Auftragsverarbeitung (AV)

0 Kurzkarte: Einen neuen Dienstleister erfassen

Für alle, die einen Dienstleister beauftragen, der personenbezogene Daten Ihres Unternehmens verarbeitet – z. B. eine Cloud-Software, ein Rechenzentrum, ein Lohnbüro oder einen Aktenvernichter.

1. Öffnen Sie Datenschutz → Auftragsverarbeitung (AV) und klicken Sie auf Neu. Geben Sie eine Bezeichnung ein, lassen Sie bei Art die Vorbelegung AN: Auftragnehmer (z.B. Dienstleister) stehen und klicken Sie auf Speichern.
2. Öffnen Sie den neuen Eintrag über das Stift-Symbol. Wählen Sie im Reiter Firmenstammdaten den Fachverantwortlichen und tragen Sie Firma, Anschrift, Land und Ansprechpartner des Dienstleisters ein.
3. Wählen Sie im Reiter Vertragsdaten die Vertragsgrundlage, den Ort der Verarbeitung und den Vertragsstatus und tragen Sie den Vertragsbeginn ein.
4. Laden Sie im Reiter Dokumente den unterschriebenen AV-Vertrag hoch. Verknüpfen Sie im Reiter Verarbeitungstätigkeiten über Verarbeitungstätigkeit hinzufügen, wofür der Dienstleister eingesetzt wird.
5. Klicken Sie auf Speichern und danach auf Zur Prüfung einreichen. Der Datenschutzbeauftragte prüft den Vertrag.

Tipp: Sitzt der Dienstleister oder sein Mutterkonzern außerhalb von EU und EWR, z. B. in den USA? Dann füllen Sie zusätzlich den Abschnitt Drittlandtransfer aus (Kapitel „Drittlandtransfer dokumentieren").

1 Einführung

1.1 Wofür ist das Modul da?

Wer personenbezogene Daten von einem Dienstleister im Auftrag verarbeiten lässt, braucht mit ihm einen Vertrag nach Art. 28 DS-GVO und muss nachweisen können, dass der Dienstleister geeignet ist. Das Modul Auftragsverarbeitung ist das Verzeichnis dieser Verträge. Es

• erfasst Dienstleister (Auftragnehmer) und – wenn Ihr Unternehmen selbst Dienstleister ist – Ihre Kunden (Auftraggeber) mit Kontaktdaten, Vertragsgrundlage und Laufzeit,
• bildet Unterauftragnehmer ab,
• verknüpft jeden Vertrag mit Verarbeitungstätigkeiten, Maßnahmen (TOM), Audits und Dokumenten,
• dokumentiert Drittlandtransfers und die nötigen Garantien (Art. 44 ff. DS-GVO),
• führt den Prüfer mit einem Prüffragebogen durch die Vertragsprüfung und
• erinnert über Prüf- und Aktualisierungsworkflow an fällige Wiedervorlagen.

Sie öffnen das Modul über Datenschutz → Auftragsverarbeitung (AV).

Hinweis: Verträge, die Ihre Kunden online über einen Link abschließen, verwalten Sie im Modul Online AV-Verträge. Es hat ein eigenes Handbuch. Die Vertragspartner, die Sie dort per E-Mail einladen, stammen aus diesem Modul.

1.2 Begriffe

1.3 Der Ablauf im Überblick

1.4 Rollen und Rechte

Die Administration vergibt die Rechte für das Modul in Stufen.

Den Hinweis aus der Mandantenakte über der Übersicht sieht, wer Leserecht an der Mandantenakte hat.

Tipp: Auf jeder Seite des Moduls öffnet das Fragezeichen oben rechts die Hilfe zur aktuellen Ansicht.

2 Die Übersicht

Für alle, die mit dem Modul arbeiten.

2.1 Reiter und Aktionsleiste

Die Übersicht hat die Reiter Auftragsverarbeitungen (alle aktiven Einträge) und Archiv (archivierte Einträge).

