DSGVO-Vertragsprüfung: welche Verträge datenschutzrelevant sind
Datenschutz ist keine eigene Vertragsart, sondern eine Schicht, die sich durch fast jeden Unternehmensvertrag zieht. Sobald ein Dienstleister mit personenbezogenen Daten in Berührung kommt, entstehen Pflichten, die im Hauptvertrag oder in einer Anlage geregelt sein müssen.
Kurz gesagt
DSGVO-relevant ist jeder Vertrag, bei dem ein Vertragspartner personenbezogene Daten verarbeitet: IT- und Cloud-Verträge, Lohnbuchhaltung, Marketing, Callcenter, Wartung mit Fernzugriff. Erforderlich sind dann in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, Regelungen zu Unterauftragnehmern, technischen Maßnahmen, Löschung und, bei Anbietern außerhalb der EU, eine Transfergrundlage nach Kapitel V DSGVO.
Erst am eigenen Vertrag prüfen, dann entscheiden: die ersten drei Fundstellen sind kostenlos.
Die drei Rollen, die den Vertrag bestimmen
Bevor Sie Klauseln prüfen, klären Sie die Rolle. Sie entscheidet darüber, welches Vertragsdokument überhaupt nötig ist.
- Auftragsverarbeitung nach Art. 28 DSGVO: Der Dienstleister verarbeitet weisungsgebunden für Sie, etwa Hosting oder Lohnabrechnung.
- Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO: Beide legen Zwecke und Mittel gemeinsam fest, etwa bei geteilten Kampagnen oder Plattformen.
- Zwei getrennt Verantwortliche: Jede Seite entscheidet eigenständig, etwa beim Steuerberater oder bei einer Kanzlei. Dann ist kein AVV nötig, wohl aber eine saubere Informationspflicht.
Welche Verträge im Alltag betroffen sind
Die Liste ist länger, als die meisten Unternehmen erwarten. Datenschutzpflichten stecken selten im Titel des Vertrags, sondern in der Leistungsbeschreibung.
- Software- und Cloud-Verträge inklusive Support mit Zugriff auf Produktivdaten
- Dienstleistungs- und Agenturverträge mit Kunden- oder Bewerberdaten
- Wartungs- und Serviceverträge mit Fernzugriff auf Systeme
- Personaldienstleister, Lohnbuchhaltung und betriebliche Altersvorsorge
- Marketingverträge mit Newsletter-, Tracking- oder Adressdaten
Erst am eigenen Vertrag prüfen, dann entscheiden: die ersten drei Fundstellen sind kostenlos.
Die Klauseln, an denen es meistens hakt
In der Praxis fehlen selten ganze Kapitel, sondern einzelne Punkte, die im Ernstfall entscheidend sind: eine allgemeine Genehmigung für Unterauftragnehmer ohne Widerspruchsrecht, technische Maßnahmen, die nur als Werbeliste beschrieben sind, Löschfristen ohne konkrete Frist sowie Haftungsklauseln, die den Regress bei einem Bußgeld faktisch ausschließen.
Datentransfer in Drittländer
Sitzt der Anbieter oder ein Unterauftragnehmer außerhalb des EWR, brauchen Sie eine Grundlage nach Kapitel V DSGVO: einen Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften. Prüfen Sie zusätzlich, ob die vertraglich zugesagte Serverregion tatsächlich auch für Support und Backups gilt.
Rolle, Vertragsdokument und Prüfschwerpunkt
| Konstellation | Erforderliches Dokument | Worauf zu achten ist |
|---|---|---|
| Weisungsgebundene Verarbeitung | AVV nach Art. 28 DSGVO | Unterauftragnehmer, TOM, Löschung, Kontrollrechte |
| Gemeinsame Festlegung der Zwecke | Vereinbarung nach Art. 26 DSGVO | Aufteilung der Betroffenenrechte und Informationspflichten |
| Getrennte Verantwortliche | Kein AVV, Regelung im Hauptvertrag | Zulässigkeit der Übermittlung, Vertraulichkeit |
| Anbieter außerhalb des EWR | Standardvertragsklauseln oder Angemessenheitsbeschluss | Transfergrundlage, Serverregion, Supportzugriffe |
Erst am eigenen Vertrag prüfen, dann entscheiden: die ersten drei Fundstellen sind kostenlos.
