Wenn ein Vendor personenbezogene Daten im Auftrag verarbeitet, brauche ich fast immer einen AVV nach Art. 28 DSGVO. Im Kfz-Gutachtenprozess ist das oft der Fall, weil dort Namen, Kontaktdaten, Fahrzeugdaten, Schadensfotos und teils sogar Gesundheitsdaten verarbeitet werden.

Ich achte vor allem auf vier Punkte:

  • Rollen sauber festlegen: Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit
  • Datenfluss klar beschreiben: Welche Daten, zu welchem Zweck, wie lange, in welchen Systemen
  • Sicherheit und Subunternehmer regeln: Zugriff, Verschlüsselung, Meldung von Vorfällen, Freigabe von Unterauftragnehmern
  • Kontrolle im Betrieb sichern: Audits, Löschung, Nachweise, Prüfungen nach Risiko

Gerade bei digitalen Gutachten-Netzwerken ist das Thema schnell heikel. Ein Plattformbetreiber, mobile Sachverständige, Cloud-Hoster und externe Tools greifen oft auf dieselben Daten zu. Schon ein unklarer Vertrag kann dazu führen, dass Zuständigkeiten verschwimmen. Und genau dann steigen Haftungs- und DSGVO-Risiken.

Ein paar Fakten aus dem Artikel sind für mich besonders wichtig:

  • Art. 28 Abs. 3 DSGVO verlangt feste Vertragsinhalte für die Auftragsverarbeitung
  • Fotos von Fahrzeugen sind oft personenbezogene Daten, wenn Kennzeichen oder Personen erkennbar sind
  • Bei Drittlandübermittlungen braucht es passende Garantien, zum Beispiel Standardvertragsklauseln
  • Bei Datenschutzverletzungen zählen feste Meldewege und enge Fristen, oft intern schon innerhalb von 24 Stunden
  • Nicht jeder Vendor braucht die gleiche Kontrolle: Das Monitoring sollte sich nach dem Risiko richten

Kurz gesagt: Ein AVV ist kein Anhang für die Akte. Ich sehe ihn als festen Teil des Vendor-Vertrags und des ganzen Prüfprozesses - von der Auswahl bis zur Beendigung des Vertrags.

Wer Vendor-Verträge für Kfz-Gutachten aufsetzt oder prüft, sollte daher nicht nur auf Standardklauseln schauen, sondern auf die Frage: Passen Rollen, Datenflüsse, Sicherheitsregeln und Kontrollen auch zum Alltag des Dienstleisters?

Rechtliche Grundlage: Wann ein AVV nach DSGVO und deutschem Recht erforderlich ist

Ein AVV ist dann nötig, wenn ein externer Dienstleister personenbezogene Daten nur nach Weisung verarbeitet. Im Kfz-Gutachtenbereich betrifft das zum Beispiel Kunden-, Fahrzeug- und Schadendaten. Legt der Anbieter dagegen selbst fest, warum oder wie die Daten verarbeitet werden, liegt keine Auftragsverarbeitung vor. In so einem Fall braucht es andere vertragliche Regeln. Der erste Schritt ist also immer derselbe: die Rollen sauber einordnen.

Das BDSG ergänzt die DSGVO im deutschen Rahmen, etwa bei Beschäftigtendaten sowie bei nationalen Vorgaben zu TOMs und Speicherfristen.

Verantwortlicher, Auftragsverarbeiter und gemeinsam Verantwortliche: Rollen richtig zuordnen

Von dieser Einordnung hängt direkt ab, welche Vertragsform passt und welche Pflichten gelten.

Rolle Entscheidungsbefugnis Wesentliche Pflichten Typische Rolle im Gutachtenprozess
Verantwortlicher Bestimmt Zwecke und Mittel der Verarbeitung Legt Zweck, Mittel und Rechtsgrundlage fest Versicherer, Flottenmanager oder Leasinggesellschaft, die den Gutachtenprozess initiiert
Auftragsverarbeiter Handelt ausschließlich auf dokumentierte Weisung Handelt nur auf Weisung Gutachtendienstleister, der Plattformen, mobile Sachverständige oder Schadensbewertungstools weisungsgebunden betreibt
Gemeinsam Verantwortliche Bestimmen Zwecke und Mittel gemeinsam Regeln Aufgaben und Außenverhältnis nach Art. 26 DSGVO Komplexe Plattformmodelle, bei denen Versicherer und Netzwerkbetreiber gemeinsam festlegen, welche Daten zu welchem Zweck erhoben werden

Die Rollenverteilung muss im Vertrag klar und ohne Widersprüche stehen. Fehlt diese Klarheit, wächst das Compliance-Risiko deutlich. Das gilt vor allem dann, wenn Plattformbetreiber Daten auch für eigene Analysezwecke mitsteuern. Aus einer vermeintlichen Auftragsverarbeitung kann dann schnell eine gemeinsame Verantwortlichkeit werden.

