Wenn ich einen Vertrag zur Datenweitergabe ändere, prüfe ich zuerst Erlaubnis, Zweck, Datenumfang, Empfänger, Schutzmaßnahmen und Doku - in genau dieser Reihenfolge. Sonst passt der Vertrag am Ende nicht zur Praxis, und genau das wird bei Prüfungen zum Problem.

Kurz gesagt: Ich halte den Zweck klar fest, prüfe die Rechtsgrundlage nach DSGVO, streiche überflüssige Datenfelder, lege Empfänger und Zugriffe fest, ergänze Pflichtklauseln und TOM, prüfe bei Bedarf DSFA und TIA und trage alles im VVT ein. Dazu kommen feste Prüftermine, Versionen und Regeln für Löschung oder Rückgabe am Ende.

Das ist der Kern der Checkliste:

  • Auslöser klären: neuer Empfänger, neuer Zweck, neue Datenarten, neuer Technikwechsel, Drittlandbezug
  • Zweck festlegen: genau beschreiben, was erlaubt ist - und was nicht
  • Rechtsgrundlage prüfen: Art. 6 DSGVO, bei sensiblen Daten auch Art. 9 DSGVO
  • Daten begrenzen: nur Felder weitergeben, die ich für den Zweck brauche
  • Empfänger prüfen: Rolle klären, Unterauftragnehmer nur mit Freigabe
  • Zugriffe begrenzen: nur befugte Personen, Protokollierung, Vertraulichkeit
  • Vertrag nachziehen: Weisungen, Löschung, Rückgabe, Vorfälle, Kontrollrechte, Unterauftragnehmer
  • TOM abgleichen: Verschlüsselung, MFA, Rollenrechte, Logs, Speicher- und Zugriffsort
  • Risiko prüfen: DSFA bei hohem Risiko, TIA bei Drittlandübermittlung ohne Angemessenheitsbeschluss
  • Dokumentieren: VVT, Freigabe, Version, Prüfintervall, Löschfrist
  • Regelmäßig prüfen: mindestens 1x pro Jahr und bei Änderungen sofort
  • Sauber beenden: Zugang sperren, Daten löschen oder zurückgeben, Bestätigung ablegen

Ein Punkt wird oft übersehen: Schon Fernzugriff aus einem Staat außerhalb der EU kann als Übermittlung nach Art. 44 DSGVO gelten. Und bei Datenpannen bleibt oft nur ein enges Zeitfenster von 72 Stunden für die Meldung. Genau deshalb muss der Vertrag nicht nur rechtlich passen, sondern auch im Alltag funktionieren.

Wenn ich die Sache einfach halten will, stelle ich mir nur drei Fragen: Was wird weitergegeben? An wen? Warum genau? Danach prüfe ich den Rest Schritt für Schritt.

Datenweitergabe-Vertrag anpassen: 12-Schritte-Checkliste

Datenweitergabe-Vertrag anpassen: 12-Schritte-Checkliste

2. Rechtsgrundlage, Zweck und Erforderlichkeit vor der Vertragsanpassung prüfen

Bevor du auch nur einen Satz im Vertrag änderst, muss erst eine Sache sauber geklärt sein: Ist die Datenweitergabe überhaupt erlaubt? Genau darum geht es hier. Du prüfst den Zweck, die Rechtsgrundlage und den Datenumfang, bevor aus einer Idee ein Vertragsbestandteil wird.

Den genauen Zweck der Datenübermittlung festlegen

Der Zweck der Datenübermittlung muss so klar beschrieben sein, dass er einer Prüfung durch die Aufsichtsbehörde standhält. Allgemeine Angaben wie „IT-Dienstleistungen“ reichen dafür nicht aus. Deutlich besser sind Formulierungen wie „Hosting von CRM-Daten“ oder „Erstellung der monatlichen Gehaltsabrechnungen“.

Wichtig ist auch die andere Seite der Medaille: Der Vertrag sollte klar benennen, was der Empfänger nicht darf. Dazu zählt zum Beispiel die Nutzung der Daten für eigenes Marketing oder für Profiling. Nur dann ist sauber festgelegt, dass die Nutzung auf die Weisungen des Verantwortlichen beschränkt bleibt.

Erst wenn das steht, sollte der Zweck im Vertrag genau ausformuliert werden.

Rechtsgrundlage und interne Freigabe bestätigen

Halte die Rechtsgrundlage nach Art. 6 bzw. Art. 9 DSGVO schriftlich fest. Dazu gehören auch die interne Freigabe und die zuständige Abteilung.

