DSGVO-Auftragsverarbeitung: 3 typische Fehler im Mittelstand

Die DSGVO ist seit acht Jahren in Kraft, und trotzdem sehen wir bei Erstberatungen im Mittelstand immer dieselben drei Bausteine fehlen: einen sauberen Auftragsverarbeitungsvertrag (AVV) fuer jedes Cloud-Tool, ein aktuelles Register der Sub-Auftragsverarbeiter und eine belastbare Rechtsgrundlage fuer Drittlandtransfers nach dem Schrems-II-Urteil und dem EU-U.S. Data Privacy Framework. Wer diese drei Punkte nicht dokumentiert hat, riskiert nicht nur Bussgelder, sondern verliert im B2B-Geschaeft zunehmend auch Auftraege — Grosskunden verlangen mittlerweile in der Lieferantenpruefung genau diese Nachweise.

Dieser Artikel zeigt die Fehler, die uns in Audits am haeufigsten begegnen, und gibt Ihnen ein praktisches Vorgehen an die Hand, um die Luecken systematisch zu schliessen.

Fehler 1: Kein AVV fuer alltaegliche Cloud-Tools

Der Klassiker: Ein Unternehmen nutzt Google Workspace, Microsoft 365, Slack, Notion, Zoom, Miro oder ein Marketing-Tool wie HubSpot — und niemand hat den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen oder abrufbar dokumentiert. Formal reicht in vielen Faellen die Zustimmung zu den “Data Processing Terms” oder das “Data Protection Addendum” (DPA) des Anbieters, aber diese Zustimmung muss aktiv erfolgen und der Vertragstext muss archiviert sein. Ein Screenshot vom AGB-Haken zaehlt nicht.

Praktisch heisst das: Sie brauchen fuer jedes Tool, das personenbezogene Daten verarbeitet (und das ist bei einem Mail-Postfach, einem Chat oder einem CRM praktisch immer der Fall), eine PDF-Kopie oder einen dauerhaften Link auf die konkret akzeptierte AVV-Fassung mit Datum und der Person, die zugestimmt hat. Bei Microsoft finden Sie das im Admin Center unter “Vertraege und Rechnungen”, bei Google unter “Konto -> Rechtliches”, bei Slack im Workspace-Owner-Bereich. Bei kleineren SaaS-Anbietern muessen Sie oft aktiv per E-Mail nach dem DPA fragen — ein Anbieter, der keinen liefert, ist im DSGVO-Kontext nicht einsetzbar.

Die zweite Falle: Schatten-IT. Wenn der Vertrieb eigenmaechtig einen Cold-Mail-Dienst wie Apollo oder Lemlist nutzt, das Marketing ein Formular-Tool wie Typeform, und die Buchhaltung ein OCR-Rechnungs-Tool — dann haben Sie drei Auftragsverarbeitungen, von denen die Geschaeftsfuehrung nichts weiss. Ein regelmaessiger Abgleich von Kreditkartenabrechnung, SSO-Log und AVV-Register deckt diese Luecken zuverlaessig auf.

Fehler 2: Sub-Auftragsverarbeiter nicht getrackt

Nach Art. 28 Abs. 2 DSGVO muss der Auftragsverarbeiter Sie ueber jede Beauftragung oder jeden Wechsel eines Sub-Auftragsverarbeiters informieren — und Sie muessen die Moeglichkeit haben, zu widersprechen. In der Realitaet nutzen praktisch alle Cloud-Anbieter Sub-Prozessoren: Microsoft nutzt eigene Rechenzentren plus CDN-Partner, Slack laeuft auf AWS, Notion auf AWS und Cloudflare, HubSpot auf AWS und Google Cloud. Wenn AWS Frankfurt fuer sechs Stunden ausfaellt, kann es sein, dass drei Ihrer Tools gleichzeitig offline sind — ein guter Indikator, wie viele Sub-Prozessoren Sie tatsaechlich haben.

