DSGVO-Auftragsverarbeitung: 3 typische Fehler im Mittelstand

Die DSGVO ist seit acht Jahren in Kraft, und trotzdem sehen wir bei Erstberatungen im Mittelstand immer dieselben drei Bausteine fehlen: einen sauberen Auftragsverarbeitungsvertrag (AVV) für jedes Cloud-Tool, ein aktuelles Register der Sub-Auftragsverarbeiter und eine belastbare Rechtsgrundlage für Drittlandtransfers nach dem Schrems-II-Urteil und dem EU-U.S. Data Privacy Framework. Wer diese drei Punkte nicht dokumentiert hat, riskiert nicht nur Bußgelder, sondern verliert im B2B-Geschäft zunehmend auch Aufträge — Großkunden verlangen mittlerweile in der Lieferantenprüfung genau diese Nachweise.

Dieser Artikel zeigt die Fehler, die uns in Audits am häufigsten begegnen, und gibt Ihnen ein praktisches Vorgehen an die Hand, um die Lücken systematisch zu schließen.

Fehler 1: Kein AVV für alltägliche Cloud-Tools

Der Klassiker: Ein Unternehmen nutzt Google Workspace, Microsoft 365, Slack, Notion, Zoom, Miro oder ein Marketing-Tool wie HubSpot — und niemand hat den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen oder abrufbar dokumentiert. Formal reicht in vielen Fällen die Zustimmung zu den “Data Processing Terms” oder das “Data Protection Addendum” (DPA) des Anbieters, aber diese Zustimmung muss aktiv erfolgen und der Vertragstext muss archiviert sein. Ein Screenshot vom AGB-Haken zählt nicht.

Praktisch heißt das: Sie brauchen für jedes Tool, das personenbezogene Daten verarbeitet (und das ist bei einem Mail-Postfach, einem Chat oder einem CRM praktisch immer der Fall), eine PDF-Kopie oder einen dauerhaften Link auf die konkret akzeptierte AVV-Fassung mit Datum und der Person, die zugestimmt hat. Bei Microsoft finden Sie das im Admin Center unter “Verträge und Rechnungen”, bei Google unter “Konto -> Rechtliches”, bei Slack im Workspace-Owner-Bereich. Bei kleineren SaaS-Anbietern müssen Sie oft aktiv per E-Mail nach dem DPA fragen — ein Anbieter, der keinen liefert, ist im DSGVO-Kontext nicht einsetzbar.

Die zweite Falle: Schatten-IT. Wenn der Vertrieb eigenmächtig einen Cold-Mail-Dienst wie Apollo oder Lemlist nutzt, das Marketing ein Formular-Tool wie Typeform, und die Buchhaltung ein OCR-Rechnungs-Tool — dann haben Sie drei Auftragsverarbeitungen, von denen die Geschäftsführung nichts weiß. Ein regelmäßiger Abgleich von Kreditkartenabrechnung, SSO-Log und AVV-Register deckt diese Lücken zuverlässig auf.

Fehler 2: Sub-Auftragsverarbeiter nicht getrackt

Nach Art. 28 Abs. 2 DSGVO muss der Auftragsverarbeiter Sie über jede Beauftragung oder jeden Wechsel eines Sub-Auftragsverarbeiters informieren — und Sie müssen die Möglichkeit haben, zu widersprechen. In der Realität nutzen praktisch alle Cloud-Anbieter Sub-Prozessoren: Microsoft nutzt eigene Rechenzentren plus CDN-Partner, Slack läuft auf AWS, Notion auf AWS und Cloudflare, HubSpot auf AWS und Google Cloud. Wenn AWS Frankfurt für sechs Stunden ausfällt, kann es sein, dass drei Ihrer Tools gleichzeitig offline sind — ein guter Indikator, wie viele Sub-Prozessoren Sie tatsächlich haben.

Die Anbieter führen dazu öffentliche Listen. Diese müssen Sie regelmäßig prüfen und Änderungen ins eigene Register übernehmen. Ein Überblick der wichtigsten Seiten:

Anbieter	Sub-Prozessor-Liste
Microsoft 365	Microsoft Products and Services DPA, Anlage
Google Workspace	workspace.google.com/terms/subprocessors
Slack	slack.com/trust/compliance/sub-processors
Notion	notion.so/subprocessors
HubSpot	legal.hubspot.com/subprocessors
Zoom	explore.zoom.us/en/subprocessors
Atlassian	atlassian.com/legal/sub-processors

In der Praxis empfehlen wir, diese Listen einmal pro Quartal abzugleichen. Manche Anbieter bieten einen RSS- oder E-Mail-Alert an — den sollten Sie abonnieren und in eine Mailbox routen lassen, die von einer Person geöffnet wird. Wenn Sie Ihre Infrastruktur teilweise oder vollständig auf europäische Alternativen wie eine TrueNAS-basierte private Cloud oder ein selbstgehostetes Nextcloud verlagern, reduzieren Sie diese Kette erheblich — der Sub-Prozessor sind dann Sie selbst.

Fehler 3: Drittlandtransfer ohne Standardvertragsklauseln

Nach dem Schrems-II-Urteil des EuGH von 2020 ist der Transfer personenbezogener Daten in die USA nur unter zusätzlichen Garantien zulässig. Das EU-U.S. Data Privacy Framework (angemessener Beschluss der Kommission von 2023) hilft, gilt aber nur, wenn der konkrete US-Anbieter im DPF-Register eingetragen ist. Für alle übrigen Drittländer oder nicht zertifizierte US-Empfänger brauchen Sie:

• Standardvertragsklauseln (SCC) in der aktuellen Fassung von 2021 (nicht die alten von 2010),
• ein Transfer Impact Assessment (TIA), das die Risiken der Zielrechtsordnung dokumentiert und
• gegebenenfalls ergänzende technische Maßnahmen wie kundenseitige Verschlüsselung mit eigenem Schlüssel.

