Ein aktualisierter Auftragsverarbeitungsvertrag ist nicht schon deshalb geprüft, weil die neue PDF im Vertragsordner liegt. Die entscheidende Frage lautet, ob die Änderung eine Annahme verändert, auf der die frühere Freigabe beruhte. Eine neue Unterauftragsverarbeiterliste kann etwa den genehmigten Zugriff, eine geänderte Sicherheitsanlage die Risikobewertung und eine überarbeitete Löschklausel das Ende der Verarbeitung betreffen. Dieser Beitrag liefert ein Vergleichsblatt, mit dem Verantwortliche die alte Entscheidung, den geänderten Text und die notwendige neue Handlung zusammenführen.
Der Überblick über Vertragsbestand und Werkzeuge steht im Beitrag zum AVV-Management. Hier geht es bewusst um einen einzelnen Änderungsvorgang. Maßstab sind insbesondere die Weisungs-, Sicherheits-, Unterauftrags- und Nachweispflichten aus Artikel 28 DSGVO. Welche Änderungen eine Unterschrift, ausdrückliche Genehmigung oder zusätzliche Prüfung auslösen, hängt vom Vertrag, vom gewählten Genehmigungsmodell und von der tatsächlichen Verarbeitung ab. Eine automatische Zustimmung durch Schweigen sollte niemand ohne Prüfung der vereinbarten Regel annehmen.
Den Ausgangspunkt vor dem Vergleich sichern
Sichern Sie die bisher wirksame Vertragsfassung einschließlich sämtlicher Anlagen und der Information, wann und von wem sie angenommen wurde. Ohne diese Referenz lässt sich nicht feststellen, ob der Anbieter nur eine redaktionelle Nummerierung oder eine materielle Pflicht geändert hat. Ein Dateiname wie „AVV_final_neu“ ist kein stabiler Versionsbeleg. Besser sind Dokumentenkennung, Versionsdatum, Empfangsdatum und ein unveränderter Ablageort für beide Fassungen.
Holen Sie die frühere Prüfentscheidung hinzu. Sie kann als Freigabevermerk, Lieferantenbewertung, E-Mail mit konkreten Bedingungen oder Eintrag in einem Vertragsregister vorliegen. Wichtig sind die damaligen Annahmen: Welche Daten wurden verarbeitet, welche Orte und Unterauftragsverarbeiter akzeptiert, welche Maßnahmen geprüft und welche offenen Punkte befristet hingenommen? Fehlt diese Begründung, kann der neue Text nicht verlässlich gegen eine frühere Entscheidung abgeglichen werden. Rekonstruieren Sie die Entscheidung aus vorhandenen Belegen und kennzeichnen Sie Unsicherheit, statt rückwirkend eine nie getroffene Freigabe zu behaupten.
Ordnen Sie den Vertrag dem tatsächlichen Dienst zu. Derselbe Anbieter kann mehrere Produkte, Gesellschaften und Anlagen verwenden. Prüfen Sie, ob Vertragspartei, Leistungsbezeichnung, betroffene Verarbeitung und Laufzeit zur Verwendung im Unternehmen passen. Der Grundlagenbeitrag zur Auftragsverarbeitung erklärt die Rollenabgrenzung; das Vergleichsblatt setzt voraus, dass die konkrete Leistung tatsächlich eine Verarbeitung im Auftrag betrifft. Eine Umbenennung des Produkts kann harmlos sein, eine neu eingeführte eigenständige Zweckbestimmung des Anbieters dagegen die Rolle verändern.
Ein Änderungsblatt mit vier Blickrichtungen anlegen
Erfassen Sie jede relevante Abweichung in einer Zeile mit vier Perspektiven: frühere Klausel und Freigabe, neue Klausel, praktische Auswirkung und notwendige Entscheidung. Ergänzen Sie betroffene Anlage, Seiten- oder Abschnittsnummer, Verantwortliche, Frist und Nachweis. Der Vergleich sollte sich auf tatsächlich geänderte Inhalte konzentrieren, aber auch Wechselwirkungen dokumentieren. Eine unveränderte Hauptklausel kann durch eine geänderte technische Anlage einen neuen Sinn bekommen.
