Unterauftragsverarbeiter austauschen: Vorabinformation und Reaktionsfrist im Datenschutzvertrag

Tauscht ein Auftragsverarbeiter einen Unterauftragsverarbeiter aus, muss der Verantwortliche vorab eine echte Prüfungsmöglichkeit erhalten. Art. 28 Abs. 2 DSGVO verlangt Information über geplante Änderungen und eine angemessene Möglichkeit zum Widerspruch. Die Vertragsklausel muss deshalb einen nachvollziehbaren Informationsweg, eine Reaktionsfrist und die Folgen eines begründeten Widerspruchs abbilden.

Dieser Beitrag ordnet den Wechsel aus Sicht beider Rollen. Im Mittelpunkt stehen die Angaben zum neuen Dienstleister, die Prüfung von Datenzugriffen und Schutzmaßnahmen sowie die Weitergabe der Datenschutzpflichten nach Art. 28 Abs. 4 DSGVO. Die erstmalige Rollenqualifikation, internationale Übermittlungen als Hauptthema und Datenpannen bleiben abgegrenzt.

Der Auftragsverarbeiter muss zuerst klären, ob tatsächlich ein neuer Unterauftragsverarbeiter eingesetzt oder ein bestehender ausgetauscht werden soll. Eine neue Gesellschaft, ein neues Rechenzentrum, ein Wechsel der Supportorganisation oder eine veränderte Unterbeauftragung können den Datenfluss und die Zugriffslage verändern. Der Verantwortliche braucht deshalb konkrete Angaben zur Leistung, zum Standort, zu den betroffenen Daten und zum geplanten Beginn.

Art. 28 Abs. 2 DSGVO knüpft die Vorabinformation an geplante Änderungen bei hinzugezogenen weiteren Auftragsverarbeitern. Eine bloße Aktualisierung einer allgemein zugänglichen Anbieterliste ersetzt die vertraglich geschuldete Kommunikation nicht, wenn der Verantwortliche daraus weder den konkreten Wechsel noch seine Reaktionsmöglichkeit erkennen kann.

Der Beitrag zum SaaS-Vertrag und den Rollen hilft bei der vorgelagerten Rollenfrage. Hier geht es um den nachgelagerten Wechsel innerhalb einer bereits bestehenden Auftragsverarbeitung.

Die Mitteilung sollte den neuen Unterauftragsverarbeiter eindeutig identifizieren und seine konkrete Leistung beschreiben. Hinzu gehören der relevante Standort, die betroffenen Systeme, die Datenkategorien, die Art des Zugriffs und der geplante Zeitpunkt. Wenn der Wechsel mehrere Verarbeitungsschritte betrifft, muss die Mitteilung diese Unterschiede sichtbar machen.

Der Verantwortliche muss erkennen können, worin die Änderung gegenüber dem bisherigen Zustand besteht. Dafür können etwa eine aktuelle Liste der Unterauftragsverarbeiter, eine Änderungsbeschreibung, Nachweise zu Schutzmaßnahmen und ein Ansprechpartner zusammengehören. Die Unterlagen müssen die Prüfung ermöglichen und dürfen den Verantwortlichen nicht auf eine pauschale Vertrauensbekundung verweisen.

Die Vorabinformation wird mit einem belastbaren Versand- und Empfangsnachweis abgelegt. Der Auftragsverarbeiter sollte außerdem festhalten, wann die angemessene Reaktionsfrist beginnt und über welchen Kanal ein Widerspruch eingehen muss. So lassen sich spätere Streitfragen zum Zeitpunkt und Inhalt der Mitteilung vermeiden.

Der Verantwortliche vergleicht den geplanten Dienstleister mit dem bisherigen Unterauftragsverarbeiter. Zu prüfen sind insbesondere tatsächliche Datenzugriffe, Unterbringung, Fernzugriffe, Weitergaben, technische und organisatorische Maßnahmen, Löschung und Weisungsbindung. Die Prüfung muss sich auf den konkreten Verarbeitungsschritt beziehen und darf bei risikoreichen Datenflüssen nicht bei einem Zertifikat stehen bleiben.

Ein Widerspruch braucht einen nachvollziehbaren Bezug zur Datenschutzverarbeitung. Dafür können etwa ein unklarer Datenstandort, unzureichende Zugriffsbeschränkungen, fehlende Löschkontrollen oder eine Abweichung von den Weisungen maßgeblich sein. Der Verantwortliche hält Tatsachen, Unterlagen und gewünschte Abhilfe fest. Der Auftragsverarbeiter bewertet den Einwand anhand des Vertrags und der tatsächlichen Risiken.

Die Reaktionsfrist muss eine sachgerechte Prüfung ermöglichen. Eine unangemessen kurze Frist kann die vereinbarte Kontrollmöglichkeit praktisch entwerten. Der Vertrag sollte deshalb Fristbeginn, Kommunikationskanal, erforderlichen Inhalt eines Widerspruchs und den Umgang mit Rückfragen eindeutig beschreiben.