Das klingt erst mal nach Papierkram. Ist es auch. Aber genau dieser Schritt zeigt später, dass die Übermittlung nicht einfach „mitgelaufen“ ist, sondern intern geprüft wurde.

Nach der Freigabe kommt der nächste Filter: Datenminimierung. Im Umfang bleiben nur die Felder, die für den Zweck gebraucht werden.

Erforderlichkeit und Verhältnismäßigkeit prüfen

Jetzt wird es konkret. Jedes Datenfeld sollte einzeln darauf geprüft werden, ob es für den Zweck nötig ist. Alles, was nicht gebraucht wird, fliegt raus. Ein typisches Beispiel ist das Geburtsdatum, wenn es für die Leistung gar keine Rolle spielt. In den Vertragsumfang gehören nur die Datenfelder, die für den Dienst gebraucht werden.

Bei Drittlandübermittlungen gilt noch ein Punkt, der oft übersehen wird: Schon ein reiner Fernzugriff aus einem Staat außerhalb der EU, etwa für Wartungsarbeiten, gilt als Übermittlung nach Art. 44 DSGVO. Auch dafür musst du begründen können, warum der Zugriff nötig ist.

Wenn Zweck, Rechtsgrundlage und Datenumfang feststehen, geht es im nächsten Schritt an die Prüfung von Datenfeldern, Empfängern und Zugriffen.

3. Datenumfang, Empfänger und Zugriffsrechte Feld für Feld prüfen

Wenn Zweck und Rechtsgrundlage stehen, fängt die eigentliche Feinarbeit an: Jedes einzelne Datenfeld kommt auf den Prüfstand. Danach geht es um die Empfänger und darum, wer am Ende überhaupt Zugriff haben darf.

Die freigegebenen Datenfelder auflisten

Jedes Datenfeld, das weitergegeben wird, sollte namentlich im Vertrag oder in einer Anlage stehen. Für jedes Feld gilt dieselbe Frage: Ist es nötig, kann es raus, oder sollte es pseudonymisiert werden? Die Beschreibung muss so genau sein, dass sie auch bei einer regionalen Prüfung Bestand hat.

In der Praxis funktioniert dafür oft eine Vertragsanlage wie „Anlage 1“, in der jedes Feld einzeln markiert wird. Felder ohne klaren Zweckbezug werden gestrichen oder vor der Übermittlung pseudonymisiert.

Datenkategorie Beispielfelder Minimierungsmaßnahme
Kontaktdaten Name, E-Mail, Telefon Entfernen bei rein statistischer Auswertung
Kennungen FIN, IP-Adressen, Kunden-IDs Pseudonymisieren, wenn keine direkten Identifikatoren nötig
Sensible Daten Gesundheitsdaten, Finanzdaten Explizit benennen; bei Bedarf verschlüsseln
Standortdaten GPS-Koordinaten, Bewegungsprofile Auf nötige Genauigkeit begrenzen
Schadensunterlagen Schadensfotos, Unfallberichte Gesichter und unbeteiligte Dritte unkenntlich machen

"Transfer of only as many data as absolutely necessary for the purpose. Where possible, data should be pseudonymized before transmission." - MUNAS Consulting

Erst wenn klar ist, welche Daten überhaupt fließen, lohnt sich der Blick auf Empfänger und Nutzungsgrenzen.

Empfänger und erlaubte Nutzung benennen

Hier zählt Genauigkeit. Der Zweck muss konkret benannt werden; zu weite oder schwammige Formulierungen gehören raus. Angaben wie „allgemeine Vertragserfüllung“ reichen nicht. Zulässig sind stattdessen klare Beschreibungen, zum Beispiel die Bereitstellung einer vereinbarten CRM-Funktionalität. Auch diese Angaben sollten so genau sein, dass sie regionalen Prüfungen standhalten.

Unterauftragnehmer dürfen nur mit Freigabe des Verantwortlichen eingesetzt werden. Für sie gelten dieselben Datenschutzpflichten.

Danach geht es einen Schritt tiefer: Wer darf intern tatsächlich auf die Daten zugreifen?

Zugriff auf befugte Personen beschränken

Der Vertrag sollte den Zugriff auf befugte Personen begrenzen, und zwar nach Aufgabenbedarf und mit Protokollierung. Anders gesagt: Nicht jeder im Unternehmen braucht alles zu sehen.

Wichtig ist dabei eine saubere Nachvollziehbarkeit: Wer hat welche Daten gesehen, geändert oder weitergegeben?