Die Anbieter fuehren dazu oeffentliche Listen. Diese muessen Sie regelmaessig pruefen und Aenderungen ins eigene Register uebernehmen. Ein Ueberblick der wichtigsten Seiten:

Anbieter	Sub-Prozessor-Liste
Microsoft 365	Microsoft Products and Services DPA, Anlage
Google Workspace	workspace.google.com/terms/subprocessors
Slack	slack.com/trust/compliance/sub-processors
Notion	notion.so/subprocessors
HubSpot	legal.hubspot.com/subprocessors
Zoom	explore.zoom.us/en/subprocessors
Atlassian	atlassian.com/legal/sub-processors

In der Praxis empfehlen wir, diese Listen einmal pro Quartal abzugleichen. Manche Anbieter bieten einen RSS- oder E-Mail-Alert an — den sollten Sie abonnieren und in eine Mailbox routen lassen, die von einer Person geoeffnet wird. Wenn Sie Ihre Infrastruktur teilweise oder vollstaendig auf europaeische Alternativen wie eine TrueNAS-basierte private Cloud oder ein selbstgehostetes Nextcloud verlagern, reduzieren Sie diese Kette erheblich — der Sub-Prozessor sind dann Sie selbst.

Fehler 3: Drittlandtransfer ohne Standardvertragsklauseln

Nach dem Schrems-II-Urteil des EuGH von 2020 ist der Transfer personenbezogener Daten in die USA nur unter zusaetzlichen Garantien zulaessig. Das EU-U.S. Data Privacy Framework (angemessener Beschluss der Kommission von 2023) hilft, gilt aber nur, wenn der konkrete US-Anbieter im DPF-Register eingetragen ist. Fuer alle uebrigen Drittlaender oder nicht zertifizierte US-Empfaenger brauchen Sie:

• Standardvertragsklauseln (SCC) in der aktuellen Fassung von 2021 (nicht die alten von 2010),
• ein Transfer Impact Assessment (TIA), das die Risiken der Zielrechtsordnung dokumentiert und
• gegebenenfalls ergaenzende technische Massnahmen wie kundenseitige Verschluesselung mit eigenem Schluessel.

Ein typisches Praxis-Beispiel: Sie nutzen einen US-Analytics-Dienst, der nicht DPF-zertifiziert ist. Dann muessen die SCC im DPA verankert sein (bei den meisten Anbietern per Checkbox oder als Anlage), und Sie muessen ein einseitiges TIA erstellen, in dem Sie festhalten, welche Daten uebermittelt werden, welche Kategorien betroffen sind und welche zusaetzlichen Massnahmen greifen. Fuer Analytics ist die Standardantwort meist IP-Anonymisierung plus Cookie-Consent — fuer echte Personendaten reicht das nicht.

Ein sauberer Eintrag im AVV-Register kann so aussehen:

tool: "HubSpot Marketing Hub Professional"
verantwortlicher: "Musterfirma GmbH"
verarbeiter: "HubSpot Inc., 2 Canal Park, Cambridge MA"
kategorien_daten: ["Kontaktdaten Leads", "E-Mail-Interaktionen"]
kategorien_betroffene: ["Interessenten", "Bestandskunden"]
rechtsgrundlage: "Art 6 Abs 1 lit f DSGVO"
avv_status: "DPA 2024-11 akzeptiert, PDF im Ordner /compliance/avv"
sub_prozessoren_geprueft: "2026-06-30"
drittlandtransfer: "USA"
transfermechanismus: "DPF-Zertifizierung aktiv, geprueft 2026-07-01"
tia_vorhanden: true
tia_datum: "2026-04-15"
tom_referenz: "TOM-Katalog v3.2 Abschnitt 7"
ansprechpartner_intern: "datenschutz@musterfirma.de"

Ein solches Register laesst sich mit einem einfachen Git-Repository, einem Wiki oder auch einer strukturierten Excel-Datei fuehren — entscheidend ist, dass es aktuell ist und im Audit auf Knopfdruck verfuegbar.

