Auftragsverarbeitungsverträge und Unterauftragsverarbeiter

Jedes Tool, das Ihre Kundengespräche berührt — Ihr CRM, Ihr Hosting-Anbieter, der KI-Dienst, der Antworten entwirft —, verarbeitet diese Daten in Ihrem Auftrag. Ein Auftragsverarbeitungsvertrag, kurz AV-Vertrag, hält schriftlich fest, was damit erlaubt ist. Betreuen Sie Kunden in Europa, wird ein solcher Vertrag mit jedem dieser Anbieter erwartet, und die Rahmenwerke der Golfstaaten verlangen zunehmend Ähnliches. Dieser Artikel gehört zu Der ausführliche Leitfaden zu Datenschutz und Compliance auf WhatsApp und ist operative Orientierung, keine Rechtsberatung — klären Sie den konkreten Bedarf Ihres Unternehmens mit Ihrem eigenen Rechtsbeistand.

Die gute Nachricht: Ein AV-Vertrag ist ein weitgehend standardisiertes Dokument. Sie verhandeln ihn selten von Grund auf — die meisten ernsthaften Anbieter veröffentlichen ihren Text und bitten Sie, ihn zusammen mit den AGB zu akzeptieren. Die Arbeit besteht darin, vor dem Klick zu wissen, worauf Sie achten.

Was ein AV-Vertrag im Klartext regelt

Ein AV-Vertrag ist die schriftliche Vereinbarung zwischen dem Unternehmen, das entscheidet, warum Kundendaten erhoben werden, und dem Unternehmen, das diese Daten nach dessen Weisung verarbeitet. Er legt fest, wofür die Daten genutzt werden dürfen, wie lange sie bleiben, welche Sicherheitsmaßnahmen gelten, was im Schadensfall passiert und was mit den Daten geschieht, wenn Sie kein Kunde mehr sind. Ohne ihn hält ein Anbieter die Telefonnummern und Chatverläufe Ihrer Kunden ohne dokumentierte Grenzen dafür, was er damit tun darf.

Verantwortlicher oder Auftragsverarbeiter: Was sind Sie

In den meisten Fällen sind Sie der Verantwortliche. Sie haben entschieden, die Telefonnummer zu erheben, Sie haben die Kundin angeschrieben, Sie haben den Zweck festgelegt. Ihr CRM, Ihr Hosting-Anbieter und Ihr Analyse-Tool sind Auftragsverarbeiter, die auf Ihre Weisung handeln. Der Unterschied zählt, weil die Pflichten auseinandergehen: Beschwerden und Auskunftsanfragen landen beim Verantwortlichen. Fragt eine Kundin, was Sie über sie gespeichert haben, ist „das liegt beim Anbieter“ keine Antwort — Sie müssen die Daten herausholen können. Gelegentlich handelt ein Anbieter für einen schmalen Teil der Daten selbst als Verantwortlicher, etwa für Nutzungstelemetrie, und ein gut geschriebener Vertrag sagt das ausdrücklich, statt es offenzulassen.

Was Sie tatsächlich lesen sollten

Niemand liest einen AV-Vertrag von vorne bis hinten, und das ist auch nicht nötig. Fünf Abschnitte tragen das meiste Gewicht:

1. Zweckbindung — der Vertrag sollte festhalten, dass der Anbieter Ihre Daten nur zur Leistungserbringung und nach Ihren dokumentierten Weisungen verarbeitet, nicht zum Training von Modellen oder für eigene Produkte, sofern Sie dem nicht gesondert zugestimmt haben.
2. Sicherheitszusagen — achten Sie auf konkrete Maßnahmen wie Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und Verschwiegenheitspflichten der Mitarbeitenden, dazu vorhandene Zertifizierungen und deren letzte Prüfung.
3. Meldung von Vorfällen — es sollte eine benannte Frist geben, in der der Anbieter Sie über einen Vorfall informiert. Sie haben selbst eine Meldefrist einzuhalten, deshalb ist eine offene Formulierung ohne Stundenangabe eine Nachfrage wert.
4. Löschung bei Vertragsende — was mit Ihren Daten passiert, wenn Sie gehen: Löschung oder Rückgabe, in welchem Format, und wie lange Sicherungskopien danach noch bestehen.
5. Prüfrechte — ob Sie Nachweise dafür verlangen können, dass die Zusagen real sind, und ob das ein Fragebogen, ein unabhängiger Bericht oder eine echte Prüfung vor Ort bedeutet.