AV-Vertrag prüfen lassen oder Datenschutz-Kontingent anfragen
Wir markieren fehlende Pflichtangaben nach Art. 28 DSGVO, Subunternehmer-Regeln und Löschfristen in rund 30 Sekunden. 6,99 Euro je Analyse; im Paket ab 3,50 € je Vertrag (10 Analysen für 34,99 €), ab 15 Analysen individuelles Angebot.
- Prüfliste zu Art. 28 Abs. 3 DSGVO: Weisungsrecht, TOM, Unterauftragsverarbeiter, Löschung
- Verarbeitung in der EU, Verträge werden nicht für Modelltraining verwendet
- Kontingent für wiederkehrende AVV-Prüfungen inklusive Sammelrechnung
Was kostet das konkret?
Feste Paketpreise, einmalig zahlbar, kein Abo und keine Mindestlaufzeit. Das Guthaben steht sofort nach dem Kauf bereit und verfällt nicht.
Einzelanalyse
6,99 €
1 Analyse · 6,99 € je Vertrag
- 5 Rückfragen im Chat
- Rechnung mit ausgewiesener USt.
3er-Paket
14,99 €
3 Analysen · 5,00 € je Vertrag
- 15 Rückfragen im Chat
- Rechnung mit ausgewiesener USt.
5er-Paket
21,99 €
5 Analysen · 4,40 € je Vertrag
- 25 Rückfragen im Chat
- Rechnung mit ausgewiesener USt.
10er-Paket
34,99 €
10 Analysen · 3,50 € je Vertrag
- 50 Rückfragen im Chat
- Rechnung mit ausgewiesener USt.
Rechenbeispiel Einkauf: 15 Rahmenverträge im Quartal
Ab 15 Analysen machen wir Ihnen ein Angebot mit Staffelpreis. Als Orientierung: das größte Paket oben liegt bei 3,50 € je Vertrag, 15 Prüfungen kosten damit rund 52,50 €. Eine externe Erstprüfung liegt üblicherweise bei 180 bis 400 € pro Stunde — schon eine eingesparte Prüfstunde deckt das Ganze.
Sagen Sie uns, wie viele AV-Verträge pro Jahr anfallen. Sie erhalten eine Einschätzung zu Kontingent und Ablauf, meist am selben Werktag.
Häufige Fragen
- Woran erkenne ich, ob ein Vertrag DSGVO-relevant ist?
- Fragen Sie, ob der Vertragspartner im Rahmen der Leistung personenbezogene Daten sehen, speichern oder darauf zugreifen kann. Auch ein reiner Fernwartungszugang genügt, weil dabei ein Zugriff auf Produktivdaten möglich ist.
- Reicht ein Hinweis auf die Datenschutzerklärung im Vertrag?
- Nein. Die Datenschutzerklärung erfüllt Informationspflichten gegenüber betroffenen Personen. Zwischen den Vertragsparteien braucht es je nach Rolle einen AVV oder eine Vereinbarung über gemeinsame Verantwortlichkeit.
- Wer haftet bei einem Datenschutzverstoß des Dienstleisters?
- Nach außen haften Verantwortlicher und Auftragsverarbeiter gegenüber betroffenen Personen unter den Voraussetzungen von Art. 82 DSGVO. Im Innenverhältnis entscheidet der Vertrag, deshalb sind Haftungs- und Freistellungsklauseln so wichtig.
- Prüft CheckVertrag auch Datenschutzklauseln?
- Ja. Die Analyse markiert fehlende oder einseitige Datenschutzregelungen, unklare Löschfristen und Haftungsausschlüsse und ordnet sie den einschlägigen Normen zu. Die verbindliche datenschutzrechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten.
Weiterlesen
Im Unternehmensbereich
Passende Prüfung
Begriffe
Allgemeine Information, keine Rechtsberatung. Zurück zur Übersicht für Unternehmen