Auftragsverarbeitung & Drittlandtransfers

Auftragsverarbeitung & Drittlandtransfers rechtssicher gestalten

Juni 17, 2025

Der Datenschutz zählt zu den wichtigsten Themen im digitalen Zeitalter. Unternehmen müssen nicht nur eigene Daten schützen, sondern auch die Daten ihrer Kunden und Partner. Besonders herausfordernd wird es, wenn sie Dienstleistungen externer Dienstleister nutzen. Im Fokus stehen dabei die Auftragsverarbeitung und der sogenannte Drittlandtransfer. Dieser Beitrag erklärt, was Sie bei der Auswahl und Zusammenarbeit mit Dienstleistern beachten müssen, um IT-Compliance und Datenschutz sicherzustellen. Anhand aktueller Entwicklungen und praktischer Tipps zeigen wir, wie Sie Ihr Unternehmen rechtssicher aufstellen.

Was ist Auftragsverarbeitung?

Auftragsverarbeitung liegt vor, wenn ein Unternehmen personenbezogene Daten durch einen externen Dienstleister verarbeiten lässt. Typische Beispiele sind Cloud-Dienstleistungen, Buchhaltungssoftware oder IT-Support. Die Verantwortung für den Datenschutz bleibt grundsätzlich beim Auftraggeber. Der Dienstleister verarbeitet die Daten im Auftrag und nach Weisung des Unternehmens.

Um rechtssicher zu agieren, müssen Unternehmen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Dieser Vertrag muss klar regeln, welche Daten verarbeitet werden, zu welchem Zweck und wie sie geschützt werden. Wichtig ist, dass der Auftragsverarbeiter ebenfalls alle Vorgaben der Datenschutz-Grundverordnung (DSGVO) einhält.

Wichtige Inhalte eines AV-Vertrags

▪️Genaue Beschreibung der verarbeiteten Datenkategorien

▪️Klare Festlegung von Zweck und Umfang der Verarbeitung

▪️Pflichten des Dienstleisters bei Datenschutz und Datensicherheit

▪️Regelungen zu Löschung und Rückgabe der Daten nach Vertragsende

▪️Rechte des Unternehmens zur Kontrolle und Auditierung

Ohne gültigen AV-Vertrag drohen empfindliche Bußgelder. Prüfen Sie daher sorgfältig die Vertragsunterlagen aller Dienstleister.

Was sind Drittlandtransfers?

Ein Drittlandtransfer liegt vor, wenn personenbezogene Daten in Länder außerhalb der EU oder des Europäischen Wirtschaftsraums (EWR) übermittelt werden. Viele IT-Dienstleister haben Standorte in den USA, Indien oder anderen Ländern. Das birgt zusätzliche Risiken, weil nicht überall der gleiche Datenschutzstandard herrscht wie innerhalb der EU.

Rechtliche Grundlage für Drittlandtransfers bietet die DSGVO. Sie erlaubt Transfers nur, wenn angemessene Datenschutzstandards gewährleistet sind. Das war lange durch das Privacy Shield zwischen der EU und den USA geregelt. Doch im Juli 2020 kippte der Europäische Gerichtshof (EuGH) dieses Abkommen mit seinem Schrems-II-Urteil.

Folgen des Schrems II-Urteils

Seit Schrems II müssen Unternehmen bei Transfers in die USA oder andere Drittländer besonders sorgfältig prüfen. Ohne Privacy Shield greifen andere Mechanismen wie die EU-Standardvertragsklauseln (SCC). Doch auch hier reicht ein Vertrag allein oft nicht aus. Firmen müssen das Datenschutzniveau im Drittland zusätzlich überprüfen. Wenn dort Behörden leichter auf Daten zugreifen können, zum Beispiel aus Geheimdienstinteresse, reichen Standardvertragsklauseln nicht aus.

Aktuelle Entwicklungen zum Datenschutz bei Drittlandtransfers

Der Datenschutz bleibt in Bewegung. Im Juli 2023 trat der neue „EU-US Data Privacy Framework“ offiziell in Kraft. Diese Vereinbarung soll den transatlantischen Austausch persönlicher Daten wieder erleichtern. Viele Unternehmen hoffen dadurch auf mehr Rechtssicherheit. Allerdings gibt es bereits Kritik, dass der Datenschutz in den USA weiterhin nicht das EU-Niveau erreicht. Die Entwicklung bleibt spannend und relevant Datenschutz – Europa will mit USA neues Datenschutzabkommen beschließen.