Abbildung 1: Übersicht der Auftragsverarbeitungen

Die Aktionsleiste zeigt je nach Recht:

Mit dem Suchfeld rechts durchsuchen Sie die Tabelle. Oben rechts führt Auftragsverarbeitung konfigurieren zur Konfiguration (nur mit Sonderrecht).

2.2 Spalten

Rechts in jeder Zeile öffnet das Augen-Symbol die schreibgeschützte Ansicht, das Stift-Symbol die Bearbeitung. Das Stift-Symbol sehen Sie nur, wenn Sie den Eintrag bearbeiten dürfen.

2.3 Filter

Über Filter grenzen Sie die Liste ein: Bezeichnung, Firma, Ort, Kunden-ID, Organisationseinheit, Fachverantwortlicher, Art, Vertragsgrundlage, Ort der Verarbeitung, Vertragsstatus, Risiko, Prüfstatus, Land, Schlagwort, Beendet und Letzte Änderung (von – bis). Filter anwenden übernimmt die Auswahl, Filter zurücksetzen hebt sie auf. Der Filter bleibt gespeichert, bis Sie ihn zurücksetzen.

Abbildung 2: Filter der Übersicht

Im Filter Prüfstatus stehen zusätzlich Zur Prüfung (automatisch) und Zur Prüfung (durch Benutzer) – damit trennen Sie fällig gewordene von bewusst eingereichten Verträgen. Bei eingeschaltetem Aktualisierungsworkflow finden Sie dort auch zur Aktualisierung. Ohne Auswahl im Filter Beendet sehen Sie beendete und laufende Verarbeitungen.

2.4 Massenaktionen

Markieren Sie Einträge über die Kästchen links und wählen Sie unter Massenaktionen:

• Fachverantwortliche zuweisen – setzt den Haupt-Fachverantwortlichen und ergänzt Weitere Fachverantwortliche. Leere Felder bleiben unverändert.
• Organisationseinheit zuweisen – ersetzt die Organisationseinheit der markierten Einträge.
• Auf Mandanten kopieren – kopiert die Einträge in einen anderen Mandanten, für den Sie berechtigt sind.
• Prüfung zurücknehmen – nur mit Sonderrecht und eingeschaltetem Prüfworkflow (Kapitel „Prüfung durch den Datenschutzbeauftragten").
• Archivieren – verschiebt die Einträge in den Reiter Archiv.

Im Reiter Archiv steht stattdessen Wiederherstellen zur Verfügung.

Abbildung 3: Massenaktionen

2.5 Archivieren und löschen

• Archivieren Sie Verträge, die Sie nicht mehr aktiv nutzen, aber als Nachweis behalten wollen. Archivierte Einträge sind schreibgeschützt und lassen sich nicht zur Prüfung einreichen.
• Löschen verschiebt die markierten Einträge in den Papierkorb. Von dort lassen sie sich wiederherstellen.

Tipp: Endet nur die Zusammenarbeit mit einem Dienstleister, löschen oder archivieren Sie den Eintrag nicht sofort. Kennzeichnen Sie ihn als beendet (Abschnitt „Die Verarbeitung endet").

3 Einen Dienstleister erfassen

Für Fachabteilungen und Fachverantwortliche.

Das Beispiel: Die Personalabteilung führt die Cloud-Software „PersonalPlus" der Musterhost Cloud GmbH für Personalakten, Urlaubsverwaltung und Zeiterfassung ein.

3.1 Neuen Eintrag anlegen

1. Klicken Sie in der Übersicht auf Neu.
2. Geben Sie eine Bezeichnung ein, unter der jeder den Vorgang wiederfindet – am besten Zweck und Produkt, z. B. „Personalverwaltung in der Cloud (PersonalPlus)".
3. Wählen Sie die Art. Für einen Dienstleister lassen Sie AN: Auftragnehmer (z.B. Dienstleister) stehen.
4. Wählen Sie bei Bedarf die Organisationseinheit und klicken Sie auf Speichern.

