---
title: "Welche Datenschutzklauseln verändern die angebotene Leistung?"
description: "Prüfen Sie die Datenschutzanlage gegen den geplanten Betrieb. Klären Sie Änderungen an Zugriffen, Dienstleistern und Löschung vor der Angebotsfreigabe."
canonical: "https://zephior.com/de/insights/review-a-tender-data-processing-schedule"
last-updated: 2026-09-06
---

# Welche Datenschutzklauseln verändern die angebotene Leistung?

> Prüfen Sie die Datenschutzanlage gegen den geplanten Betrieb. Klären Sie Änderungen an Zugriffen, Dienstleistern und Löschung vor der Angebotsfreigabe.

Von [Tony Kim](https://zephior.com/de/authors/tony-kim). Veröffentlicht 2026-09-06; aktualisiert 2026-09-06. 14 Min. Lesezeit.

## Definition

Eine Datenschutzanlage verändert die angebotene Leistung, wenn eine ihrer Pflichten andere Verarbeitungsvorgänge, Betriebsabläufe, Dienstleister, Ressourcen oder kaufmännische Zusagen verlangt. Das Prüfergebnis ist ein klauselscharfer Abweichungsnachweis: ausgegebene Anforderung, betroffene Leistung, vorhandener Beleg, notwendige Änderung, Aufwand, Terminfolge, offene Rechtsfrage und Freigabe. Er trennt bereits verfügbare Fähigkeiten von geplanten Anpassungen. Die rechtliche Einordnung der Beteiligten und des anwendbaren Rechts gehört in die qualifizierte Datenschutzprüfung. Betrieb und kaufmännische Leitung bewerten, ob die geprüfte Leistung unter diesen Bedingungen erbracht werden kann.

## Problem

Das Angebot nennt einen europäischen Hostingstandort und fügt den üblichen Auftragsverarbeitungsvertrag bei. Die Anlage des Auftraggebers beschränkt aber auch Supportzugriffe, verlangt vorherige Zustimmung zu weiteren Verarbeitern, setzt kurze Meldefristen und fordert die Löschung sämtlicher Kopien nach Vertragsende. Das gewöhnliche Betriebsmodell erfüllt einige dieser Zusagen nicht. Ohne Abgleich würde der Vertrag eine andere Leistung binden als die Kalkulation vorsieht.

## Perspektive

Beginnen Sie bei der betrieblichen Wirkung der ausgegebenen Klausel. Dieser Leitfaden prüft das Verhältnis zwischen Datenschutzbedingungen und angebotener Leistung auf Grundlage der EU-DSGVO; Quellenstand ist der 6. September 2026. Andere Rechtsordnungen, Fachgesetze und besondere Vorgaben öffentlicher Stellen benötigen eigene Prüfung. Alle Fälle sind erfunden und beschreiben weder Zephior-Systeme noch Kunden. Die Zuordnung von Belegen zu Datenschutzfragen ist eine andere Aufgabe: Hier wird entschieden, welche Änderungen ein konkreter Vertragsentwurf verlangt. Der Nachweis ersetzt weder Rechtsgutachten noch Transferprüfung, ausführliche Auditbewertung oder Abschlussvollmacht.

## Die ausgegebene Anlage braucht ein eindeutig bestimmtes Gegenstück

Lesen Sie die Datenschutzanlage zusammen mit ihren Verweisen. Sicherheitsrichtlinie, Aufbewahrungstabelle, Lieferantenbedingungen und Hauptvertrag können zusätzliche Pflichten enthalten. Erfassen Sie Fassung, Fundstelle und ausdrücklich geregelte Rangfolge. Folgen Sie Verweisen bis in Anhänge und veröffentlichte Antworten. Fehlt eine Anlage oder widersprechen sich zwei Pflichten, bleibt dieser Punkt offen. Der Standardvertrag des Bieters füllt die Lücke nicht eigenmächtig.

