DSGVO Vorlagen IT-Dienstleister: Auftragsverarbeitung + TOM

Hauptartikel: AVV-Vorlage Art. 28 DSGVO — der vollständige Artikel zur Auftragsverarbeitung aus Sicht des Verantwortlichen, mit allen Pflichtinhalten und Prüffragen.

Diese Seite zeigt die Gegenseite: welche Unterlagen ein IT-Dienstleister als Auftragsverarbeiter selbst bereithalten sollte. Den Gesamtüberblick über die Pflichten gibt der DSGVO-Leitfaden, weitere Fachartikel stehen im Themenbereich DSGVO.

1. Rolle: Verantwortlicher oder Auftragsverarbeiter?

Die DSGVO richtet die Pflichtenkette an zwei Rollen aus. Verantwortlicher ist, wer über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO); beim IT-Dienstleister ist das in der Regel der Kunde. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Der IT-Dienstleister verarbeitet dann Daten für den Kunden, nicht über den Kunden.

Ein reiner Software-Verkauf ohne Datenzugriff, etwa eine On-Premise-Lizenz, die der Kunde selbst betreibt, ist kein Fall der Auftragsverarbeitung. Sobald der Anbieter personenbezogene Daten in seinen Systemen speichert oder darauf zugreift, liegt eine Verarbeitung vor: Art. 4 Nr. 2 DSGVO zählt unter anderem das Speichern, Auslesen und Abfragen dazu. Die Grenze zur eigenen Verantwortlichkeit zieht Art. 28 Abs. 10 DSGVO: Bestimmt ein Auftragsverarbeiter unter Verstoß gegen die Verordnung selbst Zwecke und Mittel, gilt er für diese Verarbeitung als Verantwortlicher. Wie eine eigenständige Verantwortlichkeit bei Berufsgeheimnisträgern aussieht, zeigt der Artikel DSGVO bei Steuerberater + Anwaltskanzleien.

2. Typische IT-Dienstleister-Konstellationen

Folgende Geschäftsmodelle führen in der Praxis regelmäßig zur Auftragsverarbeitung:

• Webhosting und Server-Hosting: Der Kunde lagert Datenbanken, Web-Anwendungen oder Dateien auf der Infrastruktur des Anbieters.
• Managed Service Provider (MSP): Remote-Wartung, Patch-Management und Monitoring mit Zugriff auf Kundensysteme, oft einschließlich Personaldaten.
• Cloud-Reseller: Der Dienstleister vermarktet Cloud-Dienste eines Hyperscalers und steht zwischen Hyperscaler und Endkunde. Was der Kunde bei einer Cloud-Migration prüfen muss, zeigt die Checkliste zur Cloud-Migration.
• SaaS-Anbieter: eigene Plattform, in die der Kunde personenbezogene Daten einspeist, etwa CRM, Projektmanagement oder HR-Software. Die zehn Produktpflichten dazu stehen im Artikel DSGVO für SaaS-Anbieter.
• IT-Consulting mit Datenzugriff: Datenbank-Migration, ERP-Anpassung oder Schulungen an Live-Systemen.
• Entwicklung mit Kundendaten: Test- und Staging-Systeme, in die produktive Kundendaten geladen werden.

Beim Cloud-Reseller entsteht eine zweistufige Vertragskette: ein AVV zwischen Kunde und Reseller und ein dokumentierter Vertrag zwischen Reseller und Hyperscaler, der diesem nach Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auferlegt. Unabhängig von der Rolle nach der DSGVO können Managed-Service-, Hosting- und Cloud-Anbieter in Deutschland auch unter NIS2 fallen: Anlage 1 des BSIG führt im Sektor Digitale Infrastruktur unter anderem Anbieter von Cloud-Computing-Diensten, Anbieter von Rechenzentrumsdiensten und Managed Services Provider auf (Nr. 6.1.4, 6.1.5 und 6.1.10); die Größenschwellen regelt § 28 BSIG. Einzelheiten zeigt der Artikel NIS2 für Cloud-Provider + SaaS-Anbieter. Für dieselbe Zielgruppe behandelt der Artikel HinSchG für IT-Dienstleister + MSSP den Hinweisgeberschutz.

3. Auftragsverarbeitungsvertrag (AVV) nach Art. 28

Art. 28 Abs. 3 DSGVO legt den Mindestinhalt fest: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Darüber hinaus sieht der Vertrag „insbesondere“ die Pflichten nach lit. a bis h vor; die Liste ist also nicht abschließend. Für den Standard-AVV eines IT-Dienstleisters heißt das: Die Rechtsbausteine von der dokumentierten Weisung (lit. a) bis zu Nachweisen und Inspektionen (lit. h) sind für alle Kunden gleich, die Beschreibung der Verarbeitung gehört je Produkt in einen Anhang, etwa „Webhosting mit dedizierter VM“ mit an den Hauptvertrag gekoppelter Laufzeit. Ist der Dienstleister der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 UAbs. 2). Der Vertrag ist schriftlich abzufassen, was auch in einem elektronischen Format erfolgen kann (Art. 28 Abs. 9); eine nur mündliche Vereinbarung erfüllt diese Formvorgabe nicht. Die vollständige Pflichtinhalte-Tabelle mit Prüffragen steht im AVV-Artikel, die Kurzdefinition im Glossar unter AVV.