| Feld | Frage für den Vergleich |
|---|---|
| Alte Grundlage | Welche konkrete Klausel, Anlage und frühere Annahme galten? |
| Neue Fassung | Was wurde hinzugefügt, gestrichen oder in den Umfang verschoben? |
| Betriebliche Wirkung | Ändern sich Daten, Zugriff, Ort, Frist, Kontrolle oder Dienstleister? |
| Prüfung | Welche Rechts-, Sicherheits- oder Fachfunktion muss erneut bewerten? |
| Entscheidung | Annehmen, nachverhandeln, Nutzung begrenzen oder Wechsel stoppen? |
| Beleg | Welche neue Version und welcher tatsächliche Betriebsnachweis tragen den Schluss? |
Vermeiden Sie den Sammelstatus „geprüft“. Ein solcher Status sagt nicht, welche Änderung gesehen und akzeptiert wurde. Kennzeichnen Sie stattdessen etwa „redaktionell ohne Auswirkung“, „rechtlich geklärt, technisch offen“ oder „Freigabe bis Nachweis ausgesetzt“. Die Kategorien sind interne Arbeitshilfen, keine gesetzlichen Klassifikationen. Sie sollen verhindern, dass ein fehlendes Dokument als Zustimmung oder eine angekündigte Maßnahme als bereits umgesetzt erscheint.
Bei einem umfangreichen Vergleich kann ein Text-Diff helfen, geänderte Wörter zu finden. Es ersetzt keine Bedeutungsprüfung: Verschobene Sätze, neue Verweise und ersetzte Anlagen sind im automatischen Vergleich leicht falsch einzuordnen. Prüfen Sie gerade definierte Begriffe und Verweisungen. Wenn etwa „Dienstleister“ durch „verbundene Unternehmen“ ersetzt wird, können Zugriffsmöglichkeiten betroffen sein, obwohl der übrige Absatz gleich aussieht. Halten Sie die Interpretation im Blatt fest und bitten Sie bei Unklarheit um eine nachvollziehbare Erläuterung des Anbieters.
Den Pflichtinhalt aus Artikel 28 erneut durchgehen
Vergleichen Sie Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Daten- und Betroffenenkategorien mit dem tatsächlich eingesetzten Dienst. Eine Erweiterung des Produkts um Analyse, KI-Unterstützung oder Supportzugriff sollte nicht über eine unveränderte allgemeine Vertragsüberschrift verschwinden. Fragen Sie, ob die neue Funktion schon genutzt wird, optional aktiviert werden kann oder erst künftig angeboten wird. Daraus folgt, ob Weisungen, Information der Betroffenen, Verzeichnis und Sicherheitsprüfung bereits jetzt anzupassen sind.
Prüfen Sie die Weisungsbindung und die Verpflichtung der befugten Personen auf Vertraulichkeit. Besonders aufmerksam sollten Sie bei neuen Rechten zur eigenen Nutzung der Daten, bei weit formulierten Verbesserungsklauseln und bei unbestimmten Offenlegungen sein. Nicht jede technische Auswertung ist automatisch ein eigener Zweck, doch der Vertrag muss die Rolle und die tatsächlichen Vorgänge verständlich beschreiben. Die Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter unterstützt diese Einordnung; ein Vertragstitel allein entscheidet sie nicht.
Auch die Unterstützungspflichten brauchen einen Funktionsvergleich. Kann der Anbieter Anfragen betroffener Personen weiterhin rechtzeitig zuordnen und beantworten helfen? Bleiben Verfahren für Datenschutzverletzungen und Datenschutz-Folgenabschätzungen erreichbar? Verlangt die neue Fassung für bisher eingeschlossene Hilfe zusätzliche Leistungen, prüfen Sie die Folgen für Fristen und Personal. Eine behauptete „Standardunterstützung“ ist wenig wert, wenn unklar ist, wer im Notfall reagiert und welche Daten tatsächlich geliefert werden können.
Die Pflicht zur Rückgabe oder Löschung nach Ende des Auftrags verdient eine eigene Zeile. Vergleichen Sie Wahlrecht des Verantwortlichen, Format der Rückgabe, Fristen, Sicherungskopien und dokumentierte Ausnahmen wegen gesetzlicher Speicherung. Ein neuer Vorbehalt für beliebige interne Zwecke kann die bisherige Schlussentscheidung verändern. Das AVV-Muster hilft beim Identifizieren typischer Vertragsteile; maßgeblich bleibt die konkrete unterschriebene Fassung und der tatsächlich mögliche Export oder Löschablauf.