Abbildung 4: Auftragsverarbeitung anlegen

Der Eintrag erscheint in der Übersicht. Öffnen Sie ihn über das Stift-Symbol.

Hinweis: Die Art legen Sie nur beim Anlegen fest. Danach ist das Feld schreibgeschützt.

3.2 Die Detailseite

Die Detailseite hat die Reiter Firmenstammdaten, Vertragsdaten, Datenschutzbeauftragter, Verarbeitungstätigkeiten, Maßnahmen (TOM), Audits, Dokumente und Einstellungen. Ein Klick auf einen Reiter springt zum Abschnitt.

Die Aktionsleiste zeigt beim Bearbeiten Speichern, je nach Stand Zur Prüfung einreichen oder – für Prüfer – Prüfmodus, außerdem Exportieren und Abbrechen. Ist eine Aktualisierung fällig, erscheint zusätzlich Aktualisierung abgeschlossen. Das Symbol ganz rechts öffnet die Seitenleiste Informationen.

Abbildung 5: Detailseite mit Aktionsleiste und Reitern

Die Seitenleiste Informationen hat oben Symbole für ihre Bereiche: Aufgaben (mit Neu legen Sie eine Aufgabe zum Vertrag an), Schlagwörter, Prüfhistorie, Kommentare, verknüpfte Dokumente aus anderen Modulen und den Aktivitätslog. Das X schließt sie.

Abbildung 6: Seitenleiste Informationen

Haben Sie etwas geändert und noch nicht gespeichert, fragt das System nach, bevor es die Seite verlässt.

3.3 Firmenstammdaten

Oben stehen die Art (schreibgeschützt) und die Bezeichnung.

1. Wählen Sie den Fachverantwortlichen – die Person, die für den Vertrag zuständig ist. In der Regel ist das Feld ein Pflichtfeld (Konfiguration Fachverantwortlicher als Pflichtfeld).
2. Ergänzen Sie unter Weitere Fachverantwortliche Kolleginnen und Kollegen, die den Eintrag ebenfalls bearbeiten sollen.
3. Wählen Sie die Organisationseinheit, die den Dienstleister einsetzt.
4. Tragen Sie unter Firmendaten Dienstleister die Firma, die Kunden-ID (z. B. Ihre Kundennummer beim Dienstleister), Straße, Adresszusatz, Postleitzahl, Ort, Land und einen Ansprechpartner ein.
5. Hat ein Anbieter ohne Sitz in der EU einen Vertreter in der EU benannt, erfassen Sie unter Vertreter Name des Vertreters, Telefon des Vertreters und E-Mail des Vertreters.

Abbildung 7: Firmenstammdaten

Ist beim Mandanten das Freitextfeld eingeschaltet, erfassen Sie unter Fachverantwortliche ohne Benutzerkonto eine zuständige Person, die kein Benutzerkonto hat.

Den Abschnitt Drittlandtransfer darunter füllen Sie aus, wenn Daten außerhalb von EU und EWR verarbeitet werden oder ein Konzern außerhalb davon zugreifen kann (Kapitel „Drittlandtransfer dokumentieren").

3.4 Vertragsdaten

1. Wählen Sie die Vertragsgrundlage, in der Regel AV-Vertrag (Art. 28 DS-GVO).
2. Wählen Sie den Ort der Verarbeitung: Innerhalb der EU, Innerhalb des EWR, Sicheres Drittland oder Drittland.
3. Setzen Sie den Vertragsstatus: nicht vorhanden, in Bearbeitung oder abgeschlossen.
4. Tragen Sie Vertragsbeginn und ggf. Vertragsende ein, außerdem den Ablageort des AV-Vertrags (z. B. DMS oder Aktenordner) und die vereinbarte Meldefrist bei Datenpannen in Stunden.
5. Beschreiben Sie unter Bemerkungen zum Vertrag kurz, was der Dienstleister tut.