Definieren Sie daneben das konkrete Angebot: Rechtsträger, Produktvariante, optionale Funktionen, Leistungsorte, Supportorganisation, fremdvergebene Tätigkeiten und Beginn. Ein Architekturbeleg für eine andere Variante reicht nicht aus. Kennzeichnen Sie vorhandene Funktion, mögliche Konfiguration, erforderliche Entwicklung und Zustimmung eines Dritten getrennt. Vertrauliche technische oder vertragliche Nachweise werden über zugriffsgeschützte Referenzen eingebunden, nicht in einen breit verteilten Prüfauszug kopiert.

Artikel 28 DSGVO regelt Inhalt und Pflichten einer Auftragsverarbeitungsvereinbarung im Anwendungsbereich der Verordnung. Daneben kann die Ausschreibung konkrete oder engere Betriebsbedingungen vorgeben. Halten Sie die Herkunft auseinander: Eine Meldung binnen acht Stunden kann eine Vorgabe dieser Anlage sein, ohne eine allgemeine DSGVO-Frist darzustellen. Eine vertragliche Beschränkung auf bestimmte Länder bleibt zu prüfen, selbst wenn rechtliche Beratung für einen Transfer grundsätzlich einen zulässigen Mechanismus feststellt.

Jede Abweichung erhält eine feste Kennung. Erforderlich sind Klausel, Pflicht, betroffener Vorgang, Ist-Beleg, Unterschied, Behandlung, Zuständigkeit, Fälligkeit, Kosten, Entscheidung, gesperrte Handlung und Anlass zur erneuten Prüfung. Das Ergebnis soll eine konkrete Leistungsentscheidung ermöglichen. Ein Anteil ähnlich formulierter Klauseln sagt darüber wenig aus.

**Mindestinhalt des Abweichungsnachweises**

| Feld | Eintrag | Grund für einen offenen Status |
| --- | --- | --- |
| Ausgegebene Pflicht | Fassung, Fundstelle, verpflichtete Partei, Handlung und Frist | Anhang fehlt oder Rangfolge ist ungeklärt |
| Betroffener Betrieb | Leistungsvorgang mit passendem Ist-Nachweis | Beleg betrifft eine andere Produktvariante |
| Behandlung | Konfiguration, Anpassung, Frage, Vorbehalt oder Sperre | Zustimmung eines Dienstleisters steht aus |
| Freigabegrundlage | Verantwortlicher, finanzierter Aufwand, Nachweis und Vollmacht | Es gibt nur eine mündliche Vertriebszusage |

## Die Rolle folgt dem Vorgang, nicht der Überschrift

Füllen Sie die Verarbeitungsbeschreibung anhand der vorgesehenen Nutzung aus: Gegenstand, Dauer, Vorgänge, Zwecke, Datenarten und betroffene Personengruppen. Auch ungewöhnliche Eingaben gehören dazu, etwa Gesundheitsangaben in einem Supportanhang, sofern die Leistung solche Angaben zulässt. Ein leerer Anhang oder die Angabe sämtliche Kundendaten verdeckt den zu prüfenden Umfang. Fehlende Nutzungsangaben gehen über den befugten Kanal an den Auftraggeber; Rechtsgrundlagen und besondere Datenkategorien an die Datenschutzberatung. Die unterschriebene AVV allein belegt keine rechtmäßige Datenerhebung.

Auch eine Anlage, die den Anbieter durchgehend Auftragsverarbeiter nennt, braucht eine Sachverhaltsprüfung. Trennen Sie Fachverarbeitung, Supportanfragen, Produkttelemetrie, Missbrauchsabwehr, Abrechnung und geplante Weiterverwendung. Halten Sie fest, wer den jeweiligen Zweck und die wesentlichen Parameter bestimmt. Die EDSA-Leitlinien 07/2020 verstehen die Rollen funktional und tätigkeitsbezogen. Eine Vertragsbezeichnung entscheidet einen widersprechenden Sachverhalt nicht.