Änderungen an Sicherheitsmaßnahmen praktisch prüfen
Bei einer neuen Anlage zu technischen und organisatorischen Maßnahmen genügt die Aussage „TOM aktualisiert“ nicht. Vergleichen Sie die einzelnen Maßnahmen mit der früheren Bewertung und der Architektur des genutzten Dienstes. Wurden Verschlüsselung, Schlüsselverwaltung, Protokollierung, Zugriffstrennung oder Wiederherstellung anders beschrieben? Ist ein Schutz gestrichen, ersetzt oder auf eine andere Partei verlagert worden? Der Verantwortliche benötigt nach Artikel 28 Absatz 1 hinreichende Garantien; Artikel 32 DSGVO verlangt eine risikogerechte Sicherheit der Verarbeitung. Ein neuer Text beweist seine Wirksamkeit nicht selbst.
Trennen Sie vertragliche Zusage und Betriebsnachweis. Wenn die bisherige Freigabe auf einer konkreten Verschlüsselung oder einer geprüften Wiederherstellungsübung beruhte, braucht der neue Abschnitt eine vergleichbare Erklärung oder einen neuen Nachweis. Nicht jede geänderte Formulierung ist eine Verschlechterung; ein präziseres und überprüfbares Verfahren kann die Lage verbessern. Halten Sie jedoch fest, welche Kontrolle den früheren Zweck nun erfüllt. Die TOM-Vorlage bietet eine Struktur, aber keine automatische Gleichwertigkeitsbescheinigung für einen Anbieter.
Prüfen Sie auch die Verantwortungsverteilung. Eine neue Anlage kann bestimmte Sicherungen als Kundeneinstellung ausweisen. Dann muss der Kunde wissen, ob sie aktiviert, administriert und überprüft werden. Ein Vertrag darf nicht stillschweigend einen Schutz voraussetzen, den niemand betreibt. Bitten Sie Fachverantwortliche um eine kurze Konfigurationsprüfung und dokumentieren Sie Version, Beobachtung und verbleibende Lücke. Falls die Änderung nur eine zukünftige Maßnahme ankündigt, bewerten Sie den aktuellen Zustand ohne diese Maßnahme.
Unterauftragsverarbeiter und Zugriffsorte getrennt betrachten
Artikel 28 Absatz 2 erlaubt den Einsatz weiterer Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung. Bei allgemeiner Genehmigung muss der Anbieter beabsichtigte Änderungen mitteilen und Gelegenheit zum Einspruch geben. Vergleichen Sie die neue Liste mit der früheren genehmigten Liste, der vereinbarten Ankündigungsfrist und dem betroffenen Dienst. Die Prüfliste für Unterauftragsverarbeiterwechsel vertieft den einzelnen Wechsel; im Vertragsvergleich geht es darum, ob die neue Vertragsfassung die bestehende Genehmigungsentscheidung überhaupt noch trägt.
Erfassen Sie je neuem Beteiligten Aufgabe, Gesellschaft, mögliche Daten und Zugriffsort. Der Sitz einer Gesellschaft sagt allein nicht, wo Daten verarbeitet oder aus der Ferne eingesehen werden. Umgekehrt bedeutet ein internationaler Konzernname nicht automatisch, dass bei Ihrem Dienst ein Drittlandzugriff stattfindet. Verlangen Sie eine konkrete Beschreibung der tatsächlichen Zugriffsmöglichkeiten. Prüfen Sie zusätzlich, ob der Hauptauftragsverarbeiter nach Artikel 28 Absatz 4 entsprechende Pflichten an die weitere Partei weitergibt und gegenüber dem Verantwortlichen verantwortlich bleibt.
Drittlandübermittlungen sind eine eigene Prüfung nach Kapitel V DSGVO. Ein AVV, eine SCC-Anlage und eine technische Maßnahme lösen verschiedene Fragen. Wenn sich Ort oder Zugriffsweg ändert, prüfen Sie die anwendbare Transfergrundlage und erforderliche ergänzende Bewertung anhand der tatsächlichen Konstellation. Die Standardvertragsklauseln im Überblick erklären den Mechanismus. Pauschale Aussagen wie „US-Muttergesellschaft bedeutet immer SCC“ oder „EU-Rechenzentrum schließt jede Übermittlung aus“ sind als Entscheidungsgrundlage ungeeignet.
