DSGVO-konforme Datenverarbeitung: Dienstleister prüfen

Die meisten Unternehmen wählen ihren Dienstleister für die Adressbereinigung in dieser Reihenfolge: Anbieter vergleichen, Preis prüfen, Testlauf machen, Vertrag unterschreiben. Der Auftragsverarbeitungsvertrag kommt als PDF vom Anbieter mit, wird abgeheftet, und damit gilt die Sache als erledigt.

Genau hier liegt das Missverständnis. Der AVV nach Art. 28 Abs. 3 DSGVO regelt, wie der Dienstleister arbeiten soll. Er sagt nichts darüber aus, ob er es auch kann. Diese Pflicht steht einen Absatz vorher: Nach Art. 28 Abs. 1 DSGVO dürfen Sie ausschließlich mit Auftragsverarbeitern arbeiten, die "hinreichende Garantien" für DSGVO-konforme Verarbeitung bieten. Die Auswahl selbst ist damit eine eigenständige Rechtspflicht, und wegen der Rechenschaftspflicht aus Art. 5 Abs. 2 müssen Sie belegen können, dass Sie sie erfüllt haben.

In der Praxis fragt eine Aufsichtsbehörde bei einer Prüfung selten nach dem Vertrag allein. Sie fragt: Auf welcher Grundlage haben Sie diesen Anbieter ausgewählt? Wer keine Antwort hat, hat auch mit unterschriebenem AVV ein Problem. Dieser Beitrag zeigt, wie die Prüfung konkret abläuft, was sie an Arbeitszeit kostet und an welchen zwei Punkten sie in fast jedem Unternehmen übersprungen wird.

Die Auswahl ist eine eigene Pflicht, nicht nur der Vertrag

Art. 28 Abs. 1 DSGVO nennt keine Kriterien, was "hinreichende Garantien" bedeutet. Der Europäische Datenschutzausschuss hat das in seinen Leitlinien zu Verantwortlichem und Auftragsverarbeiter konkretisiert: Es geht um Fachwissen, Zuverlässigkeit und Ressourcen des Dienstleisters, und die Prüfung muss vor Vertragsschluss stattfinden und dokumentiert werden.

Daraus folgt eine unbequeme Konsequenz. Sie können die Verantwortung nicht an den Anbieter durchreichen. Wenn Ihr Dienstleister eine Datenpanne verursacht, bleiben Sie als Verantwortlicher Adressat der Meldepflicht nach Art. 33 und der Ansprüche betroffener Personen nach Art. 82. Der AVV verschafft Ihnen Regressansprüche, aber er nimmt Ihnen die Erstverantwortung nicht ab.

Der Bußgeldrahmen für Verstöße gegen Art. 28 liegt nach Art. 83 Abs. 4 bei bis zu 10 Millionen EUR oder 2 % des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen bewegen sich verhängte Bußgelder in Deutschland realistisch im vier- bis niedrigen fünfstelligen Bereich. Der eigentliche Schaden entsteht meist woanders: in der Meldung nach Art. 33 binnen 72 Stunden, in der Information der Betroffenen nach Art. 34 und in der Zeit, die beides bindet.

Welche Daten überhaupt Ihr Haus verlassen

Bevor Sie einen Anbieter prüfen, prüfen Sie die Datei. Der wirksamste Datenschutz bei einer Adressbereinigung besteht darin, Felder gar nicht erst zu exportieren. Art. 5 Abs. 1 lit. c DSGVO verlangt Datenminimierung, und bei Adressdaten lässt sich diese Pflicht mit zehn Minuten Vorarbeit erfüllen.

Ein typischer CRM-Export sieht so aus:

Auszug aus der Datei, die an den Dienstleister gehen soll:

ID | Anrede | Vorname | Nachname | Straße         | PLZ   | Ort       | Geburtsdatum | Umsatz_2025 | Notiz
17 | Frau   | Sabine  | Mayer    | Bergstraße 7   | 88131 | Lindau    | 12.03.1971   | 4.820,00    | zahlt spät
18 | Herr   | Thomas  | Müller   | Hauptstraße 12 | 70173 | Stuttgart | 08.11.1965   | 12.400,00   | Reklamation offen
19 | Herr   | Yilmaz  | Öztürk   | Lindenallee 9  | 80331 | München   | 24.07.1988   |    990,00   |
20 | Herr   | Thomas  | Mueller  | Hauptstr. 12   | 70173 | Stuttgart | 08.11.1965   | 12.400,00   | Dublette?