Ein fiktiver Anbieter für kommunale Terminvergabe wertet in einer optionalen Funktion identifizierbare Nutzungsverläufe über mehrere Auftraggeber hinweg aus. Die Ausschreibung erlaubt aber nur weisungsgebundene Verarbeitung für die Terminvergabe. Die Prüfung muss diesen Unterschied benennen. Denkbar sind Abschaltung im konkreten Angebot, ein anderer Verarbeitungsentwurf oder eine qualifizierte Prüfung des gesonderten Zwecks. Das Wort Telemetrie und der Austausch von Namen gegen Kennungen lösen die Frage nicht.

Machen Sie den Weisungsweg ausführbar: Wer darf beim Auftraggeber Weisungen erteilen, wer nimmt sie an, wie wird die Berechtigung geprüft und wie wird eine dringende Anweisung dokumentiert? Trennen Sie Verarbeitungsvorgabe und kaufmännische Leistungsänderung. Eine Preisfrage erlaubt keine Missachtung gesetzlicher Pflichten; eine Weisung ist umgekehrt keine automatische Entwicklungsbeauftragung. Bestehen Zweifel an der Rechtmäßigkeit, werden die zuständigen Datenschutz- und Rechtsverantwortlichen vor der Ausführung eingeschaltet. Artikel 28 Absatz 3 sieht eine Information des Verantwortlichen vor, wenn der Auftragsverarbeiter eine Weisung für rechtswidrig hält.

## Empfänger und Zugriff sind genauer als ein Hostingversprechen

Die Verarbeitungskette muss die Zusagen des Hauptauftragnehmers tatsächlich tragen können. Artikel 28 Absatz 4 verlangt die Weitergabe der einschlägigen Datenschutzpflichten an weitere Auftragsverarbeiter; der erste Auftragsverarbeiter bleibt dem Verantwortlichen für deren Pflichterfüllung verantwortlich. Vergleichen Sie die relevanten Verträge mit der angebotenen Anlage, insbesondere Vertraulichkeit befugter Personen, Unterstützung, Sicherheit, Auditmitwirkung und Löschung. Die Genehmigung einer Beauftragung beweist noch nicht, dass Vertrag und Leistung dieses Dienstleisters die Pflichten abdecken.

Verfolgen Sie Daten durch Fachbetrieb, Supportanhänge, Diagnose, Nachrichtenversand, Sicherung, Notfallwiederherstellung und Export. Nennen Sie für jeden Übergang die empfangende Rechtseinheit, Tätigkeit, Speicherorte und tatsächlichen Zugriffsorte. Erfassen Sie auch, unter welchen Voraussetzungen Zugriff möglich wird. Seltene Einsichtnahme durch einen Supportdienstleister ist nicht automatisch unerheblich. Die Standortangabe im Angebot darf nur den belegten Umfang beanspruchen.

Artikel 28 unterscheidet die vorherige gesonderte und die allgemeine schriftliche Genehmigung weiterer Auftragsverarbeiter. Bei allgemeiner Genehmigung gehören Information über beabsichtigte Hinzunahme oder Ersetzung und eine Einspruchsmöglichkeit dazu. Übersetzen Sie die ausgegebene Regel in Termine und Verantwortlichkeiten. Reicht die Vorankündigung des eigenen Dienstleisters nicht für die Frist des Auftraggebers, braucht es eine belastbare Vereinbarung, einen alternativen Leistungspfad oder eine zulässige Behandlung im Vergabeverfahren.

Die EDSA-Stellungnahme 22/2024 behandelt Transparenz der Verarbeitungskette und hinreichende Garantien. Sie sieht unter anderem vor, dass dem Verantwortlichen die Identitäten der beteiligten Verarbeiter verfügbar bleiben. Trennen Sie im Angebotsnachweis diese Information vom Genehmigungsstatus. Die Nennung auf einer Internetseite belegt nicht, dass dieser Auftraggeber diese Einheit für die konkrete Tätigkeit genehmigt hat. Geschützte Kontaktdaten und Vertragsnachweise gehören in den vorgesehenen Prüfkanal.

