Auftragsverarbeitungsvertrag prüfen: worauf es beim Gegenlesen ankommt
Für: Einkauf, Recht und IT-Verantwortliche
Aktualisiert: 2026-09
Beim Gegenlesen eines Auftragsverarbeitungsvertrags entscheiden sechs Punkte: Gegenstand und Weisungsbindung, die Subunternehmerkette samt Widerspruchsrecht, Ort der Verarbeitung, Mitwirkung bei Betroffenenrechten, Meldewege bei Verletzungen und der Umgang mit Daten nach Vertragsende.
Auftragsverarbeitungsverträge werden fast immer vom Anbieter vorgelegt und fast immer ungelesen unterschrieben. Das ist verständlich, weil sie sich stark ähneln — und riskant, weil die Unterschiede genau an den Stellen liegen, die im Ernstfall zählen.
Diese Checkliste ist für das Gegenlesen gedacht, nicht für das Aufsetzen. Sie hilft dabei, die wenigen Punkte zu finden, an denen ein Standarddokument von dem abweicht, was Sie tatsächlich brauchen.
Die Checkliste
- 01
Gegenstand und Datenarten konkret prüfen
Der Vertrag muss Art, Zweck, Dauer, Datenkategorien und betroffene Personengruppen benennen. Allgemein gehaltene Formulierungen ohne Bezug zu Ihrem konkreten Einsatz sind ein Warnsignal.
Erledigt, wenn: Die beschriebenen Datenarten stimmen mit dem überein, was Sie tatsächlich in das System geben.
- 02
Weisungsbindung und Ausnahmen lesen
Der Auftragsverarbeiter darf nur auf dokumentierte Weisung handeln. Prüfen Sie, welche Ausnahmen der Vertrag davon vorsieht — insbesondere Verarbeitungen zu eigenen Zwecken des Anbieters.
Erledigt, wenn: Es ist klar, ob und wofür der Anbieter die Daten zu eigenen Zwecken nutzen darf, etwa zur Produktverbesserung.
- 03
Subunternehmerkette und Widerspruchsrecht klären
Eine Liste der Unterauftragsverarbeiter gehört dazu, ebenso ein Verfahren für neue. Entscheidend ist, ob Sie widersprechen können und welche Folge ein Widerspruch hat.
Erledigt, wenn: Die aktuelle Liste liegt vor, und die Ankündigungsfrist für neue Subunternehmer ist benannt.
- 04
Ort der Verarbeitung festhalten
Nicht nur der Hauptstandort, sondern auch Support und Fernzugriff. Support aus einem Drittland ist eine Verarbeitung, auch wenn die Daten dort nicht gespeichert werden.
Erledigt, wenn: Der Vertrag benennt die Verarbeitungsorte, und Fernzugriffe aus Drittländern sind ausdrücklich geregelt.
- 05
Mitwirkung bei Betroffenenrechten prüfen
Sie müssen Auskunfts- und Löschersuchen fristgerecht beantworten können. Wenn der Anbieter dafür nur eine allgemeine Unterstützungszusage gibt, klären Sie den konkreten Weg und die Reaktionszeit.
Erledigt, wenn: Der Ablauf für ein Auskunftsersuchen ist beschrieben, nicht nur allgemein zugesagt.
- 06
Meldeweg bei Datenschutzverletzungen prüfen
Sie haben eine kurze Frist gegenüber der Aufsichtsbehörde. Wenn der Vertrag nur eine unverzügliche Meldung ohne Weiteres vorsieht, klären Sie Kanal und Empfänger vorab.
Erledigt, wenn: Kanal, Empfänger und erwartete Reaktionszeit sind benannt und intern bekannt.
- 07
Rückgabe und Löschung nach Vertragsende regeln
Prüfen, in welchem Format die Daten zurückkommen, innerhalb welcher Frist gelöscht wird und ob eine Löschbestätigung vorgesehen ist. Diese Punkte fehlen häufig oder bleiben vage.
Erledigt, wenn: Exportformat, Löschfrist und Bestätigung sind im Vertrag benannt.
Häufige Fehler
- —Der Vertrag wird unterschrieben, aber die Anlage mit der Subunternehmerliste wird nie angeschaut — obwohl dort die eigentliche Information steht.