Pflichtinhalte eines AVV in deutschen Vendor-Verträgen

Art. 28 Abs. 3 DSGVO verlangt, dass ein AVV mindestens acht Kernbereiche abdeckt. In der Praxis stehen diese Punkte meist in einer eigenen Anlage.

Dazu zählen vor allem dokumentierte Weisungen. Sie müssen klar festlegen, welche Daten zu welchen Zwecken, in welchen Systemen und gegenüber welchen Empfängern verarbeitet werden dürfen. Zu vage Formulierungen reichen nicht aus.

Auch die TOMs sollten nicht nur auf dem Papier gut klingen, sondern konkret beschrieben sein. Im Kfz-Gutachtenbereich heißt das zum Beispiel:

  • Verschlüsselung von Schadensfotos
  • rollenbasierte Zugriffskontrollen auf der Gutachtenplattform
  • Sicherheitsrichtlinien für mobile Endgeräte der Sachverständigen

Hinzu kommt: Unterauftragnehmer müssen vorab genehmigt und vertraglich gleichwertig gebunden werden. Datenpannen sind ohne unangemessene Verzögerung zu melden. Betroffenenrechte müssen unterstützt werden. Und am Vertragsende ist eine Rückgabe oder Löschung der Daten vorzusehen, soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

Ein AVV muss diese Punkte konkret und im Alltag umsetzbar regeln. Genau darauf setzen dann die einzelnen DPA-Klauseln auf.

Zentrale AVV-Klauseln, die Vendor-Verträge stärken

Nach der rechtlichen Einordnung zeigt sich im Alltag schnell, ob ein AVV nur auf dem Papier gut aussieht oder auch im Betrieb hält. Die Rolle ist zwar geklärt. Jetzt zählen die Klauseln, die diese Rolle sauber absichern.

Gegenstand, Rollen und Pflichten des Auftragsverarbeiters

Im Anhang des AVV sollten Datenarten, Zweck, Laufzeit und Löschfrist knapp und klar benannt sein. Zum Beispiel: Stammdaten von Versicherungsnehmern, Fahrzeugidentifikationsnummern, Schadensfotos und Gutachtendokumente für die Dauer der Schadensregulierung zuzüglich der gesetzlichen Aufbewahrungsfristen.

Wichtig ist auch die Weisungsbindung. Der Vendor darf Daten nur auf dokumentierte Weisung verarbeiten. Eigene Nutzungen müssen ausgeschlossen sein. Das gilt etwa für das Training eigener KI-Modelle mit Unfallfotos. Genau hier wird es oft heikel: Was technisch möglich ist, ist datenschutzrechtlich noch lange nicht erlaubt.

Dazu kommen Vertraulichkeitspflichten und Schulungen für alle Mitarbeitenden mit Zugriff auf sensible Bilddaten. Das ist vor allem bei Sachverständigen wichtig, die vor Ort arbeiten oder mobile Geräte nutzen. Wer unterwegs Schäden dokumentiert, trägt die Daten nicht nur mit sich herum, sondern oft auch ein Stück Risiko.

Darauf setzt die technische Absicherung des Datenflusses auf.

Sicherheit, Unterauftragnehmer und grenzüberschreitende Übermittlungen

Bei digitalen Gutachten mit Fotos, mobilen Geräten und mehreren Beteiligten sind diese Punkte kein Nebenthema. Sie gehören ins Zentrum des AVV. Die Regelungen müssen so konkret sein, dass man sie später auch prüfen kann.

