10. Änderungshistorie
| Version | Datum | Änderung | Freigabe |
|---|---|---|---|
| 1.0 | 09.08.2026 | Rollenentscheidung, Lebenszyklusprüfung, Cloud-Praxisfall, Qualitätsgate und Anbieterakte ergänzt | Ausstehend |
| 0.1 | 08.08.2026 | Öffentliches Kriterienmodell zur AVV-Prüfung erstellt | Ausstehend |