Für Dublettenprüfung und Haushaltsbildung wird gebraucht:
  ID, Anrede, Vorname, Nachname, Straße, PLZ, Ort

Vor dem Export entfernen:
  Geburtsdatum  -> für den Adressabgleich ohne jede Funktion
  Umsatz_2025   -> Geschäftsgeheimnis, vergrößert den Schaden bei einem Leck
  Notiz         -> Freitext mit Werturteilen, unterliegt der Auskunftspflicht
                   nach Art. 15 und gehört nicht in einen Adressabgleich

Die Spalte ID ist der Schlüssel für den Rückweg. Der Dienstleister liefert die bereinigte Liste zurück, Sie spielen sie über die ID gegen Ihre Datenbank, und die sensiblen Felder haben Ihr Haus nie verlassen. Aus 9 übertragenen Feldern werden 7, und die beiden weggelassenen sind genau die, die im Schadensfall den Unterschied zwischen einer ärgerlichen und einer meldepflichtigen Panne ausmachen.

Diese Reduktion ist zugleich ein Argument in der Anbieterprüfung. Ein Dienstleister, der auf dem vollständigen Datensatz besteht, weil sein Import sonst nicht funktioniert, hat ein Produktproblem, das zu Ihrem Compliance-Problem wird.

Der Prüfkatalog: zehn Fragen und ihre Alarmsignale

Schicken Sie diese Fragen schriftlich an den Anbieter und heften Sie die Antwort ab. Der Vorgang dauert für den Anbieter eine halbe Stunde, wenn er vorbereitet ist. Wie lange er braucht, ist bereits Teil der Antwort.

Frage	Belastbare Antwort	Alarmsignal
Wo werden Daten verarbeitet, gespeichert und gesichert?	Konkrete Standorte für Verarbeitung, Backup und Logserver	"Innerhalb der EU" ohne Nennung der Orte
Welche Sub-Auftragsverarbeiter sind eingebunden?	Aktuelle Liste mit Name, Sitz, Zweck und Änderungsmeldung	"Wir arbeiten mit wechselnden Partnern"
Wer hat Zugriff auf Klartextdaten?	Rollenkonzept plus revisionssichere Protokollierung	Verweis allein auf Verschwiegenheitserklärungen
Wie lange bleiben Daten nach Auftragsende?	Frist in Tagen, Löschbestätigung, Backup-Zyklus benannt	"Wir löschen zeitnah"
Gibt es Gesellschafter oder eine Muttergesellschaft außerhalb der EU?	Klare Auskunft zur Konzernstruktur	Ausweichende Antwort oder Verweis aufs Impressum
Welche Zertifizierung liegt vor, mit welchem Geltungsbereich?	Zertifikat mit Anwendungsbereich, nicht nur ein Logo	Siegel ohne Urkunde und ohne Gültigkeitsdatum
In welcher Frist melden Sie uns eine Datenschutzverletzung?	Benannte Frist unter 24 Stunden, feste Kontaktstelle	Keine Frist genannt
Wie unterstützen Sie uns bei Auskunfts- und Löschanfragen?	Beschriebener Prozess mit Reaktionszeit	"Auf Anfrage"
Dürfen wir prüfen, und wie?	Fragebogen plus Möglichkeit zur Vor-Ort-Prüfung	Nur Selbstauskunft ohne Nachweise
Werden unsere Daten für eigene Zwecke genutzt?	Vertraglich ausgeschlossen, auch für Modelltraining	"Anonymisierte Auswertungen" in den AGB

Die letzte Zeile ist die jüngste und wird am häufigsten übersehen. Seit Anbieter ihre Verarbeitung mit maschinellem Lernen anreichern, findet sich in vielen Nutzungsbedingungen eine Klausel zur Verwendung von Kundendaten für Produktverbesserung. Bei Adressdaten ist das keine Nebensache: Ein Dublettenmodell, das an Ihren Kundennamen trainiert wurde, hat diese Namen gesehen. Prüfen Sie die AGB an dieser Stelle wörtlich, nicht die Marketingseite.

Die Frage nach der Meldefrist ist ebenfalls schärfer, als sie klingt. Art. 33 Abs. 2 verpflichtet den Auftragsverarbeiter, Sie "unverzüglich" zu informieren. Ihre eigene 72-Stunden-Frist gegenüber der Aufsichtsbehörde beginnt aber mit Ihrer Kenntnis. Wenn der Anbieter drei Tage braucht, ist Ihre Frist verbraucht, bevor Sie überhaupt wissen, dass etwas passiert ist.

Was Zertifikate belegen, und was nicht

ISO 27001 ist der Nachweis, den fast jeder Anbieter vorzeigt. Die Norm zertifiziert ein Informationssicherheits-Managementsystem, also den Prozess, mit dem ein Unternehmen Sicherheitsrisiken erfasst und behandelt. Sie ist ein gutes Indiz für Sorgfalt, aber sie ist keine Datenschutz-Zertifizierung und kein Nachweis für DSGVO-Konformität.