Der Vertrag sollte daher klar festlegen:

  • TLS für alle Übertragungen zwischen Plattform und Sachverständigen
  • Verschlüsselung gespeicherter Schadensfotos
  • Mehrfaktorauthentifizierung für Nutzer mit Zugriff auf Bildarchive
  • regelmäßige Prüfung von Zugriffsrechten

Die folgende Tabelle zeigt, wie zentrale Klauseltypen in der Praxis einzuordnen sind:

Klauseltyp Compliance-Relevanz Operativer Aufwand Bedeutung im Gutachtenbetrieb
Meldepflichten bei Datenschutzverletzungen Sehr hoch Mittel Pflicht zur unverzüglichen Meldung bei Zugriff auf Unfallfotos oder Gutachtendaten
Genehmigung von Unterauftragsverarbeitern Hoch Mittel Kontrolle über Cloud-Hoster, Bildverarbeitungsdienste, externe IT-Dienstleister
Grenzüberschreitende Übermittlung Hoch Hoch Sicherstellung, dass Schadensfotos nur auf Basis geeigneter Garantien außerhalb der EU verarbeitet werden
Rollenbasierte Zugriffskontrollen Hoch Niedrig Verhindert unbefugten Zugriff auf Schadensbilder durch ausgeschiedene Mitarbeitende
Löschung und Rückgabe von Daten Mittel bis hoch Mittel Regelt sichere Löschung nach Vertragsende, auch in Backup-Systemen

Unterauftragsverarbeiter dürfen nur mit vorheriger Genehmigung eingesetzt werden. Der Vendor bleibt gegenüber dem Verantwortlichen voll haftbar, auch wenn ein Unterauftragsverarbeiter gegen Datenschutzpflichten verstößt. Anders gesagt: Die Aufgabe kann ausgelagert werden, die Verantwortung nicht.

Für Datenübermittlungen außerhalb des EWR muss der AVV die passenden Garantien benennen. In der Regel sind das EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss. Zugleich sollte festgelegt werden, dass Schadensfotos und Gutachtendaten standardmäßig in Deutschland oder in der EU verarbeitet werden. Das schafft klare Leitplanken und senkt Abstimmungsaufwand im Tagesgeschäft.

Auditrechte, Aufbewahrung, Löschung und Haftung

Auditrechte sollten nicht vage bleiben. Fristen, Umfang, Kosten und der Schutz vertraulicher Drittinformationen gehören sauber geregelt. Im Gutachtenbereich bieten sich gezielte Prüfungen an, etwa bei Fotoverwaltungsprozessen an Containerstandorten oder durch Stichproben aus Löschprotokollen abgeschlossener Schadensfälle.

Auch Lösch- und Rückgabepflichten müssen zu den Aufbewahrungsanforderungen im Versicherungsbereich passen. Typisch ist die Dauer der Schadensregulierung zuzüglich versicherungsrechtlicher Verjährungsfristen. Ein AVV sollte daher nicht nur sagen, dass gelöscht wird, sondern auch wann und wie.

Nach Vertragsende muss sichergestellt sein, dass auch Backup-Kopien sicher gelöscht werden. Der Vendor sollte dafür einen dokumentierten Nachweis liefern. Gerade bei Backups liegt oft der Haken: Im Hauptsystem ist der Fall weg, in Sicherungen lebt er noch weiter.

Die Haftung folgt der vertraglich festgelegten Aufgabenverteilung. So bleibt die Logik der Klauseln auch im laufenden Vendor-Betrieb prüfbar.

Im nächsten Schritt geht es darum, wie diese Pflichten in Auswahl, Onboarding und laufende Vendor-Prozesse eingebaut werden.

Den AVV in den Vendor-Vertragszyklus einbinden

Ein AVV bringt nur dann etwas, wenn er den ganzen Vendor-Zyklus abdeckt: Auswahl, Onboarding, Betrieb und Kündigung. Darum gehört er fest ins Vendor-Risk-Management und in die dokumentierte Kontrolle des Verantwortlichen. Entscheidend ist, wie diese Pflicht im Vertragsaufbau, im Onboarding und später im laufenden Betrieb verankert wird.

Vertragsstruktur und zentrale Verhandlungspunkte

In der Praxis hat sich oft ein MSA für Leistung, SLA und Haftung bewährt, ergänzt um einen per Verweis einbezogenen AVV mit klarer Rangfolge. Das klingt erstmal nach Juristen-Feinschliff, ist aber im Alltag ziemlich wichtig: Wenn MSA und AVV bei Vertraulichkeit, TOMs, Kündigung, Datenrückgabe und Löschung nicht dieselben Begriffe und Fristen nutzen, wird es schnell unübersichtlich.

Genau dort entstehen später viele Reibungen. Deshalb sollten Auditrechte, Meldefristen und Haftungsgrenzen früh verhandelt werden und zum DSGVO-Risiko passen.

Due Diligence und Onboarding für Gutachten-Vendoren

Vor der Unterschrift sollte der Verantwortliche vier Punkte prüfen: Sicherheitsarchitektur, Subprozessoren, Incident-Management und Nachweisfähigkeit.

Die Sicherheitsarchitektur lässt sich vor allem über Fragebögen und Unterlagen prüfen. Dabei geht es um ziemlich direkte Fragen: Wo stehen die Rechenzentren? Welche Verschlüsselungsstandards gelten? Wie ist die Mandantentrennung geregelt? Zertifizierungen wie ISO 27001 oder TISAX sind dabei wichtige Nachweise.

Auch die Subprozessorkette muss komplett offengelegt sein. Dazu zählen nicht nur große Cloud-IaaS-Anbieter, sondern auch Bildverarbeitungstools, Terminplanungs-SaaS und SMS-Gateways. Sitzen einzelne Anbieter außerhalb der EU, braucht es passende Übermittlungsgarantien.

Ob das Incident-Management des Vendors trägt, zeigt sich an ein paar sehr handfesten Punkten: Gibt es 24/7-Monitoring? Sind Eskalationsprozesse dokumentiert? Lassen sich Reaktionszeiten sauber belegen?

Die Ergebnisse dieser Prüfung sollten dokumentiert und direkt im AVV verankert werden, zum Beispiel über autorisierte Subprozessoren, Hosting-Regionen und relevante Zertifizierungen. Erst an diesem Punkt wird klar, ob die Regeln im digitalen Gutachtenprozess am Ende auch im Alltag greifen.

AVV-Pflichten im digitalen Gutachtennetzwerk umsetzen

Im Betrieb zeigt sich schnell, ob der AVV nur auf dem Papier gut aussieht oder ob er im Netzwerk auch funktioniert. RBAC begrenzt Zugriffe, verschlüsselte Übertragung schützt Gutachten und Fotos, und Logging hält jeden Zugriff fest und meldet Auffälligkeiten automatisch.

SOPs regeln dann die tägliche Arbeit: Anmeldung, erlaubte Geräte, zulässige Cloud-Dienste und die Meldung von Verdachtsfällen. Diese Vorgaben sollten im AVV als Teil der organisatorischen Maßnahmen des Auftragsverarbeiters referenziert werden und nach Audits oder Vorfällen aktualisiert werden. So lassen sich vertragliche Pflichten im Alltag auch tatsächlich prüfen.

Compliance überwachen: AVV langfristig wirksam halten

AVV-Monitoring: Risikobasierte Überwachung von Auftragsverarbeitern

AVV-Monitoring: Risikobasierte Überwachung von Auftragsverarbeitern

Nach der Unterschrift geht die Arbeit erst los. Ein AVV funktioniert nur dann im Alltag, wenn Verantwortliche ihre Auftragsverarbeiter fortlaufend prüfen. Genau das verlangt Art. 28 DSGVO über die komplette Vertragslaufzeit hinweg.

Risikobasiertes Monitoring und Incident-Koordination

Nicht jeder Dienstleister muss gleich eng überwacht werden. Sinnvoll ist ein risikobasiertes Modell, das auf Punkte wie Datensensibilität, Datenmenge, Drittlandtransfer und den Einsatz von Unterauftragsverarbeitern schaut. Je höher das Risiko, desto öfter und genauer sollte die Kontrolle ausfallen.

In der Praxis hat sich ein gestuftes Vorgehen bewährt:

  • Low-Risk-Dienstleister: jährliche Selbstauskunft per Fragebogen
  • Medium-Risk-Dienstleister: Nachweise wie ISO 27001 oder SOC 2 plus regelmäßige Kennzahlenberichte
  • High-Risk-Dienstleister: zusätzlich Vor-Ort-Prüfungen oder Remote-Audits sowie Tests zu Datenschutzvorfällen

Der Europäische Datenschutzausschuss weist zudem darauf hin, dass bei Unterauftragsverarbeitern stichprobenartige Audit-Kampagnen oft sinnvoller sind, als jeden einzelnen Subunternehmer komplett direkt zu prüfen.

Aus dem Risiko ergibt sich auch die Tiefe der Prüfung:

Ansatz Überwachungstiefe Aufwand (Verantwortlicher) Eignung für digitale Gutachtenprozesse
Vertragsbasiertes Monitoring Mittel: basiert auf Selbstauskünften, Dokumentationspflichten und Löschbestätigungen Gering bis mittel: vor allem Verwaltung und Nachverfolgung Gut als Basisebene für alle Risikoklassen; wichtig für Löschnachweise und Änderungen bei Unterauftragsverarbeitern
Zertifikatsbasiertes Monitoring Mittel: externe Prüfung durch ISO 27001, SOC 2 oder Verhaltenskodizes Gering: Prüfung von Zertifikaten und Berichten Effizient für mittlere Risikoklassen; standardisiert Sicherheits-Baselines über mehrere Standorte
Vollständiges Audit Hoch: Vor-Ort-Audit, technische Tiefenprüfung, Interviews, Log-Stichproben Hoch: erfordert interne oder externe Audit-Ressourcen Notwendig bei Verarbeitern mit hohem Risiko, grenzüberschreitenden Übermittlungen oder nach Vorfällen

Zur Incident-Koordination gehört mehr als nur ein Satz im AVV. Im Alltag braucht es klare Playbooks mit festen Rollen, Eskalationswegen und Meldefristen. Ein typisches Beispiel: eine erste Meldung binnen 24 Stunden und ein kompletter Bericht binnen 72 Stunden, etwa bei unberechtigten Zugriffen auf Schadensfotos, kompromittierten mobilen Endgeräten von Gutachtern oder gesperrten Plattformzugängen. Jährliche Incident-Übungen zeigen, ob diese Abläufe im Ernstfall auch tragen.

Zentrale Erkenntnisse für deutsche Vendor-Verträge

Erst diese Prüfungen machen einen AVV im Tagesgeschäft belastbar. Vendor-Verträge brauchen klar verteilte Rollen, vollständige Regeln nach Art. 28, sauber abgestimmte Hauptverträge, Kontrolle von Unterauftragnehmern und ein fortlaufendes Monitoring. Genau diese Punkte halten Vendor-Verträge auf Dauer belastbar.

FAQs

Wann reicht ein AVV nicht aus?

Ein AVV allein reicht nicht, wenn die Datenverarbeitung nicht nur über Auftragsverarbeitung läuft. Dann braucht es eine weitere Rechtsgrundlage oder extra Vorgaben, zum Beispiel bei einer zusätzlichen Weitergabe von Daten ohne passende Rechtsgrundlage.

Auch ein AVV, der zu vage bleibt, hilft in der Praxis nicht weiter. Geregelt werden müssen unter anderem:

  • Auditrechte
  • Sicherheitsanforderungen bzw. TOMs
  • Berichtspflichten
  • Sub-Prozessoren
  • bei Bedarf internationale Transfers samt Transfer-Mechanismus

Kurz gesagt: Ein AVV ist kein Freifahrtschein. Er muss inhaltlich passen und die Verarbeitung sauber abdecken.

Wer haftet für Fehler eines Subunternehmers?

Auch wenn ein Subunternehmer bei der Datenverarbeitung patzt, bleibt das beauftragende Unternehmen für die Einhaltung der DSGVO verantwortlich.

Heißt konkret: Der Verantwortliche muss per AVV sicherstellen, dass auch Sub-Prozessoren die nötigen Datenschutz- und Sicherheitsstandards einhalten. Fehlende Kontrolle oder undurchsichtige Vertragsketten sind keine Ausrede und nehmen ihm diese Verantwortung nicht ab.

Wie prüfe ich Vendoren risikobasiert?

Erfassen Sie alle Vendoren und machen Sie ihre Datenflüsse sichtbar. So sehen Sie schneller, wo Lücken, unnötige Übergaben oder heikle Schnittstellen sitzen. Bewerten Sie das Risiko danach, wie sensibel die Daten sind, wie stark Ihr Geschäft vom jeweiligen Anbieter abhängt und welche rechtlichen sowie geografischen Vorgaben gelten.

Arbeiten Sie dann mit einer Risikomatrix, um klare Prioritäten zu setzen. Auf dieser Basis legen Sie passende Schutzmaßnahmen fest, zum Beispiel Verschlüsselung oder Zugriffskontrollen nach dem Prinzip der minimalen Berechtigung. Halten Sie alle Ergebnisse sauber fest und prüfen Sie sie in regelmäßigen Audits erneut.

Verwandte Blogbeiträge