Ein ausformulierter AV-Vertrag nach Art. 28 DSGVO mit Klauseln zu Weisungen, Vertraulichkeit, TOM, Unterauftragsverarbeitern, Unterstützungspflichten sowie Löschung und Rückgabe liegt im DSGVO-Kit (Modul 03 · Auftragsverarbeitung).

4. Anhänge zum AVV

In der Praxis haben sich drei standardisierte Anhänge bewährt. Sie machen aus einem Rahmenvertrag einen Vertrag für das konkrete Auftragsverhältnis.

5. TOM nach Art. 32 DSGVO

Art. 32 Abs. 1 DSGVO verlangt geeignete Maßnahmen für ein dem Risiko angemessenes Schutzniveau und nennt dafür Pseudonymisierung und Verschlüsselung, die Sicherung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung (lit. a bis d). Was Auftragsverarbeiter bei den TOM zusätzlich nachweisen, vertieft der Artikel TOM nach Art. 32 DSGVO; Begriffsklärung im Glossar unter TOM.

Für die Beschreibung im Anhang 2 ist eine Gliederung in acht Kontrollbereiche in der Praxis verbreitet. Sie ist kein gesetzlicher Katalog; Maßstab bleibt Art. 32 Abs. 1 DSGVO.

Die Beschreibung sollte so konkret sein, dass ein Kunde oder eine Aufsichtsbehörde die Wirksamkeit nachvollziehen kann. Floskeln wie „Daten werden geschützt“ reichen dafür nicht. Dazu gehört auch, dass Beschäftigte mit Datenzugang nur auf Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO).

6. Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und 4)

Ein Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch (Art. 28 Abs. 2 S. 1 DSGVO). Zwei Modelle sind möglich:

• Gesonderte Genehmigung: Jeder neue Sub-Auftragsverarbeiter wird einzeln freigegeben. Bei Anbietern mit vielen Kunden ist das in der Praxis kaum handhabbar.
• Allgemeine Genehmigung: Der Kunde stimmt einer Liste zu. Der Dienstleister informiert ihn über jede beabsichtigte Hinzuziehung oder Ersetzung und gibt ihm damit die Möglichkeit zum Einspruch (Art. 28 Abs. 2 S. 2 DSGVO).

Eine Mindestfrist für diese Information nennt die DSGVO nicht. Die Einspruchsfrist ist vertraglich festzulegen; eine Frist von zum Beispiel 30 Tagen ist eine Praxisempfehlung, keine gesetzliche Vorgabe. Dem Sub-Auftragsverarbeiter sind vertraglich dieselben Datenschutzpflichten aufzuerlegen wie im eigenen AVV (Art. 28 Abs. 4 S. 1). Kommt er seinen Datenschutzpflichten nicht nach, haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters (Art. 28 Abs. 4 S. 2).

7. Drittlandtransfer (Kapitel V DSGVO)

Werden personenbezogene Daten in ein Drittland übermittelt, etwa an einen US-Hyperscaler, gilt zusätzlich Kapitel V DSGVO. Die Übermittlung braucht eine Grundlage:

• Angemessenheitsbeschluss (Art. 45 DSGVO): Für die USA gilt der Durchführungsbeschluss (EU) 2023/1795 vom 10.07.2023 zum EU-US-Datenschutzrahmen. Er erfasst nur Organisationen, die in der Data Privacy Framework List des U.S. Department of Commerce geführt werden. Die Kommission überwacht die Anwendung fortlaufend und kann den Beschluss nach Art. 45 Abs. 5 DSGVO aussetzen, ändern oder widerrufen.
• Standarddatenschutzklauseln der Kommission (Art. 46 Abs. 2 lit. c DSGVO) für Empfänger ohne Angemessenheitsbeschluss.
• Verbindliche interne Datenschutzvorschriften (Art. 46 Abs. 2 lit. b, Art. 47 DSGVO) für Übermittlungen innerhalb einer Unternehmensgruppe.