Für Transferfragen sind die Beteiligten und Umstände entscheidend. Die EDSA-Leitlinien 05/2021 unterscheiden die Offenlegung gegenüber einer anderen verantwortlichen oder auftragsverarbeitenden Einheit im Drittland vom Zugriff eines Beschäftigten innerhalb derselben Einheit; Sicherheitsanforderungen bleiben relevant. Lassen Sie den tatsächlichen Datenfluss rechtlich einordnen. Die Klauseln nach Beschluss 2021/915 erfüllen für sich allein nicht die Anforderungen von Kapitel V. Ein zulässiger Transfermechanismus beseitigt außerdem keine strengere Ortsbeschränkung des konkreten Vertrags.

## Meldung und Unterstützung brauchen ausführbare Abläufe

Ordnen Sie geforderte Sicherheitsmaßnahmen der angebotenen Leistung zu. Kundenseitig kontrollierte Schlüssel, getrennte Datenbestände, bestimmte Testzyklen oder Wiederherstellungsziele brauchen Komponente, Konfiguration, Zuständigkeit und Nachweis. Prüfen Sie, ob Produktvariante und Preis die Funktion enthalten. Artikel 32 DSGVO verlangt dem Risiko angemessene Maßnahmen. Ein Zertifikat weist nicht automatisch eine zusätzliche technische Bedingung des Auftraggebers nach.

Bei Vorfällen müssen Auslöser, Meldeempfänger und erwarteter Inhalt jeder Meldestufe feststehen. Artikel 33 Absatz 2 verlangt die unverzügliche Information des Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten. Die qualifizierte 72-Stunden-Regel zur Aufsichtsbehörde betrifft den Verantwortlichen nach Absatz 1. Der Vertrag kann frühere oder weiter gefasste Mitteilungen verlangen. Testen Sie die Erstmeldung nachts: Wer ist berechtigt, welcher Kanal funktioniert, wie werden fehlende Fakten gekennzeichnet und wann folgt die Aktualisierung?

Unterstützung bei Betroffenenrechten und Folgenabschätzungen bindet ebenfalls Kapazität. Verfolgen Sie ein Ersuchen vom Eingang über Berechtigungsprüfung, Datensuche, Zusammenstellung und Qualitätskontrolle bis zur geschützten Übergabe. Die Entscheidung des Auftraggebers bleibt bei ihm; Datensätze anderer Personen dürfen nicht beiläufig mitgegeben werden. Kalkulieren Sie einen gewöhnlichen Umfang und einen begrenzten Spitzenfall. Verlangt die Anlage Unterstützung ohne Zusatzentgelt, muss der Angebotspreis den dazugehörigen Aufwand tragen.

Prüfen Sie Auditmitwirkung hier so weit, dass Leistungslücken sichtbar werden. Sind Informationen und Zugänge nach Artikel 28 Absatz 3 Buchstabe h und der Anlage beschaffbar, ohne andere Kunden unzulässig offenzulegen? Fehlende Providerzugänge und kollidierende Geheimhaltungspflichten erhalten einen offenen Punkt. Das genaue Inspektionsverfahren und Abhilferegeln gehören in die vertiefte Prüfung der Auditrechte. Ein guter Prüfbericht ersetzt kein vereinbartes Besichtigungsrecht ohne entsprechende Grundlage.

**Vier Ablauftests für die Angebotskalkulation**

| Pflicht | Prüffall | Benötigter Beleg |
| --- | --- | --- |
| Erstmeldung | Meldepflichtiger Vorfall außerhalb der Bürozeit | Berechtigter Absender, Kanal, Uhr und Umgang mit fehlenden Fakten |
| Betroffenenunterstützung | Daten liegen im Fachsystem und im Supportverlauf | Suchumfang, Prüfer, sichere Ausgabe und Aufwand |
| Dienstleisterwechsel | Der Provider kündigt mit zu kurzer Frist an | Einspruchsfenster und verfügbare Alternative |
| Prüfzugang | Angeforderte Informationen betreffen gemeinsam genutzte Infrastruktur | Zulässige Offenlegung und offene Zugangsfrage |

## Sicherungskopien gehören in die Löschentscheidung

Erfassen Sie aktive Datensätze, Suchindizes, Exporte, Supportanhänge, Replikate, Sicherungen und Kopien bei weiteren Verarbeitern. Trennen Sie Aufbewahrungsweisungen im laufenden Betrieb von Pflichten nach Ende der Verarbeitungsleistung. Artikel 28 Absatz 3 Buchstabe g betrifft die Wahl zwischen Rückgabe und Löschung sowie das Löschen bestehender Kopien, vorbehaltlich der dort genannten gesetzlichen Speicherpflicht. Daraus folgt keine pauschale Ausnahme für technisch unbequeme Sicherungssysteme.