Nach Art. 28 Abs. 4 DSGVO muss der Auftragsverarbeiter dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten auferlegen, die im Vertrag mit dem Verantwortlichen festgelegt sind. Das betrifft die Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, geeignete Sicherheitsmaßnahmen, Unterstützung und die Rückgabe oder Löschung nach Ende der Leistung, soweit die jeweilige Pflicht anwendbar ist.

Die Kette darf daher nicht an der neuen Anbietervereinbarung enden. Der Auftragsverarbeiter prüft, ob der Untervertrag die erforderlichen Pflichten tatsächlich enthält und ob der Dienstleister sie praktisch erfüllen kann. Der Verantwortliche dokumentiert seinerseits, welche Nachweise er erhalten hat und welche offenen Punkte vor der Änderung geklärt wurden.

Ändert der neue Dienstleister den Datenfluss, müssen auch Verzeichnis, Sicherheitsdokumentation und gegebenenfalls Folgenabschätzung geprüft werden. Der Beitrag zum Verzeichnis nach Art. 30 DSGVO ergänzt die Dokumentationsperspektive.

Ein begründeter Widerspruch muss zu einer nachvollziehbaren Reaktion führen. Der Auftragsverarbeiter kann je nach Vertrag und Sachlage eine geeignete Alternative prüfen, Schutzmaßnahmen nachbessern oder den Wechsel aussetzen. Welche Lösung tragfähig ist, hängt vom konkreten Dienst, dem Risiko und der vereinbarten Leistungsstruktur ab.

Findet sich keine akzeptable Alternative, darf die weitere Zusammenarbeit nicht durch einen stillschweigenden Wechsel fortgesetzt werden. Der Vertrag sollte regeln, welche Leistungen vorübergehend weiterlaufen, welche Daten geschützt oder zurückgegeben werden und wie die Parteien die Beendigung oder Umstellung organisieren. Eine automatische Rechtsfolge darf nicht ohne Prüfung aus dem bloßen Schweigen des Vertrags abgeleitet werden.

Der Ablauf wird mit Entscheidung, Kommunikation, Fristen und tatsächlicher Umsetzung dokumentiert. Bei einer Datenpanne nach dem Wechsel gelten eigene Melde- und Unterstützungspflichten. Die Prüfung von Datenpannen beim Auftragsverarbeiter bleibt deshalb ein eigener Themenbereich.

Die Liste wird nur nachträglich geändert: Eine nachträgliche Veröffentlichung nimmt dem Verantwortlichen die vereinbarte Prüfungsmöglichkeit vor der Änderung.

Der Anbietername genügt als Information: Ohne Leistung, Zugriff, Standort und Zeitpunkt bleibt der Wechsel fachlich unklar.

Die Frist ist praktisch unbrauchbar: Eine sehr kurze Reaktionszeit verhindert eine ernsthafte Prüfung von Schutzmaßnahmen und Datenfluss.

Der Widerspruch bleibt folgenlos: Vertrag, Ansprechpartner und Alternativprozess müssen den Umgang mit einem begründeten Einwand abbilden.

Der Untervertrag wird nicht abgeglichen: Art. 28 Abs. 4 DSGVO verlangt die Weitergabe derselben Datenschutzpflichten an den weiteren Auftragsverarbeiter.

Erstellen Sie zunächst eine Änderungsakte mit bisherigem und neuem Dienstleister, Leistung, Datenkategorien, Standorten, Zugriffen und Beginn. Ergänzen Sie die Vorabinformation, den Versandnachweis, die vertragliche Frist und die zuständige Kontaktperson. Danach werden Schutzmaßnahmen, Untervertrag, Löschung, Weisungen und mögliche Alternativen geprüft.

Die Entscheidung enthält das Ergebnis der Prüfung und die Gründe für einen allfälligen Widerspruch. Nach der Umsetzung wird kontrolliert, ob Systeme, Berechtigungen, Datenstandorte und Unterlagen dem vereinbarten Zustand entsprechen. Änderungen am Unterauftrag werden erneut bewertet, sobald sich Leistung, Zugriff oder Risiko verändern. Für den strukturierten Dienstleistervergleich ist auch die Checkliste für Auftragsverarbeiter geeignet.

Wir prüfen die Änderungsmitteilung, den Datenfluss, den Untervertrag, die Schutzmaßnahmen, die Reaktionsfrist und den Umgang mit einem begründeten Widerspruch gemeinsam. Für die erste Einordnung helfen der bestehende Auftragsverarbeitungsvertrag, die aktuelle Dienstleisterliste, die neue Anbieterbeschreibung, die betroffenen Datenkategorien und die technischen Zugriffsinformationen. So lässt sich vor dem Wechsel klären, ob Information, Prüfung und Umsetzung zusammenpassen.