Entscheidend ist der Geltungsbereich, das sogenannte Statement of Applicability. Ein Zertifikat kann sich auf den Rechenzentrumsbetrieb eines Subunternehmers beziehen und die eigene Softwareentwicklung ausklammern. Lassen Sie sich deshalb nicht das Logo zeigen, sondern die Urkunde mit Geltungsbereich und Gültigkeitsdatum.

Die DSGVO kennt in Art. 42 eine eigene Zertifizierung, die tatsächlich Konformität bescheinigen würde. Genehmigte Verfahren sind bis heute selten, sodass Ihnen in der Praxis kaum ein Anbieter eines vorlegen kann. Das ist kein Ausschlusskriterium, es heißt nur, dass Sie die Prüfung selbst leisten müssen.

Der Drittland-Check, der fast immer übersprungen wird

Der Serverstandort wird geprüft. Die Eigentümerstruktur nicht. Genau dort liegt das Risiko.

Sobald personenbezogene Daten außerhalb der EU verarbeitet werden oder von dort aus zugänglich sind, greifen die Art. 44 ff. DSGVO. Für die USA existiert seit Juli 2023 wieder ein Angemessenheitsbeschluss auf Basis des EU-US Data Privacy Framework. Er gilt, ist aber juristisch angefochten, und er wirkt nicht pauschal: Das empfangende Unternehmen muss auf der offiziellen DPF-Liste zertifiziert sein, und die Zertifizierung muss aktuell und für die betreffende Datenkategorie gültig sein. Das lässt sich in zwei Minuten unter dataprivacyframework.gov nachschlagen, und dieser Nachweis gehört in Ihre Akte.

Der zweite Punkt betrifft den Zugriff ohne Datentransfer. Ein US-Konzern mit europäischer Tochter kann nach dem CLOUD Act zur Herausgabe von Daten verpflichtet werden, die auf Servern in der EU liegen. Für die Bewertung genügt es deshalb nicht zu wissen, wo die Festplatte steht. Sie müssen wissen, wer auf das System zugreifen darf und welchem Rechtsraum dieses Unternehmen unterliegt.

Drei Fragen klären das in der Regel:

1. Wer sind die Gesellschafter, und wo sitzen sie?
2. Greift Support oder Entwicklung von außerhalb der EU auf Produktivdaten zu, etwa für Fehleranalysen?
3. Wo liegen Backups, Logdateien und die Systeme der eingesetzten Monitoring-Werkzeuge?

Fällt eine dieser Antworten in ein Drittland, brauchen Sie über die Standardvertragsklauseln nach Art. 46 hinaus eine dokumentierte Risikobewertung des Zielrechtsraums. Diese Prüfung ist kein Formular, sondern Textarbeit, und sie ist der Grund, warum eine sorgfältige Anbieterauswahl mehr Zeit kostet als die meisten Kalkulationen vorsehen.

Was die Prüfung kostet, und was sie spart

Die Rechnung geht von einem KMU mit rund 12.000 Adressen aus, das vier Mailings pro Jahr versendet und einen externen Dienstleister für die Bereinigung einsetzt. Angesetzt ist ein interner Stundensatz von 65 EUR, weil diese Arbeit typischerweise bei der Geschäftsführung oder einem Datenschutzkoordinator liegt und nicht in der Sachbearbeitung.

Aufgabe	Aufwand einmalig	Aufwand jährlich
Fragenkatalog versenden und Antworten auswerten	4 h	–
TOM-Dokumentation und Zertifikate prüfen	3 h	1 h
Drittland- und Konzernstruktur-Prüfung, Risikobewertung	5 h	1 h
AVV prüfen, Anpassungen verhandeln	2 h	–
Verzeichnis der Verarbeitungstätigkeiten und Ablage	2 h	1 h
Summe interne Arbeitszeit	16 h	3 h

Daraus ergibt sich: 16 Stunden mal 65 EUR sind 1.040 EUR Erstprüfung. Eine anwaltliche Durchsicht des AVV kostet bei einem Standardvertrag 600 bis 1.500 EUR, angesetzt sind 900 EUR. Das jährliche Nachaudit schlägt mit 3 Stunden zu 65 EUR gleich 195 EUR zu Buche. Über drei Jahre summiert sich das auf 1.040 + 900 + 390 = 2.330 EUR, und zwar zusätzlich zu jeder Lizenz- oder Servicegebühr.

