AVV-/DPA-Check
Brauchen Sie einen AVV – und ist die DPA-Struktur belastbar?
Dieser interaktive Check hilft Unternehmen, SaaS-Anbietern, Agenturen, Plattformbetreibern und digitalen Geschäftsmodellen bei der ersten Einordnung, ob eine Auftragsverarbeitung nach Art. 28 DSGVO, eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO oder eher getrennte Verantwortlichkeit vorliegt.
Worum es in der Praxis geht
Ein AVV ist kein reines Formular. Entscheidend ist, wer über Zwecke und wesentliche Mittel entscheidet, ob personenbezogene Daten verarbeitet werden, ob eigene Zwecke des Dienstleisters vorliegen und ob Subprozessoren, internationale Zugriffe, TOMs, Löschung, Audit-Rechte und Unterstützungspflichten sauber geregelt sind.
- Vor Vertragsschluss, Go-live, Toolwechsel oder Vendor-Freigabe Rollenmodell klären.
- AVV-Bausteine, TOMs, Subprozessoren und Transfermechanik gegen die tatsächliche Verarbeitung prüfen.
- Bei Datenpannen, Betroffenenanfragen oder Audits Nachweise und Verantwortlichkeiten schnell verfügbar halten.
Rollenlogik
Vom Datenzugriff zur passenden Vertragsstruktur
Prüfpfad
Sechs Schritte zur ersten Einordnung
Welche Daten, Betroffenen und Systeme sind betroffen?
Wer bestimmt Zweck, Mittel, Speicherdauer und Empfänger?
Art, Zweck, Datenarten, TOMs, Weisungen, Löschung und Audits prüfen.
Genehmigung, Transparenz, Informationsfristen und Weitergabe gleicher Pflichten.
Drittlandtransfer, DSFA, TDDDG, KI, Cloud, NIS2/CRA und Incident-Prozesse mitdenken.
Vertragsschluss, Kunde, DSB, Audit, Behörde oder Datenpanne bestimmen den Handlungsdruck.
Einordnung
Was dieser Check leistet
Der Check ersetzt keine Einzelfallprüfung, strukturiert aber typische Entscheidungspunkte für AVV/DPA-Konstellationen. Er verbindet die datenschutzrechtliche Rollenabgrenzung mit praxisrelevanten Nachweisen, Vertragsbausteinen und Schnittstellen zu digitaler Regulierung.
Wann liegt Auftragsverarbeitung nahe?
Auftragsverarbeitung liegt regelmäßig nahe, wenn ein Dienstleister personenbezogene Daten ausschließlich für den dokumentierten Zweck des Auftraggebers verarbeitet, keine eigenen Zwecke verfolgt und nur technische oder organisatorische Detailmittel bestimmt.
Wann reicht ein AVV wahrscheinlich nicht aus?
Ein reiner AVV kann unpassend sein, wenn der Dienstleister Daten für eigene Zwecke wie Produktverbesserung, Benchmarking, KI-Training, eigene Werbung oder eigenständige Sicherheitsanalysen nutzt. Dann ist die Verarbeitung aufzuteilen oder anders zu regeln.
Welche Schnittstellen sind besonders wichtig?
Besonders relevant sind Drittlandtransfers, Subprozessoren, TOMs, Datenpannenprozesse, Betroffenenrechte, DSFA-Pflichten, TDDDG-Tracking, KI-Tools, Cloud-Switching, Data-Act-Bezüge und Security-Nachweise.
Welche Grenzen hat der Check?
Die Einordnung hängt vom konkreten Verarbeitungsvorgang, den Verträgen, der tatsächlichen Nutzung, dem technischen Setup und der Rollenpraxis ab. Das Ergebnis ist daher eine erste Orientierung und keine abschließende Rechtsberatung.
Interaktiver Check
AVV-/DPA-Konstellation prüfen
Beantworten Sie die folgenden Fragen. Am Ende erhalten Sie eine vorläufige Einordnung mit Risikostufe, Priorität, Prüfpunkten, Unterlagenliste und kopierbarem Kurzüberblick für die Anfrage.
Vorläufiges Ergebnis
Warum dieses Ergebnis?
Empfohlene nächste Prüfpunkte
Sinnvoll vorzubereitende Unterlagen
Risiken & Fristen
Typische AVV-/DPA-Risiken und Maßnahmen
| Signal | Warum relevant? | Typische Maßnahme | Priorität |
|---|---|---|---|
| Kein AVV trotz weisungsgebundener Verarbeitung | Art. 28 DSGVO verlangt einen Vertrag mit konkreten Mindestinhalten. | AVV aufsetzen, Hauptvertrag synchronisieren, Verarbeitung und TOMs dokumentieren. | hoch |
| Eigene Zwecke des Dienstleisters | Ein reiner AVV bildet eigene Verarbeitungsteile regelmäßig nicht sauber ab. | Rollen trennen, Rechtsgrundlagen prüfen, Datenschutzhinweise und Verträge anpassen. | kritisch |
| Drittlandtransfer oder internationale Zugriffe | Transfermechanik, SCC, TIA, Subprozessoren und zusätzliche Maßnahmen können erforderlich sein. | Transfer-Register, SCC/TIA, Supportstandorte und Schutzmaßnahmen prüfen. | hoch |
| Datenpanne beim Dienstleister | Verantwortliche müssen DSGVO-Meldepflichten regelmäßig binnen 72 Stunden prüfen können. | Breach-Runbook, Eskalationskette, Logs, AVV-Unterstützung und Kommunikation sichern. | kritisch |
| Betroffenenrechte betroffen | Auskunft, Löschung und andere Rechte müssen regelmäßig innerhalb eines Monats bearbeitet werden. | Prozess, Zuständigkeiten, Identitätsprüfung, Datenexport und Löschlogik festlegen. | hoch |
| Subprozessoren oder Toolwechsel | Informationspflicht, Genehmigung, Widerspruch, TOMs und Transferlage können sich ändern. | Subprozessorliste, Änderungsprozess, Kundennachweise und Vertragskette aktualisieren. | mittel bis hoch |
Nächste sinnvolle Schritte
Verwandte ITMR-Checker und Anschlussprüfungen
AVV-/DPA-Struktur konkret prüfen lassen
Wenn ein Vertragsschluss, ein Kundenaudit, ein Toolwechsel, ein Drittlandtransfer, ein Subprozessorwechsel oder ein Vorfall ansteht, sollte die Rollen- und AVV-Struktur anhand der konkreten Unterlagen geprüft werden.
Anfrage zum AVV-/DPA-Check sendenRechtlicher Orientierungshinweis
Dieser Checker bietet eine strukturierte Erstorientierung. Er ersetzt keine rechtliche Prüfung des konkreten Verarbeitungsvorgangs, der Vertragsunterlagen, der technischen Umsetzung, der Subprozessorenkette, der tatsächlichen Weisungslage und der internationalen Datenflüsse.