Klotzkette AVV-Mindestinhalte nach Art. 28 Abs. 3 DSGVO – Klauselcheckliste
Zweck / Purpose
Pflichtinhalte-Checkliste für Auftragsverarbeitungsvertraege nach Art. 28 Abs. 3 DSGVO – Klausel für Klausel mit Soll-Position, Fallback und Prüfkriterium. Purpose (EN): Mandatory-content checklist for DPAs under Art. 28 (3) GDPR, clause by clause.
Wann dieses Modul hilft
- Beim Drafting eines neuen AVV ist sicherzustellen, dass alle acht Pflichtinhalte vollstaendig sind.
- Beim Auditing eines vorgelegten AVV ist zu prüfen, ob jede Pflichtklausel ihren Mindestanforderungen genuegt.
- Bei Aufsichtsbehoerden-Prüfungen ist der vollstaendige Pflichtkatalog nachweisbar zu dokumentieren.
Rechtlicher Rahmen
- Art. 28 Abs. 3 Satz 1 DSGVO: Vertrag oder anderes Rechtsinstrument in Schriftform, einschliesslich elektronisch.
- Art. 28 Abs. 3 Satz 2 DSGVO: Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenkategorien und Kategorien Betroffener, Pflichten und Rechte des Verantwortlichen.
- Art. 28 Abs. 3 Satz 2 lit. a bis h DSGVO: Acht Pflichtklauseln.
Ablauf / Checkliste
Rahmenangaben (Art. 28 Abs. 3 Satz 2 DSGVO)
| Pflichtangabe | Prüfkriterium |
|---|---|
| Gegenstand der Verarbeitung | Konkret benannt, nicht "Datenschutz allgemein" |
| Dauer | Vertragslaufzeit, ggf. Verlaengerung |
| Art und Zweck | Operative Funktion und Geschäftszweck |
| Art der personenbezogenen Daten | Datenarten katalogisiert (Stammdaten, Verkehrsdaten, Inhaltsdaten, besondere Kategorien Art. 9 DSGVO) |
| Kategorien Betroffener | Mitarbeiter, Mandanten, Kinder, Patienten etc. |
| Pflichten und Rechte des Verantwortlichen | Mindestens Weisungsrechte, Kontrollrechte, Beendigungsrechte |
Die acht Pflichtklauseln (Art. 28 Abs. 3 Satz 2 lit. a bis h DSGVO)
lit. a – Weisungsgebundenheit. Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, einschliesslich Drittlandtransfer. Auditfrage: Wer fuehrt das Weisungsregister?
lit. b – Vertraulichkeit. Personen, die zur Verarbeitung befugt sind, haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Auditfrage: Liegen Vertraulichkeitserklaerungen vor?
lit. c – Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO). Auftragsverarbeiter trifft alle erforderlichen Maßnahmen nach Art. 32 DSGVO. Auditfrage: TOM-Anlage aktuell und konkret? (Querverweis: avv-tom-art-32-dsgvo-anlage)
lit. d – Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO). Einsatz nur mit allgemeiner oder besonderer schriftlicher Genehmigung; bei allgemeiner Genehmigung Informationspflicht über geplanten Wechsel. Auditfrage: Aktuelle Liste vorhanden? Widerspruchsfrist angemessen?
lit. e – Unterstuetzung Betroffenenrechte (Art. 12 bis 23 DSGVO). Geeignete technische und organisatorische Maßnahmen, um Erfuellung der Betroffenenrechte zu unterstuetzen (Auskunft, Loeschung, Berichtigung, Datenuebertragbarkeit). Auditfrage: SLA für Betroffenenanfragen?
lit. f – Unterstuetzung Art. 32 bis 36 DSGVO. Unterstuetzung bei TOM, Meldepflicht (Art. 33 DSGVO), Benachrichtigung Betroffener (Art. 34 DSGVO), DSFA (Art. 35 DSGVO), Konsultation Aufsichtsbehoerde (Art. 36 DSGVO). Auditfrage: Meldewege definiert?
lit. g – Loeschung oder Rueckgabe. Nach Wahl des Verantwortlichen alle personenbezogenen Daten loeschen oder zurueckgeben nach Ende des Auftrags, ausser gesetzliche Aufbewahrungspflichten. Auditfrage: Format der Rueckgabe definiert? (Querverweis: avv-loeschung-rueckgabe-nach-vertragsende)
lit. h – Audit und Nachweis. Alle erforderlichen Informationen zum Nachweis bereitstellen; Überprüfungen einschliesslich Inspektionen durch Verantwortlichen oder Prüfer ermoeglichen. Auditfrage: Frequenz, Form, Kosten geregelt? (Querverweis: avv-audit-und-kontrollrechte)
Mustertext / Template
Konsolidierte Pflichtklausel-Liste (Kurzform für Vertragsanlage):
§ X Pflichten des Auftragsverarbeiters
(1) Weisungsgebundenheit (Art. 28 Abs. 3 lit. a DSGVO).
(2) Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
(3) Technische und organisatorische Massnahmen gemaess Anlage TOM (Art. 28 Abs. 3 lit. c i.V.m. Art. 32 DSGVO).
(4) Sub-Auftragsverarbeiter nach Massgabe von § Y (Art. 28 Abs. 3 lit. d i.V.m. Abs. 2 und Abs. 4 DSGVO).
(5) Unterstuetzung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO).
(6) Unterstuetzung bei Sicherheit, Meldepflicht, Benachrichtigung, DSFA, Vorabkonsultation (Art. 28 Abs. 3 lit. f DSGVO).
(7) Rueckgabe oder Loeschung nach Vertragsende gemaess Anlage Loeschkonzept (Art. 28 Abs. 3 lit. g DSGVO).
(8) Audit- und Kontrollrechte gemaess § Z (Art. 28 Abs. 3 lit. h DSGVO).
Typische Drafting-Fehler
- Rahmenangaben fehlen oder sind zu allgemein ("Daten unserer Kunden").
- lit. a wird auf "Vertragserfuellung" reduziert ohne Weisungsregister.
- lit. b wird mit allgemeiner Geheimhaltungsklausel verwechselt; spezifische Vertraulichkeit für Verarbeitungsbefugte fehlt.
- TOM-Anlage (lit. c) ist Marketingbroschuere statt konkrete Maßnahmen.
- lit. d lässt Sub-AV-Wechsel ohne Widerspruchsfrist zu.
- lit. e ohne SLA und ohne Kostenregelung.
- lit. g ohne klare Wahlmoeglichkeit (Loeschung oder Rueckgabe) und ohne Format.
- lit. h verweist auf Zertifikate, ohne eigenes Audit-Recht zuzulassen.
Quellen Stand 06/2026
- Art. 28 Abs. 3 DSGVO – Pflichtinhalte des Vertrags.
- Art. 28 Abs. 2, Abs. 4 DSGVO – Sub-Auftragsverarbeiter.
- Art. 28 Abs. 9 DSGVO – Schriftform inklusive elektronisch.
- Art. 29 DSGVO – Weisungsgebundenheit.
- EDSA-Leitlinien 07/2020 – Final 07.07.2021; abrufbar über edpb.europa.eu.
- Zitierweise:
../../../references/zitierweise.md.