Warum die Kontrolle von Auftragsverarbeitern Pflicht ist
Viele Unternehmensprozesse wären ohne externe Dienstleister kaum noch vorstellbar. Cloud-Anwendungen, Bewerbermanagement-Tools, Marketing-Software: Häufig verarbeiten Externe personenbezogene Daten im Auftrag des Unternehmens und sind damit Auftragsverarbeiter im Sinne der DSGVO.
In der Praxis steht oft der Abschluss eines Auftragsverarbeitungsvertrags (AVV) im Mittelpunkt. Damit ist die datenschutzrechtliche Verantwortung jedoch noch nicht erfüllt. Art. 28 DSGVO verlangt nicht nur die initiale Prüfung des Dienstleisters. Der Verantwortliche muss auch im laufenden Vertragsverhältnis immer wieder kontrollieren, ob der Auftragsverarbeiter die vereinbarten Pflichten tatsächlich einhält.
Die DSGVO enthält zwar Vorgaben zu Kontroll- und Nachweispflichten, lässt deren konkrete Ausgestaltung aber in vielen Punkten offen. Daraus ergeben sich in der Praxis Fragen zum konkreten Handlungsbedarf für Verantwortliche, zum Umfang der Kontrollpflichten und dazu, welche vertraglichen Einschränkungen der Kontrollrechte überhaupt zulässig sind.
Fehlende Kontrolle als Bußgeld- und Haftungsrisiko
Dass es sich bei der Kontrolle von Auftragsverarbeitern nicht nur um eine theoretische Pflicht handelt, zeigt die behördliche Praxis. Zunehmend im Fokus steht, ob Verantwortliche ihre Auftragsverarbeiter sorgfältig ausgewählt, wirksam kontrolliert und die entsprechenden Schritte nachvollziehbar dokumentiert haben.
Aktuelle Bußgeldverfahren gegen Vodafone
Wie ernst die Behörden dieses Thema nehmen, wird an zwei Verfahren aus dem Jahr 2025 gegen Vodafone deutlich. In Griechenland wurde wegen unzureichender Prüfung und Überwachung eines Auftragsverarbeiters ein Bußgeld in Höhe von 350.000 Euro verhängt. In Deutschland belief sich das Bußgeld für unzureichende datenschutzrechtliche Überprüfung und Überwachung von Partneragenturen auf 15 Millionen Euro.
Gerichtliche Bestätigung der Überwachungspflicht
Auch die Gerichte mussten sich bereits mit den Auswirkungen fehlender Auftragsverarbeiterkontrollen auseinandersetzen. Ein Beispiel ist das Urteil des OLG Dresden vom 15.10.2024. Dem Fall lag zugrunde, dass ein externer Auftragsverarbeiter nach Beendigung des Vertragsverhältnisses die Löschung personenbezogener Daten lediglich per E-Mail ankündigte, eine belastbare Bestätigung der tatsächlich erfolgten Löschung aber zunächst ausblieb. Später tauchten Datensätze im Darknet auf.
Das OLG leitete aus Art. 28 DSGVO nicht nur eine Pflicht zur sorgfältigen Auswahl, sondern auch eine fortbestehende Überwachungspflicht des Verantwortlichen ab. Der BGH hat diese Linie mit Urteil vom 11.11.2025 bestätigt.
Der Verantwortliche hätte also nicht nur auf die Löschankündigung des Dienstleisters vertrauen dürfen, sondern mindestens eine aktive Bestätigung der durchgeführten Löschung anfordern müssen. Da er dies nicht tat, hat der Verantwortliche im konkreten Fall seine Kontrollpflicht verletzt und ist aus diesem Grund auch für etwaige Schäden der betroffenen Personen haftbar.
Rechtsgrundlagen der Kontrollpflicht
Die Kontrollpflicht ergibt sich aus mehreren miteinander verzahnten Vorschriften der DSGVO. Ausgangspunkt ist Art. 28 Abs. 1 DSGVO. Danach darf ein Verantwortlicher nur mit solchen Auftragsverarbeitern zusammenarbeiten, die hinreichende Garantien dafür bieten, dass die Verarbeitung im Einklang mit der DSGVO erfolgt.
Diese Vorschrift bezieht sich auf den ersten Blick auf die initiale Prüfung zu Beginn der Zusammenarbeit. Bei genauerer Betrachtung enthält die Regelung aber auch die Pflicht, den Auftragsverarbeiter laufend zu kontrollieren, um sicherzustellen, dass der initial geprüfte Zustand auch für die Dauer der Zusammenarbeit aufrechterhalten wird.