Unternehmen sollten aktuelle Entscheidungen und Vorschriften regelmäßig prüfen und anpassen. Compliance bedeutet hier auch, immer auf dem neuesten Stand zu bleiben.

Wie gestaltet man Auftragsverarbeitung & Drittlandtransfer rechtssicher?

Jedes Unternehmen, das einen Dienstleister einsetzt, sollte strukturiert vorgehen. Diese Schritte helfen, Risiken zu minimieren:

1. Dienstleister sorgfältig auswählen

Prüfen Sie, wo Ihr Dienstleister seinen Sitz hat. Erkundigen Sie sich, ob Daten vielleicht außerhalb der EU gespeichert oder verarbeitet werden. Wählen Sie möglichst Anbieter mit Serverstandorten in der EU. Prüfen Sie auch die bisherigen Erfahrungen des Dienstleisters im Datenschutz.

2. AV-Vertrag abschließen und prüfen

Nutzen Sie nur Dienstleister, die bereit sind, einen AV-Vertrag nach den Vorgaben der DSGVO abzuschließen. Kontrollieren Sie die Vertragspunkte genau. Bestehen Sie auf regelmäßigen Audits und Kontrollrechten. Achten Sie auf Löschfristen und klare Regelungen bei Vertragsende.

3. Drittlandtransfers dokumentieren und absichern

Wenn ein Drittlandtransfer erforderlich ist, müssen Sie das besonders dokumentieren. Nutzen Sie aktuelle EU-Standardvertragsklauseln. Prüfen Sie, wie sicher das Empfängerland ist. Holen Sie möglichst zusätzliche Garantien, zum Beispiel durch Verschlüsselung der Daten.

Manche Cloud-Anbieter bieten mittlerweile sogar an, den Datentransfer auf Europa zu beschränken. Nutzen Sie diese Optionen, wenn möglich.

4. IT-Compliance regelmäßig überprüfen

IT-Compliance bedeutet, dass alle IT-Prozesse gesetzlichen und betrieblichen Vorgaben entsprechen. Alle Verträge, technische Maßnahmen und organisatorische Abläufe sollten regelmäßig geprüft werden. Schulen Sie Ihre Mitarbeitenden und sensibilisieren Sie sie für die Risiken beim Datenschutz.

5. Beispiele aus der Praxis

Ein deutsches Unternehmen nutzt für die Lohnabrechnung einen Cloud-Dienst aus den USA. Nach Schrems II muss es die neuen Standardvertragsklauseln nutzen. Zusätzlich verschlüsselt das Unternehmen alle personenbezogenen Daten, bevor sie in der Cloud verarbeitet werden. Bei einem Audit legt der Dienstleister ausführlich dar, wie er die Daten schützt. So bleibt die Rechtskonformität gewahrt und die Daten sind sicherer.

Ein mittelständisches Unternehmen lässt Kundendaten durch einen IT-Dienstleister in Deutschland warten. Weil alle Server in Deutschland stehen, ist kein Drittlandtransfer nötig. Trotzdem schließen beide einen AV-Vertrag, der alle Datenschutzmaßnahmen klar festschreibt.

Fazit: Datenschutz, Auftragsverarbeitung & Drittlandtransfers sicher umsetzen

Datenschutz bleibt ein komplexes Thema. Besonders die Zusammenarbeit mit Dienstleistern erfordert Aufmerksamkeit. Achten Sie auf sorgfältige Verträge, den richtigen Umgang mit Drittlandtransfers und eine regelmäßige Überprüfung Ihrer IT-Compliance. So schützen Sie nicht nur sich selbst, sondern schaffen auch Vertrauen bei Ihren Kunden und Geschäftspartnern.

Bleiben Sie informiert und passen Sie Prozesse und Verträge regelmäßig an neue Vorschriften an. Nur so bleiben Sie rechtssicher und handlungsfähig.

Sie möchten Ihr Unternehmen beim Thema Datenschutz und IT-Compliance auf den neuesten Stand bringen? Kontaktieren Sie uns für eine individuelle Beratung und erfahren Sie, wie Sie Auftragsverarbeitung und Drittlandtransfer professionell meistern können!