Informations-, Audit- und Nachweisklauseln abgleichen
Artikel 28 Absatz 3 Buchstabe h verpflichtet den Auftragsverarbeiter, notwendige Informationen zum Nachweis seiner Pflichten bereitzustellen und Audits einschließlich Inspektionen zu ermöglichen und dazu beizutragen. Prüfen Sie, ob die neue Fassung die Reichweite praktisch verändert: Welche Informationen sind verfügbar, in welcher Frist, für welche Systeme und unter welchen Vertraulichkeitsbedingungen? Eine Sicherheitsbescheinigung kann ein nützlicher Beleg sein, muss aber den genutzten Dienst, die relevante Zeit und die offene Kontrollfrage abdecken.
Ein Anbieter kann berechtigte Schutzanforderungen für andere Kunden und seine Infrastruktur festlegen. Das macht jede Auditregel nicht automatisch problematisch. Problematisch wird eine Änderung, wenn die vertraglich zugesicherte Überprüfung faktisch leerläuft oder ein für die frühere Freigabe wesentlicher Nachweis nicht mehr zugänglich ist. Beschreiben Sie die konkrete Lücke und vereinbaren Sie einen überprüfbaren Ersatz. Der Beitrag zum Datenschutz-Audit hilft bei der Auswahl zwischen Dokumentenprüfung, Gespräch und technischer Kontrolle.
Benachrichtigungen über Verletzungen sollten ebenfalls zur eigenen Reaktionspflicht passen. Artikel 33 Absatz 2 verlangt, dass der Auftragsverarbeiter den Verantwortlichen unverzüglich nach Kenntnisnahme einer Verletzung des Schutzes personenbezogener Daten benachrichtigt. Prüfen Sie, ob neue Kontaktwege, Meldeinhalte oder Eskalationsstellen die schnelle Bewertung ermöglichen. Eine kommerzielle Standardfrist sollte nicht unbesehen als Ersatz für den gesetzlichen Maßstab gelesen werden. Ein durchgespielter Kontaktweg ist stärker als eine bloße Adresse im Anhang.
Ein Beispiel vom geänderten Vertrag bis zur Entscheidung
Ein fiktiver Anbieter einer Personalplattform ersetzt seine Sicherheitsanlage und meldet einen neuen Supportdienst. Die alte Freigabe erlaubte Support nur aus dem Europäischen Wirtschaftsraum, verlangte rollenbezogene Zugriffe und stützte sich auf eine jährliche Wiederherstellungsprobe. Die neue Anlage beschreibt weiterhin Rollen, nennt aber für Notfälle einen zentralen Supportzugang; die Wiederherstellungsprobe ist nur noch für die Plattform insgesamt erwähnt. Das Änderungsblatt erhält deshalb zwei fachliche Fragen und eine Transferfrage, nicht bloß die Markierung „neue Anlage erhalten“.
Die IT prüft, ob der Notfallzugang personenbezogen, befristet und protokolliert ist. Der Fachbereich klärt, welche Personaldaten Support sehen könnte und ob der Zugang im genutzten Tarif überhaupt besteht. Die Vertragsstelle verlangt die konkrete Beschreibung des neuen Supportunternehmens und des möglichen Orts eines Fernzugriffs. Erst danach kann beurteilt werden, ob die bisherige Freigabe unverändert gilt, an Bedingungen gebunden wird oder neu entschieden werden muss. Bis zum Abschluss kann eine technisch durchsetzbare Zugriffsbeschränkung sinnvoll sein; sie darf nicht als bereits bestehender Schutz behauptet werden.
Der Anbieter liefert eine neue Protokollbeschreibung und den Nachweis einer auf das relevante System bezogenen Übung. Es zeigt sich, dass der neue Support nur nach Freigabe eines namentlichen Mitarbeiters zugreifen kann und der Zugriff aus dem vereinbarten Gebiet erfolgt. Das Unternehmen dokumentiert diese Feststellungen, passt die Kontaktliste an und akzeptiert die Vertragsänderung mit einem Termin zur erneuten Kontrolle. Wäre die Ortsfrage offen geblieben, wäre „angenommen“ keine belegte Schlussfolgerung. Ein offener Punkt braucht Eigentümer, Frist und Betriebsbedingung.
