Was im Vertrag stehen muss — Auswahl und Kontrolle

Art. 28 Abs. 3 DSGVO zählt die Pflichtinhalte auf: Weisungsbindung, Vertraulichkeit, Sicherheit nach Art. 32, Unterstützung bei Betroffenenrechten und Meldungen, Löschung oder Rückgabe am Ende und Nachweise für Kontrollen.

Warum das wichtig ist

Der Vertrag ist kein Selbstzweck: Jede Klausel entspricht einer Pflicht, die sonst beim Betrieb hängen bliebe. Besonders Buchstabe c — der Auftragsverarbeiter ergreift alle nach Art. 32 erforderlichen Maßnahmen — und Buchstabe f, die Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung.

Die Auswahl kommt vor dem Vertrag: Art. 28 Abs. 1 erlaubt nur Dienstleister, die „hinreichende Garantien" bieten. Das heißt in der Praxis, dass man vorher fragt und die Antwort aufbewahrt — Zertifikate, Sicherheitskonzepte, Standort der Verarbeitung.

Und die Kontrolle kommt danach. Art. 5 Abs. 2 verlangt auch für die Arbeit der Dienstleister einen Nachweis. Das muss keine Prüfung vor Ort sein; eine dokumentierte Nachfrage in festem Abstand genügt in den meisten Fällen.

Was das Gesetz sagt

Art. 28 Abs. 1 DSGVO

„arbeitet der Verantwortliche nur mit Auftragsverarbeitern, die hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen … durchgeführt werden"

Art. 28 Abs. 3 lit. c DSGVO

„ergreift alle gemäß Artikel 32 erforderlichen Maßnahmen"

Art. 29 DSGVO

„Der Auftragsverarbeiter und jede dem Verantwortlichen oder dem Auftragsverarbeiter unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich auf Weisung des Verantwortlichen verarbeiten"

Art. 5 Abs. 2 DSGVO

„Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht")."

So macht man es richtig

1. Vor der Auswahl fragen und die Antwort aufbewahren — das ist die Garantieprüfung aus Abs. 1.
2. Den Vertrag auf die sechs Pflichtinhalte prüfen, nicht nur unterschreiben.
3. Einen festen Abstand für die Nachfrage vereinbaren und die Nachfrage dokumentieren.
4. Am Ende der Zusammenarbeit die Löschung oder Rückgabe schriftlich bestätigen lassen.

Stand: 11.10.2026