"The processor ensures that all persons authorized to process the data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality." - MUNAS Consulting

4. Vertragsklauseln, Sicherheitsmaßnahmen und Risikoprüfung aktualisieren

Sobald feststeht, welche Daten betroffen sind, wer sie erhält und wer darauf zugreifen darf, geht es an den Vertrag. Dabei gilt ein einfacher Grundsatz: Vertragsklauseln und TOM müssen genau zu Zweck, Datenarten und Risiken passen. Sonst entsteht schnell eine Lücke zwischen Papier und Praxis.

Pflichtklauseln prüfen und anpassen

Der Vertrag muss den Zweck der Verarbeitung, die Datenkategorien, die betroffenen Personen, die Weisungsbindung, Vertraulichkeit, Kontrollrechte, Unterauftragnehmer sowie Lösch- oder Rückgabepflichten regeln. Der Verarbeiter darf personenbezogene Daten nur nach dokumentierten Weisungen verarbeiten. Für Unterauftragnehmer braucht es eine freigegebene Genehmigungsregel. Bei einer allgemeinen Genehmigung muss der Vertrag zudem eine Ankündigungs- und Widerspruchsfrist enthalten. Datenpannen müssen so schnell gemeldet werden, dass die Frist von 72 Stunden eingehalten werden kann.

Bei Übermittlungen außerhalb des EWR müssen Standardvertragsklauseln (SCCs) oder verbindliche interne Datenschutzvorschriften (BCRs) eingebunden werden. Oft reicht dafür schon eine schriftliche Ergänzung, die einzelne Anlagen austauscht, ohne den Rest des Vertrags anzutasten.

Danach kommt der praktische Teil: Die Schutzmaßnahmen müssen das abdecken, was der Vertrag vorgibt.

Technische und organisatorische Maßnahmen (TOM) festlegen

Im Vertrag sollten die Sicherheitsstandards konkret beschrieben sein. Gerade bei Fernzugriffen aus Drittländern ist Vorsicht nötig, denn solche Zugriffe gelten als Übermittlung nach Art. 44 DSGVO.

Maßnahme Pflicht (Art. 28/32 DSGVO) Empfohlen / Erweitert
Verschlüsselung Transport (TLS 1.3) und Speicherung End-to-End-Verschlüsselung oder Zero-Knowledge, damit der Empfänger keinen Klartextzugriff hat
Zugriffskontrolle Rollenbasiert (RBAC), Need-to-know Multi-Faktor-Authentifizierung (MFA), manipulationssichere Audit-Logs
Datenintegrität Schutz vor unbefugter Änderung Regelmäßige Integritätsprüfungen und Wiederherstellungstests
Compliance Meldepflichten bei Datenpannen, Vertraulichkeitsverpflichtungen Transparenzberichte zu Behördenanfragen
Standort Klare Definition von Speicher- und Zugriffsorten Beschränkung auf EU/EWR-Rechenzentren, keine Fernzugriffe aus Drittländern

Genau an diesem Punkt zeigt sich oft, ob eine einfache Prüfung reicht oder ob eine DSFA oder TIA nötig wird.

DSFA oder Risikoabschätzung: wann sie nötig ist

Wenn Umfang der Datenverarbeitung oder der Empfängerkreis ein hohes Risiko auslöst, braucht es eine DSFA oder eine TIA. Eine DSFA ist Pflicht, wenn ein hohes Risiko vorliegt, zum Beispiel bei Daten nach Art. 9 DSGVO oder beim Einsatz neuer Technologien.

Für Drittlandübermittlungen ohne Angemessenheitsbeschluss kommt zusätzlich eine TIA hinzu. Sie prüft, ob im Empfängerland ein ausreichendes Schutzniveau besteht. Ändert sich dort die Rechtslage, muss auch die TIA angepasst werden.

"The data-exporting company regularly checks the current development of the third country and monitors whether the appropriate level of protection is still guaranteed." – Niklas Hanitsch, Legal Expert and Managing Director, SECJUR

Wichtig ist der Zeitpunkt: Das Prüfergebnis muss vor Vertragsabschluss dokumentiert sein. In der Dokumentation müssen Risiken, Maßnahmen und die Grundlage der Entscheidung festgehalten werden. Nach dem Rechenschaftsprinzip aus Art. 5 Abs. 2 DSGVO muss diese Unterlage auf Anfrage der Aufsichtsbehörde vorgelegt werden können. Ohne eine dokumentierte Risikoentscheidung darf der angepasste Vertrag nicht abgeschlossen werden.

5. Entscheidung dokumentieren, Prüftermine festlegen und die Übermittlung ordentlich abschließen

Festhalten, was weitergegeben wurde, warum, an wen und wann

Nach der Risikoprüfung kommt der Teil, der im Alltag oft liegen bleibt: die saubere Ablage im VVT. Jede Datenweitergabe gehört dort hinein. So bleibt später klar, was übermittelt wurde, zu welchem Zweck, an wen und auf welcher Grundlage.

