Warum ein Auftragsverarbeitungsvertrag allein nicht ausreicht

27/06/2025

Früher war ein Handschlag zwischen Geschäftspartnern genug – heute braucht es ein durchdachtes Prüfkonzept. Mit der Einführung der DSGVO ist klar geworden: Wer Dienstleister mit der Verarbeitung personenbezogener Daten beauftragt, muss diese regelmäßig überprüfen. Ein unterzeichneter AV-Vertrag ist nur der erste Schritt.

Die Artikel 28 und 32 der DSGVO verlangen eine doppelte Sicherheitsstrategie: Zunächst eine gründliche Prüfung bei der Auswahl eines Dienstleisters, die die Bewertung der technischen und organisatorischen Maßnahmen (TOMs) umfasst, und dann die kontinuierliche Überwachung. Sicherheitsniveaus ändern sich, Zertifikate laufen ab, und neue Subdienstleister kommen ins Spiel. Wer hier nicht auf dem Laufenden bleibt, riskiert mehr als nur ein mulmiges Gefühl.

Etablierte Standards wie ISO 27001 oder der kostenfrei verfügbare BSI IT-Grundschutz sind dabei sehr hilfreich. Letzterer bietet konkrete Bausteine für die Cloudnutzung, Outsourcing und Notfallmanagement – alles mit dem Fokus auf Datensicherheit und Lieferantenkontrolle. Wer diese Standards anwendet, muss das Rad nicht neu erfinden und kann Datenschutz effektiv integrieren.

Eines ist sicher: Die Zeiten des blinden Vertrauens sind vorbei. Wer heute nicht regelmäßig prüft, wird morgen die Konsequenzen tragen – im schlimmsten Fall mit Bußgeldern oder einem Imageverlust. Also: Besser proaktiv handeln, als später die Schäden zu begrenzen.

Alle Artikel anzeigen