DSGVO · Art. 28
DSGVO-028-AUFTRAGSVERARBEITUNG
Vollstaendige AVV-Abdeckung fuer alle Auftragsverarbeiter herstellen
Anforderung
Werden personenbezogene Daten durch einen Auftragsverarbeiter verarbeitet, muss ein Vertrag (Auftragsverarbeitungsvertrag, AVV) geschlossen werden, der die Pflichten des Auftragsverarbeiters regelt – insbesondere Weisungsgebundenheit, Vertraulichkeit, TOM, Unterauftragsverarbeitung und Loeschung/Ruckgabe nach Vertragsende.
Fundstelle
DSGVO Art. 28 Abs. 1-3
Gap-Check
Liegen fuer alle externen Dienstleister, die personenbezogene Daten verarbeiten (Cloud, Hosting, SaaS, Support), aktuelle AVV nach Art. 28 vor?
Wenn ja
Anforderung erfuellt – AVV-Liste bei neuen Dienstleistern pflegen.
Teilweise
AVV fuer Hauptdienstleister vorhanden, aber kleinere/neue Tools (z. B. Marketing-SaaS) nicht erfasst.
Wenn nein
Kritische Luecke: Verarbeitung ohne AVV ist unzulaessig, unabhaengig von technischer Sicherheit des Dienstleisters.
Maßnahme
- Alle eingesetzten Dienstleister mit Zugriff auf personenbezogene Daten inventarisieren (inkl. Schatten-IT/SaaS)
- Fuer jeden Dienstleister pruefen, ob ein gueltiger AVV vorliegt
- Fehlende AVV nachfordern bzw. Standardvertragsklauseln bei Drittlandtransfers (Art. 44-49) pruefen
- Prozess etablieren, der bei neuen Tools/Dienstleistern automatisch einen AVV-Check ausloest
Aufwand
mittel
Schätzung
4 bis 10 Personentage (Stark abhaengig von Anzahl genutzter SaaS-Tools)
Zeithorizont
kurzfristig
Hilfsmittel
Dienstleister-Inventar, AVV-Checkliste, SCC-Vorlagen (Drittland)
Vertiefung
DSGVO Survival Kit, Kap. 8 – Auftragsverarbeitung und Dienstleistermanagement
Risiko
Fehlende AVV, insbesondere bei Cloud-/SaaS-Diensten, ist einer der haeufigsten Pruefpunkte bei Datenschutz-Audits.
Eintritt
4 von 5
Auswirkung
4 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
AVV-Inventar fuer alle Auftragsverarbeiter, Pruefprozess fuer neue Dienstleister
Art
organisatorisch
Dringlichkeit
hoch
Nachweis
AVV-Register
Vorlage
AVV-Checkliste + Mustervertrag
Verknüpfungen
Querverweise
NIS-2 Art. 21 §2d, DORA Art. 28-30
ISO 27001:2022
A.5.19, A.5.20 (vollstaendig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json