Ein typisches Praxis-Beispiel: Sie nutzen einen US-Analytics-Dienst, der nicht DPF-zertifiziert ist. Dann müssen die SCC im DPA verankert sein (bei den meisten Anbietern per Checkbox oder als Anlage), und Sie müssen ein einseitiges TIA erstellen, in dem Sie festhalten, welche Daten übermittelt werden, welche Kategorien betroffen sind und welche zusätzlichen Maßnahmen greifen. Für Analytics ist die Standardantwort meist IP-Anonymisierung plus Cookie-Consent — für echte Personendaten reicht das nicht.

Ein sauberer Eintrag im AVV-Register kann so aussehen:

tool: "HubSpot Marketing Hub Professional"
verantwortlicher: "Musterfirma GmbH"
verarbeiter: "HubSpot Inc., 2 Canal Park, Cambridge MA"
kategorien_daten: ["Kontaktdaten Leads", "E-Mail-Interaktionen"]
kategorien_betroffene: ["Interessenten", "Bestandskunden"]
rechtsgrundlage: "Art 6 Abs 1 lit f DSGVO"
avv_status: "DPA 2024-11 akzeptiert, PDF im Ordner /compliance/avv"
sub_prozessoren_geprueft: "2026-06-30"
drittlandtransfer: "USA"
transfermechanismus: "DPF-Zertifizierung aktiv, geprueft 2026-07-01"
tia_vorhanden: true
tia_datum: "2026-04-15"
tom_referenz: "TOM-Katalog v3.2 Abschnitt 7"
ansprechpartner_intern: "datenschutz@musterfirma.de"

Ein solches Register lässt sich mit einem einfachen Git-Repository, einem Wiki oder auch einer strukturierten Excel-Datei führen — entscheidend ist, dass es aktuell ist und im Audit auf Knopfdruck verfügbar.

Der Konsolidierungshebel: weniger Tools, weniger Prozessoren

Der wirksamste Weg, die AVV-Landschaft in den Griff zu bekommen, ist Reduktion. Jedes SaaS-Tool bedeutet einen AVV, ein DPA-Update-Zyklus, eine Sub-Prozessor-Liste, potenziell einen Drittlandtransfer und im TOM-Katalog ein weiteres Kontrollobjekt. Wir sehen bei Mandanten mit 40 Mitarbeitern regelmäßig 60 bis 90 aktive SaaS-Tools — die Hälfte davon ist meist Schatten-IT oder wird kaum genutzt.

Konsolidierungsansätze, die in der Praxis funktionieren:

• Kollaboration & Dateien auf eine Plattform: Microsoft 365 oder Google Workspace oder eine europäische Nextcloud-Instanz — nicht drei parallel.
• Chat & Meetings bündeln (Teams, Google Meet oder ein selbstgehostetes Element/Matrix statt Slack + Zoom + Discord).
• Interne Wissensbasis in EINEM Tool statt Notion + Confluence + drei SharePoint-Sites.
• Backups und interne Dateiablagen auf eigene Infrastruktur, z. B. eine TrueNAS-Appliance mit S3-kompatiblem Object-Storage und ZFS-Snapshots.
• Firewalls, VPN und Zero-Trust-Zugriff über OPNsense statt eines US-hosted-VPN-Dienstes.
• Virtualisierung und interne Anwendungen über Proxmox, damit CRM, DMS oder ERP nicht zwangsläufig als SaaS laufen müssen.

Jedes Tool weniger ist ein AVV weniger, ein TOM-Nachweis weniger und ein potenzieller Drittlandtransfer weniger.

Checkliste: In 8 Wochen zum belastbaren AVV-Register

1. Woche 1 — Inventur: Alle Tools erfassen, die personenbezogene Daten verarbeiten. Quellen: SSO-Log, Kreditkartenabrechnung, Firewall-Log, Interview mit Fachbereichen.
2. Woche 2 — AVV/DPA einholen: Für jedes Tool den aktuellen Vertragstext archivieren, mit Datum und zustimmender Person.
3. Woche 3 — Sub-Prozessoren: Listen ins Register übernehmen, Alerts einrichten.
4. Woche 4 — Drittlandtransfer prüfen: DPF-Status, SCC-Version, TIA.
5. Woche 5 — TOM abgleichen: Verschlüsselung, Zugriffskontrolle, Löschkonzept für jedes Tool.
6. Woche 6 — Konsolidierungspotenzial: Doppelnutzung identifizieren, Migrationsplan erstellen.
7. Woche 7 — Rollen und Prozesse: Wer prüft quartalsweise? Wer archiviert neue AVVs?
8. Woche 8 — Auditprobe: Kann jemand innerhalb von 30 Minuten den AVV, das TIA und die Sub-Prozessor-Liste für ein zufällig gewähltes Tool vorlegen? Wenn ja, ist das Register belastbar.

DATAZONE-Unterstützung

DATAZONE begleitet mittelständische Unternehmen im Großraum Ingolstadt/Neuburg und deutschlandweit remote bei genau diesem Weg: von der ersten Toolinventur über das AVV-Register bis zur konkreten Migration hin zu europäischer, selbstbestimmter Infrastruktur — Proxmox, TrueNAS, OPNsense, Linux-Server und geordnete Backups. Wenn Sie Ihr AVV-Register auf einen belastbaren Stand bringen oder gleich Ihre Schatten-IT konsolidieren wollen, sprechen Sie uns an. Terminanfrage über Kontakt — wir melden uns innerhalb eines Arbeitstags.