- —Eine Klausel erlaubt die Nutzung der Daten zu eigenen Zwecken des Anbieters, etwa zur Produktverbesserung. Das ist keine reine Auftragsverarbeitung mehr.
- —Der Support sitzt in einem Drittland, was im Vertrag nicht auftaucht, weil der Speicherort in der EU liegt.
- —Nach Vertragsende ist kein Exportformat vereinbart. Der Datenexport ist dann technisch möglich, praktisch aber unbrauchbar.
Was diese Checkliste nicht abdeckt
- —Diese Checkliste ist eine Prüfhilfe für das Gegenlesen und ersetzt keine rechtliche Prüfung, insbesondere nicht bei besonderen Datenkategorien.
- —Sie deckt nicht die vertragliche Absicherung von Drittlandtransfers ab. Standardvertragsklauseln und Transfer-Folgenabschätzungen sind ein eigenes Thema.
- —Für gemeinsame Verantwortlichkeit gilt ein anderer Vertragstyp mit anderen Anforderungen; die Abgrenzung ist im Einzelfall zu prüfen.
Übergeordnete Leistung: IT-Beratung
Passende Angebote
DSGVO- & revDSG-Audit für SaaS
Ein Datenschutz-Audit für SaaS prüft, ob Datenflüsse, Auftragsverarbeitung, Löschkonzept und technische Massnahmen DSGVO- und revDSG-konform sind. Ergebnis ist ein konkreter Befund mit priorisierten Korrekturen — aus Sicht von Leuten, die selbst SaaS betreiben.
IT-Strategie & Roadmap
Eine IT-Strategie beantwortet, welche technischen Investitionen die Geschäftsziele am stärksten voranbringen — und in welcher Reihenfolge. Ergebnis ist eine priorisierte Roadmap, die aus einer diffusen Wunschliste einen umsetzbaren Fahrplan mit klaren Handlungsfeldern und Meilensteinen macht.
Häufige Fragen
Können wir den Standardvertrag eines grossen Anbieters verhandeln?
Bei grossen Plattformanbietern in der Regel nicht. Die Prüfung bleibt trotzdem sinnvoll, weil sie zeigt, welche Restrisiken Sie eingehen und was Sie an anderer Stelle absichern müssen.
Brauchen wir einen AVV auch für kleine Werkzeuge?
Sobald personenbezogene Daten in Ihrem Auftrag verarbeitet werden, ja — unabhängig vom Umfang. Gerade kleine Werkzeuge wie Fehler-Tracking oder Formulardienste werden dabei übersehen.
Was gilt für Schweizer Unternehmen?
Das revidierte Datenschutzgesetz verlangt ebenfalls eine vertragliche Regelung der Auftragsbearbeitung. Bei EU-Bezug ist zusätzlich Artikel 28 DSGVO massgeblich.
Weitere Checklisten
Technische Due Diligence: was in wenigen Tagen prüfbar ist
Eine technische Due Diligence in knapper Zeit konzentriert sich auf sechs Fragen: Trägt die Architektur den geplanten Wachstumspfad, wie gross ist die technische Schuld, hängt das System an einzelnen Personen, wie steht es um Sicherheit und Lizenzen, und lässt sich der Betrieb übergeben.
Technical-SEO-Prüfung: die Punkte, die Indexierung tatsächlich verhindern
Die meisten technischen SEO-Probleme lassen sich auf wenige Ursachen zurückführen: Seiten sind nicht indexierbar, Canonicals zeigen falsch, die Sitemap enthält Seiten, die nicht indexiert werden sollen, hreflang ist nicht reziprok, oder Seiten sind intern kaum verlinkt.
Sichtbarkeit in KI-Antworten: die Prüfliste für Zitierfähigkeit
Zitierfähigkeit in KI-Antworten beruht auf wenigen Eigenschaften: eine kurze, eigenständige Antwort weit oben, eindeutige Aussagen statt Marketingsprache, überprüfbare Angaben mit Datum und Urheber, saubere Zugänglichkeit für KI-Crawler und eine erkennbare Autorenschaft.