Vergleichen Sie die ausgegebene Frist mit der nachgewiesenen Technik. Bleibt eine unveränderliche Sicherung 120 Tage erhalten, überschreitet sie eine Pflicht zur Entfernung aller Kopien nach 45 Tagen um 75 Tage. Dass Fachanwender nicht zugreifen können, belegt noch keine fristgerechte Löschung. Der technische Verantwortliche muss mögliche Änderungen und Folgen für die Wiederherstellung benennen; die Rechtsprüfung bewertet zulässige vertragliche Behandlung. Eine vorgeschlagene Restaufbewahrung mit beschränktem Zugriff bleibt bis zur Klärung ihrer Grundlage offen.

Eine Wiederherstellung kann zuvor aus dem Fachsystem entfernte Daten zurückbringen. Der Prüfnachweis braucht deshalb den Umgang mit Löschweisungen nach Wiederherstellung, den Zeitpunkt der Wiederaufnahme regulärer Verarbeitung und den Abschlussbeleg. Bei gesetzlicher Speicherung sind Rechtsgrund, Datenmenge, Dauer, Zugriffsbeschränkung und zuständiger Freigeber festzuhalten. Ein allgemeiner Verweis auf Compliance reicht nicht. Stimmen Sie Rückgabeformat, sicheren Transport, Löschkontrolle und Bestätigung weiterer Verarbeiter ab, bevor Austrittsunterstützung kalkuliert wird.

## Für die Terminvergabe in Falkenau reicht eine AVV-Unterschrift nicht

Der fiktive Gemeindeverbund Falkenau beschafft eine Terminvergabe für seine Bürgerbüros. Datenschutzanlage D in Fassung 3 begrenzt personenbezogene Zugriffe auf den EWR, verlangt vorherige Genehmigung weiterer Verarbeiter, fordert die erste Meldung eines erfassten Vorfalls innerhalb von acht Stunden und die Löschung aller Kopien binnen 45 Tagen nach Ende der Verarbeitungsleistung. Diese Zahlen sind erfundene Vertragsbedingungen. Das angebotene Modell nutzt einen Supportpartner außerhalb des EWR und unveränderliche Sicherungen über 120 Tage.

Die Prüfung legt vier Vorgänge an. Der Betrieb plant EWR-Support ohne den bisherigen Partnerzugriff. Für den Versand von Terminerinnerungen fehlt noch der vom Auftraggeber geforderte Dienstleisternachweis. Die Sicherheitsverantwortliche testet den Bereitschaftsweg für Erstmeldungen; die genaue Meldeformulierung wartet auf Freigabe. Für Sicherungen schlägt das Technikteam einen gesonderten 45-Tage-Bestand vor, dessen Löschung und Wiederherstellung erst getestet werden müssen. Geplante Leistung wird nicht als bestehende Erfüllung gebucht.

Die Kalkulation enthält einmalig 11.000 Euro für die Supportumstellung, 19.000 Euro für Sicherungsanpassungen und 5.000 Euro für die Vorfallvorbereitung, zusammen 35.000 Euro. Der geänderte Support kostet jährlich 15.000 Euro zusätzlich. Bei vier Jahren Grundlaufzeit ergibt das 95.000 Euro vor Steuern. Änderungen am Erinnerungsdienst und Verlängerungsoptionen sind noch nicht enthalten. Der Betrag ist daher eine Teilkalkulation, keine freigegebene Pauschale für sämtliche Datenschutzpflichten. Umsetzungsfristen müssen zu den ausgeschriebenen Meilensteinen passen.