Zwingender Vertragsinhalt: Kontrollrecht
Aus diesem Grund sieht Art. 28 Abs. 3 lit. h DSGVO vor, dass der abgeschlossene AVV zwingend eine Regelung zum Kontrollrecht des Verantwortlichen enthalten muss. Der Auftragsverarbeiter muss dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung stellen und Kontrollen ermöglichen.
Flankiert werden diese Regelungen durch die allgemeinen Pflichten des Verantwortlichen aus Art. 5 Abs. 2 und Art. 24 DSGVO. Danach muss der Verantwortliche die Einhaltung der DSGVO nachweisen können. Der Europäische Datenschutzausschuss (EDSA) verweist insoweit unter Bezugnahme auf den EuGH darauf, dass diese Vorschriften eine allgemeine Rechenschafts- und Compliance-Pflicht begründen.
Wie die Prüfung praktisch umgesetzt werden kann
In der Praxis lässt sich die Kontrolle von Auftragsverarbeitern auf unterschiedliche Weise umsetzen. Eine starre Pflicht zur Vor-Ort-Kontrolle besteht dabei nicht in jedem Fall. Vielmehr kommt es auf eine risikobasierte Auswahl geeigneter Kontrollinstrumente an.
Geeignete Mittel der Kontrolle
Als praktische Mittel kommen insbesondere Fragebögen, die Prüfung technischer und organisatorischer Maßnahmen, die Anforderung von Zertifikaten und Auditberichten sowie die Auswertung öffentlich zugänglicher Informationen in Betracht. Je nach Fall können auch Prüfungen durch sachverständige Dritte oder Vor-Ort-Inspektionen sinnvoll sein.
Solche Kontrollen spielen nicht nur während des laufenden Auftragsverhältnisses eine Rolle, sondern auch bei dessen Beendigung. Dann ist zu prüfen, ob personenbezogene Daten tatsächlich gelöscht oder zurückgegeben wurden. Dazu können aussagekräftige Löschbestätigungen, gegebenenfalls auch bezogen auf Kopien, Testumgebungen und eingesetzte Unterauftragsverarbeiter, ein zentrales Kontrollmittel sein.
Prüfungsumfang abhängig vom Risiko der Verarbeitung
Die grundsätzliche Pflicht zur Überprüfung von Auftragsverarbeitern besteht unabhängig vom Risiko der Datenverarbeitung. Der Umfang der Kontrolle richtet sich in der Praxis aber nach Art, Umfang, Sensibilität und Schadenspotenzial der Verarbeitung.
Bei etablierten Dienstleistern können dokumentierte Nachweise, TOM-Unterlagen oder Zertifizierungen ausreichen. Geht es hingegen um große Datenmengen, sensible Daten oder besonders kritische Prozesse, sind vertiefte Prüfungen bis hin zu tatsächlichen Kontrollen vor Ort erforderlich. Auch ein etwaiger Drittlandtransfer kann den Umfang der Kontrolle beeinflussen.
Entscheidend ist zudem eine sorgfältige Dokumentation. Wer kontrolliert, sollte das Vorgehen so festhalten, dass die Prüfung später gegenüber Aufsichtsbehörden nachvollziehbar belegt werden kann.
Kontrolle entlang der Verarbeitungskette
Besondere praktische Herausforderungen entstehen dort, wo nicht nur ein einzelner Auftragsverarbeiter eingebunden ist, sondern eine ganze Verarbeitungskette mit Unterauftragsverarbeitern und weiteren nachgelagerten Dienstleistern. Nach der Auffassung des EDSA muss der Verantwortliche sicherstellen können, dass entlang dieser Kette nur solche Stellen eingesetzt werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten.
In der Praxis stößt dies jedoch schnell an Grenzen, insbesondere bei langen und komplexen Dienstleisterstrukturen. Umso wichtiger ist es, dass Unternehmen sich von ihren direkten Auftragsverarbeitern belastbare Informationen und Nachweise dazu einholen, dass auch eingesetzte Unterauftragsverarbeiter sorgfältig ausgewählt und überprüft werden.
Daneben kommt den Regelungen im AVV besondere Bedeutung zu. Darin sollte klar abgesichert sein, dass für Unterauftragsverarbeiter dieselben Datenschutz- und Sicherheitsstandards gelten wie für den unmittelbaren Vertragspartner.
