Dieser Beitrag ist ein Beispielbeitrag, der das Format für regulatorische Kurzbriefings zeigt — er fasst ein allgemeines Compliance-Thema zusammen, nicht ein konkretes Regelungs-Update.

Warum Auftragsverarbeitungsverträge regelmäßig zu prüfen sind

Ein Auftragsverarbeitungsvertrag (AVV) nach der DSGVO legt fest, wie ein Auftragsverarbeiter personenbezogene Daten im Auftrag eines Verantwortlichen verarbeiten darf — Umfang, Dauer, Unterauftragsverarbeitung, Sicherheitsmaßnahmen und das Vorgehen nach Beendigung der Zusammenarbeit. Die Leitlinien europäischer Datenschutzbehörden dazu, was als angemessener AVV gilt, haben sich seit Inkrafttreten der Verordnung stetig weiterentwickelt — insbesondere bei der Transparenz gegenüber Unterauftragsverarbeitern und der geforderten Konkretheit der Sicherheitsmaßnahmenklauseln.

Für Organisationen mit Tätigkeit zwischen Deutschland und der Türkei liegt die praktische Schwierigkeit in der Überlagerung: Das türkische Datenschutzrecht (KVKK) sieht eigene Übermittlungs- und Auftragsverarbeiter-Pflichten vor, die sich trotz ähnlicher Grundprinzipien nicht automatisch mit den DSGVO-Anforderungen decken.

Die wichtigsten Punkte

  • Ein AVV, der lediglich die Überschriften von Art. 28 DSGVO wiederholt, ohne operative Details zu regeln, wird von Aufsichtsbehörden zunehmend als unzureichend angesehen.
  • Ketten von Unterauftragsverarbeitern benötigen ausdrückliche Genehmigungsmechanismen — allgemeine Zustimmungsklauseln sind eine häufige Schwachstelle.
  • Grenzüberschreitende Übermittlungen zwischen der EU und der Türkei benötigen eine eigene Rechtsgrundlage, unabhängig vom AVV selbst.
  • Ein externer Datenschutzbeauftragter kann die Compliance-Dokumentation pflegen, die zwischen internen Prüfungen häufig veraltet.
„Der AVV ist kein Papier zum Abheften — er ist das Dokument, das eine Aufsichtsbehörde nach einem Vorfall als Erstes liest."

Was das in der Praxis bedeutet

Verantwortliche und Auftragsverarbeiter mit grenzüberschreitender Tätigkeit sollten eine AVV-Aktualisierung als Routine behandeln, nicht als Ausnahme — idealerweise immer dann, wenn sich ein Unterauftragsverarbeiter ändert, eine neue Datenkategorie hinzukommt oder sich Übermittlungsmechanismen auf EU- oder türkischer Ebene ändern. Eine kurze Prüfung anhand aktueller Anforderungen reicht meist aus, um die dringendsten Lücken zu erkennen.

Sprechen Sie uns an, wenn ein AVV überprüft oder eine externe DSB-Lösung eingerichtet werden soll.