Die Liste der Unterauftragsverarbeiter wird gern übersprungen

Ihr Anbieter hat selbst Anbieter. Das gekaufte CRM läuft auf fremder Cloud-Infrastruktur, verschickt E-Mails über einen Zustelldienst, wickelt Zahlungen über einen Dienstleister ab und schickt Texte womöglich durch ein KI-Modell eines Dritten. Jeder davon ist ein Unterauftragsverarbeiter und damit ein weiteres Unternehmen mit einem gewissen Zugriff auf Ihre Kundendaten. Ein ernsthafter Anbieter veröffentlicht die Liste offen, benennt die Aufgabe jedes Eintrags und sagt, wo er arbeitet. Zögert jemand bei dieser Frage, werten Sie das als Signal. Aus der Liste erfahren Sie auch, welche Länder im Spiel sind — was direkt zu Datenresidenz: Wo Ihre Kundendaten liegen führt.

“

Wer nicht sagen kann, wer seine eigenen Dienstleister sind, kann auch nicht sagen, wohin Ihre Kundendaten gehen.

— be digital ai Team

Ein einfaches Verzeichnis führen

Dafür brauchen Sie keine Compliance-Software. Eine Tabelle, zweimal im Jahr durchgesehen, reicht den meisten kleinen und mittleren Unternehmen. Halten Sie zu jedem Tool fest, das Kundendaten berührt:

• Den Namen des Anbieters und wofür das Tool tatsächlich genutzt wird.
• Welche Datenarten es sieht — Telefonnummern, Chatinhalte, Zahlungsdaten, hochgeladene Dateien.
• Ob ein AV-Vertrag vorliegt und wo die akzeptierte Fassung abgelegt ist, damit Sie ein Jahr später nicht das Postfach durchsuchen.
• Wo der Anbieter die Daten speichert und welche Unterauftragsverarbeiter beteiligt sind.
• Wer intern für die Beziehung zuständig ist, damit die Durchsicht einen Namen hat.

Nachprüfen, wenn ein Anbieter seine Liste ändert

Diese Listen sind nicht in Stein gemeißelt. Anbieter wechseln Cloud-Regionen, nehmen einen KI-Dienst dazu oder tauschen den Zahlungsdienstleister aus. Die meisten Verträge verpflichten den Anbieter, vor dem Start eines neuen Unterauftragsverarbeiters zu informieren, oft mit einer Frist für Einwände. Diese Ankündigung kommt meist per E-Mail oder über eine abonnierbare Änderungsseite — also abonnieren und dorthin leiten, wo ein Mensch tatsächlich liest. Kommt eine Änderung, aktualisieren Sie Ihr Verzeichnis und prüfen Sie, ob sie etwas berührt, das Sie Kunden bereits zugesagt haben. Dieselbe Disziplin gilt für Ihre eigenen Nachweise darüber, wozu Kunden zugestimmt haben — deshalb passt Einwilligungsnachweise führen, die einer Prüfung standhalten gut daneben.

Ein spannender Nachmittag wird daraus nicht. Aber wenn eine Kundin, der Einkauf eines großen Interessenten oder eine Aufsichtsbehörde fragt, wer Zugriff auf die Gespräche hat, entscheidet ein gepflegtes Verzeichnis darüber, ob die Antwort zwei Minuten oder zwei Wochen dauert.