Die vorbehaltlose Annahme bleibt gesperrt. Benötigt werden Dienstleisternachweis und Genehmigungsweg, erfolgreiche Sicherungsprüfungen, Freigabe von Leistungsbeschreibung und Meldewortlaut sowie kaufmännische Vollmacht für die neue Kalkulation. Ist ein notwendiger Vorbehalt im Verfahren unzulässig, muss der Anbieter die ausgegebene Pflicht erfüllen oder seine Teilnahmeentscheidung überprüfen. Eine versteckte Einschränkung in der Technikbeschreibung heilt keine gegenteilige Erklärung im Vertragsformular.

**Falkenaus fiktiver Freigabestand**

| Abweichung | Vorgeschlagene Behandlung | Nachweis vor Freigabe |
| --- | --- | --- |
| Support außerhalb des EWR | Leistung auf EWR-Besetzung umstellen | Besetzung, Zugriffskontrolle und Leistungsfreigabe |
| Erinnerungsdienst ungeklärt | Vorgegebenen Genehmigungsweg abschließen | Aktueller Nachweis und erforderliche Zustimmung |
| Acht-Stunden-Erstmeldung | Bereitschaft und Meldung finanzieren | Test, verantwortliche Funktion und freigegebener Wortlaut |
| 120 Tage Sicherungsaufbewahrung | Vorgeschlagenen 45-Tage-Bestand einrichten | Lösch- und Wiederherstellungsprüfung gegen Anlage D v3 |

## Die Entscheidung muss den späteren Betrieb binden können

Verwenden Sie eindeutige Zustände: Erfüllung belegt, Änderung freigegeben aber nicht abgeschlossen, Klarstellung erforderlich, Vorbehalt erforderlich, rechtliche Einordnung offen, Dienstleisternachweis fehlt oder in angebotener Form nicht tragbar. Eine erst nach Zuschlag fertigzustellende Änderung kommt nur infrage, wenn das Verfahren diesen Zeitpunkt zulässt und die zuständigen Entscheider ihre Machbarkeit verantworten. Benennen Sie Meilenstein und Abschlussbeleg, statt eine künftige Maßnahme als gegenwärtig wirksam auszugeben.

Gleichen Sie die Entscheidung mit Hauptvertrag, Haftung, Versicherungsannahmen, Lösungsbeschreibung, Sicherheitsfragen, Leistungsniveaus und Preis ab. Besondere Rechtsfolgen der Anlage werden an den zuständigen Vertragsprüfer übergeben. Die rechtliche Einordnung liegt bei qualifizierter Datenschutzberatung, die Machbarkeit bei Sicherheits- und Leistungsverantwortlichen und die Bindung beim kaufmännisch Bevollmächtigten. Eine Unterschrift deckt nicht ohne Prüfung alle Zuständigkeiten ab.

Ein Agent darf öffentliche Klauseln extrahieren, freigegebene Fassungen vergleichen, Abweichungen vorbereiten und veröffentlichte Rechenbeispiele nachvollziehen. Ohne konkrete Befugnis endet seine Tätigkeit vor dem Zugriff auf geschützte Bestände, der Übermittlung an externe Werkzeuge, rechtlichen Rollenentscheidungen, Klauselannahme, Dienstleister- oder Auftraggeberkontakt und Angebotsabgabe. Die Übergabe nennt offene Frage, Belegbedarf, Verantwortlichen und nächsten zulässigen Schritt. Neue Verarbeiter, Zugriffsländer, Löschregeln, Produktvarianten oder Berichtigungen öffnen die betroffenen Entscheidungen erneut.

## Nützliche Ergebnisse

- Jede wesentliche Pflicht ist einem Verarbeitungsvorgang und einem Leistungsinhaber zugeordnet.
- Gesetzliche Grundlage und zusätzliche vertragliche Vorgabe bleiben erkennbar.
- Zugriffs-, Dienstleister- und Löschlücken erhalten eine tragfähige Behandlung oder eine Sperre.
- Die freigegebene Kalkulation berücksichtigt erforderliche Anpassungen und Unterstützungsarbeit.
- Die Entscheidung gilt ausdrücklich für bestimmte Vertrags- und Leistungsversionen.