Kontrollrechte im AVV: Welche Einschränkungen und Kosten zulässig sind
Die DSGVO regelt nicht im Einzelnen, wie Kontrollrechte auszugestalten sind. Deshalb besteht bei der vertraglichen Regelung ein gewisser Spielraum, der in der Praxis häufig genutzt wird. Dabei ist nicht jede Einschränkung unzulässig.
Vertretbare Einschränkungen
Vertretbar sein können etwa Regelungen zur Voranmeldung von Prüfungen, zur Durchführung während üblicher Geschäftszeiten, zum Schutz von Betriebs- und Geschäftsgeheimnissen oder zum Ausschluss von Prüfern, die in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen. Solche Vorgaben können dazu dienen, die Kontrolle praktikabel in den Betriebsablauf einzubetten.
Unzulässige Einschränkungen
Die Grenze ist jedoch dort erreicht, wo das Kontrollrecht so eingeschränkt wird, dass es in der Praxis nicht mehr umsetzbar ist. Kritisch oder unzulässig sind daher insbesondere Klauseln, die Vor-Ort-Inspektionen vollständig ausschließen oder die Wahrnehmung von Kontrollrechten faktisch vereiteln. Der Verantwortliche muss sich in jedem Fall wirksam davon überzeugen können, dass die Auftragsverarbeitung den gesetzlichen und vertraglichen Anforderungen entspricht.
Kostenregelungen
Ähnliches gilt für die Kosten der Kontrolle. Kostenregelungen sind grundsätzlich verhandelbar und nach der Auffassung des EDSA nicht per se unzulässig. Sie dürfen aber nicht so ausgestaltet sein, dass sie abschreckend wirken oder Kontrollen wirtschaftlich praktisch unmöglich machen. Entscheidend bleibt auch hier, dass das Kontrollrecht nicht nur auf dem Papier besteht, sondern im Bedarfsfall tatsächlich ausgeübt werden kann.
Fazit und Praxischeckliste für Unternehmen
Die Kontrolle von Auftragsverarbeitern ist kein Thema, das sich mit dem Abschluss eines AVV erledigt. Wer personenbezogene Daten durch externe Dienstleister verarbeiten lässt, bleibt datenschutzrechtlich verantwortlich und muss sicherstellen, dass die vereinbarten und gesetzlichen Anforderungen nicht nur zu Beginn, sondern während des gesamten Auftragsverhältnisses eingehalten werden.
Praxischeckliste: Kontrollpflichten umsetzen
- Legen Sie verbindliche interne Prozesse fest: Wer ist für die Kontrolle zuständig? Nach welchen Kriterien wird geprüft? In welchen Intervallen erfolgen Kontrollen?
- Definieren Sie Prüfkriterien abhängig vom Risiko: Sensible Verarbeitungen erfordern intensivere Kontrollen als standardisierte Dienstleistungen.
- Fordern Sie aussagekräftige Nachweise an: TOM-Dokumentationen, Zertifikate, Auditberichte oder Fragebögen können je nach Fall ausreichend sein.
- Prüfen Sie den AVV auf wirksame Kontrollrechte: Stellen Sie sicher, dass Vor-Ort-Inspektionen nicht vollständig ausgeschlossen sind und Kostenregelungen nicht abschreckend wirken.
- Dokumentieren Sie alle Prüfschritte nachvollziehbar: Die Rechenschaftspflicht verlangt, dass Sie gegenüber Aufsichtsbehörden belegen können, wie Sie Ihre Kontrollen durchgeführt haben.
- Kontrollieren Sie auch bei Vertragsende: Fordern Sie belastbare Bestätigungen über die Löschung oder Rückgabe personenbezogener Daten.
- Berücksichtigen Sie Unterauftragsverarbeiter: Lassen Sie sich von Ihren direkten Vertragspartnern nachweisen, dass auch Unterauftragsverarbeiter die erforderlichen Standards einhalten.
Sie möchten wissen, ob Ihre Kontrolle von Auftragsverarbeitern den gesetzlichen Anforderungen genügt und wie Sie Ihre Prüfprozesse rechtssicher aufstellen? Vereinbaren Sie ein kostenloses Beratungsgespräch mit AZ-Datenschutz und erhalten Sie eine erste Einschätzung zu Ihrem individuellen Handlungsbedarf.
Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt.