Das Audit-Recht des Verantwortlichen ist eines der wichtigsten, aber am häufigsten vernachlässigten Elemente eines Auftragsverarbeitungsvertrags (AVV). Art. 28 Abs. 3 lit. h DSGVO verpflichtet den Auftragsverarbeiter, dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten bereitzustellen und Kontrollen — einschließlich Inspektionen — zu ermöglichen.
Dieses Recht ist fundamental für die Rechenschaftspflicht des Verantwortlichen. Es stellt sicher, dass die getroffenen technischen und organisatorischen Maßnahmen (TOMs) des Auftragsverarbeiters tatsächlich wirksam sind. Ohne dieses Kontrollrecht könnte der Verantwortliche seine eigene Haftung nicht minimieren. Die DSGVO legt hier eine klare Verantwortungsteilung fest, die jedoch eine aktive Überwachung erfordert.
Zur Gesamtübersicht: AVV Vorlage & Muster: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Was sagt Art. 28 Abs. 3 lit. h DSGVO?
Art. 28 Abs. 3 lit. h DSGVO verlangt, dass der Auftragsverarbeiter: „dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Prüfungen — einschließlich Inspektionen — die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.“
Diese Formulierung ist bewusst umfassend gewählt. Sie umfasst nicht nur die Bereitstellung von Dokumenten, sondern auch die aktive Unterstützung bei der Durchführung von Prüfungen. Der Auftragsverarbeiter muss also kooperativ sein. Er darf die Kontrollrechte des Verantwortlichen nicht behindern oder erschweren. Dies ist eine Kernpflicht, die nicht vertraglich ausgeschlossen werden kann.
Das bedeutet: Sie als Verantwortlicher haben das Recht, den Auftragsverarbeiter zu kontrollieren — direkt oder durch einen beauftragten Prüfer (z. B. Datenschutzbeauftragten, Wirtschaftsprüfer). Der Auftragsverarbeiter darf dieses Recht nicht einfach vertraglich ausschließen. Die Beauftragung Dritter ist hierbei ein wichtiger Aspekt. Viele Verantwortliche verfügen nicht über die internen Ressourcen oder das spezifische Fachwissen, um komplexe Audits selbst durchzuführen. Externe Experten können hier wertvolle Unterstützung leisten.
Ein Beispiel aus der Praxis verdeutlicht dies: Ein Unternehmen, das eine Cloud-Lösung für Kundendaten nutzt, muss sicherstellen, dass der Cloud-Anbieter die Daten adäquat schützt. Art. 28 Abs. 3 lit. h DSGVO gibt dem Unternehmen das Recht, die Sicherheitsmaßnahmen des Cloud-Anbieters zu überprüfen. Dies kann durch die Anforderung von Audit-Berichten oder sogar durch eine Vor-Ort-Inspektion geschehen. Der Cloud-Anbieter muss diese Prüfungen ermöglichen und unterstützen. Verweigert er dies, verstößt er gegen den AVV und die DSGVO.
Die Bedeutung dieses Artikels wird auch durch die Haftungsregelungen der DSGVO unterstrichen. Gemäß Art. 82 DSGVO haften Verantwortliche und Auftragsverarbeiter für Schäden, die durch eine Verletzung der DSGVO entstehen. Der Verantwortliche kann sich nicht einfach darauf verlassen, dass der Auftragsverarbeiter alles richtig macht. Er muss seine Kontrollpflichten wahrnehmen, um seine eigene Haftung zu minimieren. Ein Urteil des BGH (VI ZR 396/24) hat dies kürzlich bestätigt: Verantwortliche haften auch nach Vertragsende für Datenlecks beim Auftragsverarbeiter. Die Kontrollpflichten enden nicht mit dem Vertrag. Dies unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung und Dokumentation der Audits.
Wie sieht das Audit-Recht in der Praxis aus?
Drei gängige Formen der Audit-Durchführung:
- Fragebogen-Audit: Der Verantwortliche schickt einen standardisierten Datenschutz-Fragenkatalog; der Auftragsverarbeiter antwortet schriftlich. Günstigste und häufigste Form. Diese Methode ist besonders effizient für die erste Einschätzung oder für regelmäßige Überprüfungen bei geringem Risiko. Der Fragenkatalog sollte spezifisch auf die Art der verarbeiteten Daten und die Risiken zugeschnitten sein. Er sollte Fragen zu TOMs, Subunternehmern, Datenschutzbeauftragten und Incident-Response-Plänen enthalten. Die Antworten sollten sorgfältig geprüft und dokumentiert werden.
- Zertifikats-Audit: Der Auftragsverarbeiter legt aktuelle Zertifizierungen vor (z. B. ISO 27001, SOC 2 Typ II, BSI C5). Art. 28 Abs. 3 lit. h DSGVO erlaubt ausdrücklich, dass der Auftragsverarbeiter statt einer Inspektion aktuelle Prüfberichte vorlegt. Diese Zertifikate sind ein starkes Indiz für ein hohes Sicherheitsniveau. Sie belegen, dass ein unabhängiger Dritter die Einhaltung bestimmter Standards überprüft hat. Wichtig ist hierbei, den Umfang der Zertifizierung genau zu prüfen. Deckt sie alle relevanten Systeme und Prozesse ab, die für die Verarbeitung der Daten des Verantwortlichen relevant sind? Ein ISO 27001 Zertifikat für die allgemeine IT-Infrastruktur sagt wenig über die Sicherheit einer spezifischen Anwendung aus, die der Verantwortliche nutzt. Die Prüfberichte sollten ebenfalls angefordert und analysiert werden, um Schwachstellen oder Empfehlungen zu identifizieren.
- Vor-Ort-Inspektion: Direkter Zugang zu den Systemen und Prozessen des Auftragsverarbeiters. Höchste Kontrolle, aber auch höchster Aufwand. Diese Form des Audits ist in der Regel bei hochriskanten Verarbeitungen oder bei Zweifeln an der Einhaltung der Vorgaben erforderlich. Sie ermöglicht einen tiefen Einblick in die tatsächliche Umsetzung der TOMs. Hierbei können physische Sicherheitsmaßnahmen, Zugriffskontrollen, Datenflüsse und die Schulung der Mitarbeiter überprüft werden. Eine solche Inspektion erfordert eine detaillierte Planung und eine klare Definition des Prüfumfangs. Oft wird ein externer Auditor beauftragt, um die Objektivität zu gewährleisten. Die Ergebnisse müssen detailliert dokumentiert und dem Auftragsverarbeiter zur Stellungnahme vorgelegt werden.
Die Datenschutzkonferenz (DSK) hat in ihrer Orientierungshilfe Auftragsverarbeitung (2019) präzisiert, dass Zertifikate wie ISO 27001 allein kein vollständiges Audit ersetzen, aber als erhebliche Erleichterung akzeptiert werden können. Dies bedeutet, dass sich der Verantwortliche nicht ausschließlich auf Zertifikate verlassen sollte. Eine Kombination aus verschiedenen Audit-Formen ist oft der beste Weg, um eine umfassende Kontrolle zu gewährleisten. Beispielsweise kann ein jährliches Fragebogen-Audit durch die Anforderung aktueller Zertifikate ergänzt werden. Bei Anzeichen von Problemen oder bei wesentlichen Änderungen in der Verarbeitung kann dann eine Vor-Ort-Inspektion notwendig werden.
Ein weiteres wichtiges Element ist die Dokumentation der Audits. Jeder Audit-Prozess, von der Planung über die Durchführung bis zur Auswertung, muss sorgfältig dokumentiert werden. Dies dient nicht nur dem Nachweis der Einhaltung der Rechenschaftspflicht, sondern auch als Grundlage für mögliche Verbesserungen beim Auftragsverarbeiter. Sollte es zu einem Datenschutzvorfall kommen, kann die Dokumentation der Audits belegen, dass der Verantwortliche seine Pflichten ernst genommen hat.
Typische Fehler bei AVV-Audit-Klauseln
Die Gestaltung der Audit-Klauseln im AVV ist entscheidend für die Durchsetzbarkeit der Kontrollrechte. Fehler in der Formulierung können dazu führen, dass das Audit-Recht faktisch ausgehöhlt wird.
- Zu weiche Formulierung: „Der Auftraggeber kann bei Bedarf Kontrollen vornehmen“ genügt nicht. Das Recht muss konkret und durchsetzbar sein. Eine präzise Formulierung könnte lauten: „Der Verantwortliche hat das Recht, jederzeit und ohne Angabe von Gründen, Audits durchzuführen oder durch Dritte durchführen zu lassen, um die Einhaltung der vertraglichen und gesetzlichen Datenschutzpflichten zu überprüfen.“ Es sollten auch Fristen für die Bereitstellung von Informationen oder die Ermöglichung von Inspektionen festgelegt werden.
- Kosten komplett auf Auftraggeber abgewälzt: Kostenklauseln sind zulässig, dürfen aber das Audit-Recht nicht faktisch aushöhlen. Wenn die Kosten für ein Audit so hoch sind, dass der Verantwortliche es sich nicht leisten kann, ist das Recht wertlos. Eine faire Regelung könnte sein, dass die Kosten für regelmäßige Audits vom Auftragsverarbeiter getragen werden oder dass eine Kostenbeteiligung vereinbart wird. Bei Audits, die aufgrund eines begründeten Verdachts auf einen Verstoß durchgeführt werden, sollten die Kosten vollständig vom Auftragsverarbeiter getragen werden, wenn sich der Verdacht bestätigt.
- Kein Recht auf Beauftragung Dritter: Art. 28 Abs. 3 lit. h DSGVO erlaubt ausdrücklich die Beauftragung externer Prüfer. Eine Klausel, die dies ausschließt, ist unwirksam. Der Auftragsverarbeiter kann jedoch ein berechtigtes Interesse daran haben, dass der beauftragte Dritte zur Vertraulichkeit verpflichtet ist und keine Wettbewerbsinteressen verfolgt. Dies sollte im AVV entsprechend geregelt werden. Eine Geheimhaltungsvereinbarung mit dem externen Auditor ist hier Standard.
Ein weiterer häufiger Fehler ist das Fehlen von Regelungen zur Behebung von Mängeln. Was passiert, wenn bei einem Audit Mängel festgestellt werden? Der AVV sollte klare Fristen und Prozesse für die Behebung von Mängeln vorsehen. Der Auftragsverarbeiter sollte verpflichtet sein, einen Maßnahmenplan vorzulegen und dessen Umsetzung zu dokumentieren. Bei schwerwiegenden Mängeln sollte der Verantwortliche das Recht haben, den Vertrag fristlos zu kündigen.
Die Kontrollpflichten des Verantwortlichen sind nicht nur eine rechtliche Notwendigkeit, sondern auch ein Ausdruck der Sorgfaltspflicht. Ein Urteil des EuGH (C-683/21) hat klargestellt, dass die Haftung des Verantwortlichen sich nicht auf Fälle erstreckt, in denen der Auftragsverarbeiter Daten für eigene Zwecke verarbeitet hat. Dies bedeutet jedoch nicht, dass der Verantwortliche keine Kontrollpflichten hat. Er muss sicherstellen, dass der Auftragsverarbeiter die Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen verarbeitet. Eine regelmäßige Überprüfung ist hier unerlässlich.
Zudem hat der EuGH (C-252/21) im Fall Meta/Facebook entschieden, dass die Einwilligungspflicht nicht durch andere Rechtsgrundlagen umgangen werden kann und die Beweislast beim Verantwortlichen liegt. Dies unterstreicht die Notwendigkeit, die Einhaltung der DSGVO durch den Auftragsverarbeiter genau zu prüfen und zu dokumentieren. Der Verantwortliche muss im Zweifelsfall beweisen können, dass er alle notwendigen Schritte unternommen hat, um die Einhaltung der Datenschutzvorschriften sicherzustellen.
Für weitere Informationen zur DSGVO und ihren Anforderungen können Sie die offizielle Seite dsgvo-gesetz.de besuchen. Auch die Webseite des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) bietet wertvolle Ressourcen und Orientierungshilfen. Für europäische Rechtsakte ist EUR-Lex eine umfassende Quelle.
Häufig gestellte Fragen
Wie oft muss ich den Auftragsverarbeiter auditieren?
Die DSGVO nennt keine Mindesthäufigkeit. Die Praxis empfiehlt: bei Vertragsabschluss, bei wesentlichen Änderungen der Verarbeitung und mindestens einmal jährlich. Bei hochriskanten Verarbeitungen (Art. 35 DSGVO) kann eine höhere Frequenz angemessen sein. Die Häufigkeit sollte sich am Risiko der Datenverarbeitung orientieren.
Kann der Auftragsverarbeiter das Audit ablehnen?
Nein. Das Audit-Recht nach Art. 28 Abs. 3 lit. h DSGVO ist nicht verhandelbar. Ein Auftragsverarbeiter, der jede Kontrolle verweigert, verletzt den AVV. In einem solchen Fall sollten Sie das Verhältnis überprüfen und ggf. eine Aufsichtsbehörde einschalten. Eine Verweigerung kann auch ein Indiz für mangelnde Compliance sein.
Was tun, wenn der Auftragsverarbeiter ISO 27001 hat? Reicht das?
ISO 27001 ist ein starkes Indiz für angemessene Sicherheitsmaßnahmen, aber kein vollständiger AVV-Audit-Ersatz. Sie sollten zumindest den Zertifizierungsumfang prüfen (deckt er Ihre spezifische Verarbeitung ab?) und sich die aktuellen Prüfberichte vorlegen lassen. Ergänzende Audits, wie Fragebogen-Audits, sind oft sinnvoll.
Welche Konsequenzen hat ein mangelhaftes Audit-Recht im AVV?
Ein mangelhaftes Audit-Recht kann dazu führen, dass der AVV unwirksam ist. Dies hat zur Folge, dass die gesamte Datenverarbeitung durch den Auftragsverarbeiter unzulässig ist. Der Verantwortliche kann dann gemäß Art. 82 DSGVO für entstandene Schäden haftbar gemacht werden, da er seine Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verletzt hat.
Wer trägt die Kosten für ein Audit?
Die Kostenverteilung für Audits sollte im AVV klar geregelt sein. Grundsätzlich ist es üblich, dass der Verantwortliche die Kosten für die Durchführung seiner Audits trägt. Bei festgestellten Mängeln oder bei Audits, die aufgrund eines begründeten Verdachts auf einen Verstoß durchgeführt werden, kann vertraglich vereinbart werden, dass der Auftragsverarbeiter die Kosten übernimmt. Dies ist eine Verhandlungssache, die jedoch das Audit-Recht nicht faktisch aushöhlen darf.