## Ablauf

1. **Prüfstand festhalten.** Sammeln Sie die ausgegebene Anlage, ausgefüllte und offene Anhänge, Richtlinien, Klarstellungen und Rangfolge. Fixieren Sie Bietereinheit, Produktvariante und Betriebsmodell.
2. **Verarbeitung zuordnen.** Trennen Sie Fachbetrieb, Support, Telemetrie, Tests, Wiederherstellung und Austritt. Erfassen Sie Zweck, Daten, Betroffene, Empfänger, Orte und die zu prüfende Rollenannahme.
3. **Pflichten im Ablauf testen.** Prüfen Sie Weisungen, Genehmigungen, Sicherheitsmaßnahmen, Unterstützungsfristen, Auskunft und Löschung anhand der tatsächlich angebotenen Leistung.
4. **Abweichungen behandeln.** Wählen Sie belegte Erfüllung, finanzierte Anpassung, zulässige Bieterfrage, zulässigen Vorbehalt oder Sperre. Jede Änderung braucht Zuständigkeit, Abhängigkeiten und Nachweis.
5. **Angebot abgleichen.** Gleichen Sie Leistung, Preis, Sicherheitsantworten, Supportzusagen, Haftung und Austritt ab. Holen Sie die jeweils erforderlichen fachlichen und kaufmännischen Entscheidungen ein.
6. **Freigabe begrenzen.** Binden Sie die Entscheidung an die genaue Angebotsfassung. Öffnen Sie betroffene Punkte bei Änderungen erneut und übergeben Sie erfüllbare Pflichten an den Betrieb.

## Wichtige Entscheidungen

- Passt die angenommene Rolle zu den tatsächlichen Verarbeitungsvorgängen?
- Welche Pflicht verlangt mehr als die kalkulierte Leistung?
- Sind Dienstleister- oder Zugriffsänderungen rechtzeitig umsetzbar?
- Welche Unklarheit muss der Auftraggeber im zulässigen Verfahren beantworten?
- Welche Zusage bleibt mangels Beleg oder Vollmacht gesperrt?
- Welche frühere Freigabe verliert durch eine neue Anlage ihre Grundlage?

## Risiken

- Der Rechenzentrumsstandort ersetzt die Prüfung aller Datenzugriffe.
- Ein allgemeines Dienstleisterverzeichnis wird als Genehmigung des Auftraggebers gelesen.
- Ähnliche Formulierungen in einer Richtlinie gelten als Betriebsnachweis.
- Die aufsichtsrechtliche Meldefrist des Verantwortlichen wird dem Auftragsverarbeiter zugeordnet.
- Das Löschen aktiver Datensätze wird mit dem Entfernen aller Sicherungskopien gleichgesetzt.
- Ein technischer Vorbehalt bleibt versteckt, während das Vertragsblatt vorbehaltlose Zustimmung erklärt.

## Kennzahlen

- Wesentliche Klauseln ohne passenden Leistungsbeleg
- Erforderliche Anpassungen ohne verantwortlichen Umsetzer
- Genehmigungsvorlauf gegenüber Leistungsbeginn
- Noch nicht finanzierte Einmal- und Betriebskosten
- Datenbestände ohne nachgewiesenen Löschweg
- Offene Rechtsfragen und Freigabesperren

## Häufige Fragen

### Darf die eigene AVV die Anlage des Auftraggebers ersetzen?

Nur wenn das Verfahren diese Behandlung zulässt und die erforderliche Entscheidung vorliegt. Prüfen Sie zunächst Dokumentenrangfolge und Annahmeregeln. Die eigene AVV hilft beim Vergleich; ihre Beifügung beweist keinen Vorrang vor der ausgegebenen Anlage.