Fristen und Entscheidung ohne Scheinautomatik festhalten
Ermitteln Sie zuerst die konkrete vertragliche Änderungsregel: Mitteilung, Wirksamkeitsdatum, Widerspruchsmöglichkeit und die Form erforderlicher Zustimmung. Diese Frist ist kein allgemeiner DSGVO-Standard. Legen Sie intern einen früheren Entscheidungstermin fest, damit Sicherheits- und Fachfragen vor dem vertraglichen Stichtag beantwortet werden können. Wenn die Unterlagen zu spät kommen, dokumentieren Sie die Bitte um Aufschub oder die Entscheidung, eine Funktion bis zur Klärung nicht zu nutzen.
Die abschließende Entscheidung sollte jede materielle Änderung aufgreifen. Ein mögliches Ergebnis ist „redaktionelle Änderung ohne Auswirkung“, ein anderes „Annahme nach Nachweis“, „Nachverhandlung“ oder „Ablehnung und Ausstiegsprüfung“. Benennen Sie die entscheidende Person und die Grundlage ihrer Befugnis. Eine Rechtsfunktion kann eine Klausel bewerten, die IT eine Konfiguration prüfen und der Fachbereich die Nutzung erklären; keine einzelne Unterschrift sollte fehlende Tatsachen verdecken. Dokumentieren Sie abweichende Einschätzungen und den Grund, weshalb eine Variante gewählt wurde.
Nach der Entscheidung aktualisieren Sie nur die betroffenen Arbeitsunterlagen: Lieferantenakte, Verzeichnis, Transferprüfung, Sicherheitsbewertung, Kontakte und gegebenenfalls Lösch- oder Ausstiegsplan. Für jede Änderung sollten alter Stand, neuer Stand und wirksames Datum erkennbar bleiben. Die Vertragsverwaltung bietet dafür den Bestand; das Vergleichsblatt erklärt die konkrete Neubewertung. Bei der nächsten Vertragsänderung beginnt die Prüfung wieder beim dann gültigen Stand, nicht bei der ursprünglichen Erstfassung.
Ein letzter Kontrollschritt ist die Rückleseprobe. Geben Sie einer Person, die nicht an der Verhandlung beteiligt war, alte und neue Fassung sowie das Blatt. Sie sollte nachvollziehen können, was sich geändert hat, welche Belege geprüft wurden, welche Punkte offen blieben und wann der Dienst unter welchen Bedingungen weiter genutzt werden durfte. Wenn dafür mündliche Erinnerungen nötig sind, ist die Akte noch nicht abschließend. Diese Probe macht den Unterschied zwischen abgelegter Vertragsversion und einer tatsächlich überprüfbaren Entscheidung sichtbar.
Den Änderungsvergleich bei mehreren Diensten wiederverwenden
Ein globaler Anbieter verwendet häufig dieselbe Vertragsvorlage für unterschiedliche Leistungen. Trotzdem sollte das Ergebnis nicht ungeprüft auf alle Dienste übertragen werden. Für die Personalplattform kann ein neuer Supportzugang kritisch sein, während er bei einem Dienst ohne personenbezogene Inhalte keine gleiche Auswirkung hat. Umgekehrt kann eine unveränderte Sicherheitsanlage für einen neu eingeführten Analysebaustein zu allgemein sein. Erfassen Sie deshalb im Vergleichsblatt die betroffenen Dienste und Verarbeitungstätigkeiten ausdrücklich. Eine gemeinsame rechtliche Klauselprüfung lässt sich wiederverwenden; die Bewertung von Zugriff, Daten, Zweck und technischer Umsetzung bleibt dienstbezogen.
Auch die zeitliche Übernahme braucht eine Grenze. Wenn eine neue Fassung am Monatsende wirksam wird, ein Teil der Unternehmensgruppe aber erst später migriert, können alte und neue Vertragsstände parallel relevant sein. Hinterlegen Sie je Einheit und Dienst, welche Fassung ab wann gilt. So lässt sich bei einem Vorfall oder einer Anfrage nachvollziehen, welche Weisung und welcher Kontaktweg zum fraglichen Zeitpunkt maßgeblich waren. Verknüpfen Sie die Entscheidung mit der konkreten Akte, statt nur die neueste Vorlage als vermeintlich stets gültig zu speichern.