Zum DPF hat das Gericht der EU die Klage auf Nichtigerklärung am 03.09.2025 abgewiesen (T-553/23, Latombe); das Rechtsmittel C-703/25 P ist seit 31.10.2025 anhängig und war zum 17.08.2026 nicht entschieden. Wer auf den DPF setzt, prüft die Listung jedes US-Empfängers und beobachtet das Verfahren. Für Standarddatenschutzklauseln verlangt der EuGH in der Rechtssache C-311/18 (Schrems II) ein der Union der Sache nach gleichwertiges Schutzniveau, zu prüfen auch anhand der Rechtsordnung des Empfängerlands; in der Praxis wird das als Transfer Impact Assessment (TIA) dokumentiert. Als ergänzende Maßnahme nennen die Empfehlungen 01/2020 des EDSA etwa für das Hosting von Backups eine starke Verschlüsselung vor der Übermittlung mit zuverlässiger Schlüsselverwaltung. Vertiefung: Schrems II + DPF Update 2026 und, für den Ausstiegsfall, DPF-Kollaps-Plan B.

8. Datenpannenmeldung (Art. 33 + 34)

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO); eine Stundenfrist nennt die Norm nicht, eine eigene Meldepflicht gegenüber der Datenschutz-Aufsichtsbehörde hat er nach Art. 33 DSGVO nicht. Der Verantwortliche meldet unverzüglich und möglichst binnen 72 Stunden, nachdem ihm die Verletzung bekannt wurde, außer sie führt voraussichtlich nicht zu einem Risiko; eine spätere Meldung ist zu begründen (Art. 33 Abs. 1), bei hohem Risiko folgt die Benachrichtigung der Betroffenen (Art. 34). Eine vertragliche Festlegung auf 24 oder 48 Stunden mit Notfall-Adresse, Hotline und Eskalationsprotokoll ist eine Praxisempfehlung, keine gesetzliche Frist; die Unterstützungspflicht nach Art. 28 Abs. 3 lit. f DSGVO gehört in denselben Prozess. Details zum Meldeformular stehen im SaaS-Artikel, das Verfahren des Verantwortlichen unter Datenpannenmeldung 72h.

9. Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 2)

Neben dem Verzeichnis des Verantwortlichen nach Art. 30 Abs. 1 führt jeder Auftragsverarbeiter ein eigenes Verzeichnis zu allen Kategorien von Tätigkeiten, die er im Auftrag durchführt (Art. 30 Abs. 2 DSGVO), mit den Angaben nach lit. a bis d; die Beschreibung der TOM nach lit. d ist „wenn möglich“ aufzunehmen. Die Ausnahme des Art. 30 Abs. 5 für Unternehmen mit weniger als 250 Mitarbeitern greift bei IT-Dienstleistern in aller Regel nicht, weil ihre Verarbeitungen im Auftrag nicht nur gelegentlich erfolgen. Wie ein Verzeichnis aufgebaut wird, zeigt der Artikel Verarbeitungsverzeichnis erstellen.

10. Deutschland und Österreich

Art. 28 DSGVO gilt in beiden Ländern unmittelbar. Die nationalen Ergänzungen unterscheiden sich:

• Deutschland: Die Aufsicht über nichtöffentliche Stellen führen die nach Landesrecht zuständigen Behörden (§ 40 Abs. 1 BDSG). Einen Datenschutzbeauftragten benennt auch der Auftragsverarbeiter, wenn er in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG).
• Österreich: Aufsichtsbehörde ist die Datenschutzbehörde (§ 18 Abs. 1 DSG). Nach § 6 DSG gilt das Datengeheimnis auch für den Auftragsverarbeiter und seine Mitarbeiter; er hat sie, soweit keine gesetzliche Verpflichtung besteht, vertraglich zu verpflichten und über die Übermittlungsanordnungen zu belehren.

Weitere Unterschiede für den Vertrag selbst stehen im AVV-Artikel, Abschnitt Deutschland und Österreich.

11. Vorlagen-Übersicht für IT-Dienstleister

Ein praxistaugliches Vorlagen-Set eines Auftragsverarbeiters umfasst regelmäßig die folgenden Dokumente. Die Liste ist eine allgemeine Praxisliste; die letzte Spalte zeigt, was davon im DSGVO-Kit enthalten ist.

Das DSGVO-Kit enthält 69 bearbeitbare Vorlagen (50 Word, 18 Excel, 1 PowerPoint) in 16 Ordnern, darunter die Module Auftragsverarbeitung, TOM, Löschkonzept, Data Breach und Drittlandtransfer. Es gibt drei Pakete: Basis 990 € mit 65 Dokumenten, Plus 1.390 € mit Schulungs-Pack und Komplett 1.690 € mit E-Learning als HTML und SCORM 1.2/2004. Alle Preise sind netto und einmalig, mit 12 Monaten Rechtsstand-Updates, in der Fassung für Deutschland oder Österreich, nur für Unternehmen. Die Vorlagen sind standardisierte Dokumentation, keine Rechtsberatung im Einzelfall.