Archivzuordnung: 2026-04. Nachträglich ergänzt am 14. November 2026. Bearbeitungsstand: 14. November 2026. Der Beitrag erläutert betriebliche Praxisfragen anhand des aktuellen Bearbeitungsstands und ist keine zeitgenössische Nachricht oder Darstellung des damaligen Rechtsstands.
Ein unterschriebener Auftragsverarbeitungsvertrag beantwortet nicht die Frage, ob ein Dienstleister die vereinbarten Schutzmaßnahmen tatsächlich einsetzt. Änderungen an Unterauftragnehmern, Speicherorten oder Sicherheitsprozessen können eine erneute Prüfung erforderlich machen.
Worauf es im Unternehmen ankommt
Die Kontrolle sollte sich am Risiko der Verarbeitung orientieren. Aussagekräftige Unterlagen müssen den genutzten Dienst und den relevanten Zeitraum betreffen. Allgemeine Werbebroschüren oder Zertifikate außerhalb des Leistungsumfangs reichen für konkrete Rückfragen häufig nicht aus. Festgestellte Lücken benötigen einen Maßnahmenplan mit Fristen. Ob Auftragsverarbeitung oder eine andere Rollenverteilung vorliegt, ist vorab anhand der tatsächlichen Aufgaben zu klären.
Four practical examples
Die folgenden Beispiele sind fiktiv und dienen der Veranschaulichung; sie beschreiben keine Mandate.
Praxisbeispiel 1
Ein Supportanbieter kann produktive Kundendaten einsehen. Das Unternehmen prüft Zugriffsbegrenzungen und deren Protokollierung.
Praxisbeispiel 2
Ein Anbieter wechselt seinen Unterauftragnehmer. Vertragsverfahren und Auswirkungen auf die Verarbeitung werden geprüft.
Praxisbeispiel 3
Ein Auditbericht ist mehrere Jahre alt. Es werden aktuelle Informationen zu zwischenzeitlichen Änderungen angefordert.
Praxisbeispiel 4
Ein Dienst endet. Rückgabe, Löschung und verbleibende gesetzliche Aufbewahrung werden abgestimmt und nachvollziehbar bestätigt.
Konkreter nächster Schritt
Ordnen Sie die wichtigsten Dienstleister nach Datenarten, Zugriffsmöglichkeiten und Ausfallfolgen. Beginnen Sie die Nachprüfung bei den höchsten Risiken und dokumentieren Sie auch offene Punkte.
Rechtliche Einordnung und weiterführende Informationen
Eine konkrete Entscheidung setzt die Prüfung des Sachverhalts und der einschlägigen Anforderungen voraus. Ausgangspunkt für die Einordnung ist Datenschutz-Grundverordnung; die praktische Umsetzung hängt insbesondere von Aufgaben, Risiken und Verantwortlichkeiten ab.
Vertiefung: Fachinformationen und Beratung zum Thema. Weitere Beiträge finden Sie unter Compliance News.
Für eine Prüfung Ihres konkreten Vorhabens können Sie eine Anfrage an horak Rechtsanwälte stellen. Bitte weisen Sie auf laufende Fristen hin. Eine Anfrage allein begründet noch kein Mandat.