### Genügt ein europäischer Hostingstandort?

Nein. Speicherorte, Support, Diagnose, Sicherungen, Nachrichten und Exporte werden getrennt betrachtet. Erfassen Sie empfangende Einheiten und Zugriffsorte. Transferfragen benötigen rechtliche Bewertung; engere vertragliche Standortvorgaben bleiben zusätzlich maßgeblich.

### Hat der Auftragsverarbeiter 72 Stunden für eine Vorfallmeldung?

Artikel 33 Absatz 2 DSGVO verlangt nach Bekanntwerden einer Datenschutzverletzung die unverzügliche Information des Verantwortlichen. Die qualifizierte 72-Stunden-Regel zur Aufsichtsbehörde steht in Absatz 1 für den Verantwortlichen. Zusätzliche vertragliche Meldepflichten sind gesondert zu lesen.

### Sind unveränderliche Sicherungen von der Löschung ausgenommen?

Eine solche Ausnahme darf nicht unterstellt werden. Vergleichen Sie den tatsächlichen Aufbewahrungszyklus mit Recht und ausgegebener Anlage. Gegebenenfalls sind technische Änderung oder ausdrücklich geprüfte Vertragsregelung nötig. Zugriffsbeschränkung ist kein Löschbeleg; gesetzliche Speicherpflichten brauchen einen konkreten Rechtsgrund.

### Erlauben Standardklauseln nach Artikel 28 einen Drittlandtransfer?

Beschluss 2021/915 stellt klar, dass seine Klauseln allein die Anforderungen von Kapitel V nicht erfüllen. Der konkrete Transfer und sein Mechanismus benötigen eigene Prüfung. Auch ein zulässiger Mechanismus hebt eine widersprechende Ortsbeschränkung der Ausschreibung nicht auf.

### Wann ist die Prüfung abgeschlossen?

Wenn jede wesentliche Klausel belegt erfüllt wird oder eine zulässige, machbare und termingerechte Behandlung freigegeben ist und Vertragsfassung, Leistung und Preis zusammenpassen. Offene Rechtsfragen, Dienstleisterbelege oder Vollmachten bleiben als Sperren sichtbar. Der Abschluss erteilt noch keine Befugnis zur Unterschrift oder Abgabe.


## Primärquellen

- [DSGVO: Artikel 4, 28, 32, 33 und Kapitel V](https://eur-lex.europa.eu/eli/reg/2016/679/oj/deu), Europäische Union
- [Beschluss 2021/915: Standardklauseln für Auftragsverarbeitung und Anhänge](https://eur-lex.europa.eu/eli/dec_impl/2021/915/oj/deu), Europäische Kommission
- [Leitlinien 07/2020, Fassung 2.1: tatsächliche Rollen, englische Fassung](https://www.edpb.europa.eu/system/files/documents/2023-10/EDPB_guidelines_202007_controllerprocessor_final_en.pdf), Europäischer Datenschutzausschuss
- [Leitlinien 05/2021, Fassung 2.0: Drittlandtransfers, englische Fassung](https://www.edpb.europa.eu/system/files/documents/2023-02/edpb_guidelines_05-2021_interplay_between_the_application_of_art3-chapter_v_of_the_gdpr_v2_en_0.pdf), Europäischer Datenschutzausschuss
- [Stellungnahme 22/2024: Verarbeitungsketten und Garantien, englische Fassung](https://www.edpb.europa.eu/system/files/2024-10/edpb_opinion_202422_relianceonprocessors-sub-processors_en.pdf), Europäischer Datenschutzausschuss


## Weiterführende Artikel

- [Vertragsbedingungen einer Ausschreibung vorab prüfen](https://zephior.com/de/insights/how-to-review-tender-contract-terms-before-bidding)
- [Wie ordnen Sie Datenschutzunterlagen einer RFP-Frage zu?](https://zephior.com/de/insights/map-privacy-controls-to-rfp-questions)
- [Datenresidenz im RFP belegen, ohne zu viel zu versprechen](https://zephior.com/de/insights/answer-rfp-data-residency-requirements)
- [Welche Freigaben braucht ein Nachunternehmer vor dem Start?](https://zephior.com/de/insights/verify-subcontractor-approval-terms)