Der Konsolidierungshebel: weniger Tools, weniger Prozessoren

Der wirksamste Weg, die AVV-Landschaft in den Griff zu bekommen, ist Reduktion. Jedes SaaS-Tool bedeutet einen AVV, ein DPA-Update-Zyklus, eine Sub-Prozessor-Liste, potenziell einen Drittlandtransfer und im TOM-Katalog ein weiteres Kontrollobjekt. Wir sehen bei Mandanten mit 40 Mitarbeitern regelmaessig 60 bis 90 aktive SaaS-Tools — die Haelfte davon ist meist Schatten-IT oder wird kaum genutzt.

Konsolidierungsansaetze, die in der Praxis funktionieren:

• Kollaboration & Dateien auf eine Plattform: Microsoft 365 oder Google Workspace oder eine europaeische Nextcloud-Instanz — nicht drei parallel.
• Chat & Meetings buendeln (Teams, Google Meet oder ein selbstgehostetes Element/Matrix statt Slack + Zoom + Discord).
• Interne Wissensbasis in EINEM Tool statt Notion + Confluence + drei SharePoint-Sites.
• Backups und interne Dateiablagen auf eigene Infrastruktur, z. B. eine TrueNAS-Appliance mit S3-kompatiblem Object-Storage und ZFS-Snapshots.
• Firewalls, VPN und Zero-Trust-Zugriff ueber OPNsense statt eines US-hosted-VPN-Dienstes.
• Virtualisierung und interne Anwendungen ueber Proxmox, damit CRM, DMS oder ERP nicht zwangslaeufig als SaaS laufen muessen.

Jedes Tool weniger ist ein AVV weniger, ein TOM-Nachweis weniger und ein potenzieller Drittlandtransfer weniger.

Checkliste: In 8 Wochen zum belastbaren AVV-Register

1. Woche 1 — Inventur: Alle Tools erfassen, die personenbezogene Daten verarbeiten. Quellen: SSO-Log, Kreditkartenabrechnung, Firewall-Log, Interview mit Fachbereichen.
2. Woche 2 — AVV/DPA einholen: Fuer jedes Tool den aktuellen Vertragstext archivieren, mit Datum und zustimmender Person.
3. Woche 3 — Sub-Prozessoren: Listen ins Register uebernehmen, Alerts einrichten.
4. Woche 4 — Drittlandtransfer pruefen: DPF-Status, SCC-Version, TIA.
5. Woche 5 — TOM abgleichen: Verschluesselung, Zugriffskontrolle, Loeschkonzept fuer jedes Tool.
6. Woche 6 — Konsolidierungspotenzial: Doppelnutzung identifizieren, Migrationsplan erstellen.
7. Woche 7 — Rollen und Prozesse: Wer prueft quartalsweise? Wer archiviert neue AVVs?
8. Woche 8 — Auditprobe: Kann jemand innerhalb von 30 Minuten den AVV, das TIA und die Sub-Prozessor-Liste fuer ein zufaellig gewaehltes Tool vorlegen? Wenn ja, ist das Register belastbar.

DATAZONE-Unterstuetzung

DATAZONE begleitet mittelstaendische Unternehmen im Grossraum Ingolstadt/Neuburg und deutschlandweit remote bei genau diesem Weg: von der ersten Toolinventur ueber das AVV-Register bis zur konkreten Migration hin zu europaeischer, selbstbestimmter Infrastruktur — Proxmox, TrueNAS, OPNsense, Linux-Server und geordnete Backups. Wenn Sie Ihr AVV-Register auf einen belastbaren Stand bringen oder gleich Ihre Schatten-IT konsolidieren wollen, sprechen Sie uns an. Terminanfrage ueber Kontakt — wir melden uns innerhalb eines Arbeitstags.