Zwei Punkte machen die Zahl größer, als sie wirkt. Sie fällt pro Dienstleister an, und die meisten Unternehmen haben nicht einen, sondern drei bis fünf im Bereich Adress- und Kundendaten: Bereinigungstool, Lettershop, CRM-Hoster, Newsletter-Dienst. Und sie fällt erneut an, wenn der Anbieter einen Sub-Auftragsverarbeiter wechselt, denn dann ist die Grundlage Ihrer Bewertung nicht mehr aktuell.

Dem gegenüber steht kein direkter Ertrag, sondern ein vermiedenes Risiko. Genau deshalb wird dieser Posten übersprungen: Er hat keinen sichtbaren Gegenwert, solange nichts passiert. Die ehrliche Einordnung lautet, dass 2.330 EUR über drei Jahre gegen ein Bußgeldrisiko im vier- bis fünfstelligen Bereich plus Meldeaufwand stehen. Die Prüfung rechnet sich statistisch, aber sie rechnet sich nicht in jedem Einzelfall, und das sollte man aussprechen dürfen.

Der Weg, auf dem die Frage gar nicht erst entsteht

Es gibt eine Konstellation, in der der gesamte Prüfaufwand entfällt: Wenn kein Auftragsverarbeiter beteiligt ist.

Verarbeiten Sie Adressdaten ausschließlich auf Ihren eigenen Rechnern, gibt es keinen Dienstleister, dessen Garantien Sie bewerten müssten. Kein Fragenkatalog, keine Drittlandprüfung, kein AVV, kein jährliches Nachaudit. Die Verarbeitung bleibt im Verzeichnis nach Art. 30 dokumentationspflichtig, aber die 16 Stunden Erstprüfung und die 3 Stunden pro Jahr entfallen vollständig. Welche Anforderungen dann noch gelten, beschreibt der Beitrag zur DSGVO-konformen Adressbereinigung.

ListenFix ist als lokale Desktop-Software genau dafür gebaut. Dublettenerkennung, PLZ-Validierung und Haushaltsbildung laufen vollständig auf Ihrem Rechner, die Adressliste wird zu keinem Zeitpunkt übertragen. Damit liegt keine Auftragsverarbeitung nach Art. 28 vor, und der Prüfkatalog oben wird gegenstandslos. Für Arztpraxen, Kanzleien und Steuerberater, die zusätzlich der Verschwiegenheitspflicht nach § 203 StGB unterliegen, ist das häufig ohnehin die einzige Variante, die ohne Einwilligung der Betroffenen tragfähig ist. Kostenlos testen, ohne Kreditkarte.

Das ist keine allgemeingültige Empfehlung. Ab etwa 50.000 Adressen mit laufenden Importen aus mehreren Systemen ist ein spezialisierter Dienstleister mit Anbindung an Referenz- und Umzugsdaten die bessere Wahl, und dann führt an der Prüfung kein Weg vorbei. Die Frage ist nicht, ob Cloud oder lokal grundsätzlich besser ist, sondern ob der Nutzen der externen Verarbeitung die 2.330 EUR Prüfaufwand plus laufende Verantwortung trägt.

So dokumentieren Sie die Auswahl prüfungsfest

Die Prüfung nützt nichts, wenn sie nicht auffindbar ist. Legen Sie pro Dienstleister eine Akte an, digital genügt, und halten Sie sechs Dinge fest:

1. Fragenkatalog mit den Originalantworten, datiert und mit Absender
2. TOM-Dokument und Zertifikate des Anbieters als Datei, nicht als Link
3. DPF-Abfrage oder Drittland-Risikobewertung mit Datum des Nachschlagens
4. Unterzeichneter AVV samt Liste der Sub-Auftragsverarbeiter
5. Kurze Auswahlbegründung, eine halbe Seite genügt: geprüfte Alternativen, entscheidende Kriterien, Restrisiken
6. Wiedervorlage für das jährliche Nachaudit, im Kalender und nicht im Kopf

Punkt 5 ist der, den fast niemand hat, und der bei einer Prüfung am meisten wert ist. Er zeigt, dass eine Entscheidung getroffen wurde und nicht nur ein Vertrag unterschrieben. Wie dieser Vertrag inhaltlich aussehen muss, welche Klauseln Pflicht sind und welche Fehler am häufigsten auftreten, steht ausführlich im Beitrag zum AVV für Adressdaten.

Der Aufwand fällt einmal an und schrumpft danach auf drei Stunden im Jahr. Wer ihn dagegen erst nach einem Vorfall betreibt, macht dieselbe Arbeit unter Zeitdruck, mit Anwalt und mit einer laufenden 72-Stunden-Frist im Nacken.