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 DSGVO ist dafür der zentrale Ort. Dort sind alle Drittlandübermittlungen zu erfassen. Die Tabelle zeigt, welche Angaben pro Eintrag nötig sind:

Dokumentationskategorie Konkrete Angaben
Übermittlungsbeschreibung Exporteur, Importeur, Empfängerland, Zweck der Übermittlung
Datenbasis Datenkategorien, betroffene Personengruppen, konkrete Datenfelder
Rechtsrahmen Rechtsgrundlage (Art. 6/9 DSGVO), Übermittlungsgrundlage (SCCs, BCRs, Angemessenheitsbeschluss)
Risikoprüfung TIA-Ergebnis, Analyse der Rechtslage im Empfängerland, zusätzliche TOMs
Governance Freigabedatum, Versionsnummer, Prüfintervall, Lösch- oder Rückgabefrist

Erfasse im VVT auch Fernzugriffe aus Drittländern. Das wird leicht übersehen, gehört aber genauso in die Dokumentation.

Prüfintervalle und Änderungsmanagement festlegen

Mit der Ablage ist die Sache nicht erledigt. Ab dann läuft das Änderungsmanagement. Prüfe jede Vereinbarung zur Datenweitergabe mindestens einmal pro Jahr.

Manche Fälle dulden keinen Aufschub. Dazu zählen:

  • ein neuer Unterauftragnehmer
  • eine Datenpanne
  • eine Änderung des Verarbeitungszwecks
  • eine neue Rechtslage im Empfängerland

Jede Änderung ist als Nachtrag mit Versionsnummer und Datum festzuhalten, zum Beispiel: „Nachtrag v2, gültig ab 16.06.2026". Außerdem sollte jede Vereinbarung einer festen Person zugeordnet sein. Diese Person behält Fristen im Blick und stößt Anpassungen an.

Bei Drittlandübermittlungen kommt noch ein Punkt dazu: Auch Angemessenheitsbeschlüsse gelten nicht auf ewig. Ihre Gültigkeit muss regelmäßig geprüft werden.

Abschluss: Checkliste für Kündigung, Löschung und nächste Schritte

Irgendwann endet auch die Übermittlung. Dann muss der Abschluss sauber laufen, nicht halbherzig. Wenn der Zweck wegfällt, sind drei Schritte Pflicht: Zugang sperren, Daten löschen oder zurückgeben, Abschluss dokumentieren.

Der Vertrag sollte das schon vorher klar regeln. Also nicht nur ob gelöscht wird, sondern auch wie und bis wann - etwa durch eine Löschung innerhalb von 30 Tagen nach Vertragsende.

Hol dir vom Empfänger außerdem eine schriftliche Löschbestätigung. Sie dient als Nachweis, dass der Vorgang abgeschlossen wurde.

FAQs

Wann reicht ein Nachtrag zum Vertrag aus?

Ein Nachtrag reicht aus, wenn nur punktuelle Anpassungen nötig sind. Also dann, wenn der bestehende Vertrag ergänzt oder auf den neuesten Stand gebracht werden soll, ohne an seiner Grundstruktur zu rütteln. Das ist zum Beispiel der Fall, wenn Standardvertragsklauseln angepasst oder Weisungen genauer gefasst werden.

Geht es dagegen um tiefere Änderungen in der Vertragsbeziehung oder um neue rechtliche Rahmenbedingungen, ist ein bloßer Nachtrag oft zu wenig. Dann ist es meist der sicherere Weg, das gesamte Vertragswerk gründlich zu prüfen und neu aufzusetzen.

Wann brauche ich eine DSFA oder TIA?

Eine DSFA ist nötig, wenn die Verarbeitung personenbezogener Daten voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Ein TIA wird gebraucht, wenn personenbezogene Daten in ein Drittland außerhalb der EU oder des EWR übermittelt werden und für dieses Land kein Angemessenheitsbeschluss der EU-Kommission vorliegt. In so einem Fall reichen Standardvertragsklauseln allein nicht aus.

Gilt Fernzugriff bereits als Drittlandübermittlung?

Ja. Ein Fernzugriff auf personenbezogene Daten aus einem Drittland gilt nach der DSGVO als Drittlandübermittlung.

Sobald Daten aus der EU für Personen oder Systeme außerhalb der EU oder des EWR zugänglich sind, greifen die Vorgaben aus Art. 44 ff. DSGVO. Dann braucht es passende Schutzmaßnahmen, zum Beispiel Standardvertragsklauseln und ein Transfer Impact Assessment.

Verwandte Blogbeiträge