Abbildung 8: Vertragsdaten

3.5 Unterauftragnehmer zuordnen

Setzt Ihr Dienstleister selbst Sub-Dienstleister ein, legen Sie diese als eigene Einträge mit der Art UAN: Unterauftragnehmer (z.B. Sub-Dienstleister) an. Im Auftragnehmer ordnen Sie sie unter den Vertragsdaten im Abschnitt Unterauftragnehmer über Unterauftragnehmer hinzufügen zu. Entfernen löst die Zuordnung.

Im Eintrag des Unterauftragnehmers sehen Sie umgekehrt unter Zugeordnet zu (Auftragnehmer), zu welchen Auftragnehmern er gehört.

3.6 Datenschutzbeauftragter

Tragen Sie im Reiter Datenschutzbeauftragter Name, Telefon und E-Mail des Datenschutzbeauftragten des Dienstleisters ein. Sie finden diese Angaben meist im AV-Vertrag oder in der Datenschutzerklärung des Anbieters.

3.7 Verarbeitungstätigkeiten verknüpfen

Im Reiter Verarbeitungstätigkeiten halten Sie fest, für welche Ihrer Verarbeitungstätigkeiten der Dienstleister eingesetzt wird.

1. Klicken Sie auf Verarbeitungstätigkeit hinzufügen.
2. Wählen Sie im Dialog unter Einträge auswählen eine oder mehrere Verarbeitungstätigkeiten und klicken Sie auf Speichern.

Abbildung 9: Verarbeitungstätigkeit hinzufügen

Die Tabelle zeigt je Verarbeitungstätigkeit Bezeichnung, Fachverantwortlicher, Risiko und Status; das Symbol rechts öffnet die Verarbeitungstätigkeit. Darüber steht das Max. Risiko aus Verarbeitungstätigkeiten. Es erscheint auch in der Spalte Risiko der Übersicht. Markierte Verknüpfungen lösen Sie über Entfernen.

Abbildung 10: Verknüpfte Verarbeitungstätigkeiten

Tipp: Die Verknüpfung wirkt in beide Richtungen: In der Verarbeitungstätigkeit erscheint der Dienstleister als Empfänger bzw. Vertragspartner.

3.8 Maßnahmen (TOM)

Der Reiter Maßnahmen (TOM) zeigt die technischen und organisatorischen Maßnahmen Ihres Unternehmens, die zu diesem Vertrag gehören. Die Spalte Quelle zeigt, woher die Verbindung kommt:

• abgeleitet – über die Assets der verknüpften Verarbeitungstätigkeiten; die Spalte Asset nennt das Asset,
• explizit – direkt über Maßnahme hinzufügen verknüpft.

Über Entfernen lösen Sie eine explizite Verknüpfung. Abgeleitete Maßnahmen ändern Sie in der Verarbeitungstätigkeit bzw. im Asset.

Abbildung 11: Maßnahmen (TOM)

3.9 Audits und Selbstauskünfte

Im Reiter Audits dokumentieren Sie, wie Sie den Dienstleister kontrollieren – z. B. die jährliche Wirksamkeitsprüfung seiner TOM oder eine Erstprüfung vor Vertragsabschluss.

1. Klicken Sie auf Audit / Selbstauskunft hinzufügen.
2. Wählen Sie den Typ: Audit oder Selbstauskunft (der Dienstleister beantwortet einen Fragebogen).
3. Geben Sie eine Bezeichnung ein, z. B. „TOM-Prüfung Hosting 2026", wählen Sie unter Fragebogen einen oder mehrere Fragebögen und klicken Sie auf Hinzufügen.

Abbildung 12: Audit / Selbstauskunft hinzufügen

Die Tabelle zeigt Bezeichnung, Typ, Lead-Auditor, Status, Start und Ende. Über die Symbole rechts zeigen Sie den Eintrag an, füllen den Fragebogen aus oder bearbeiten ihn. Eine Selbstauskunft lässt sich nur entfernen, solange sie noch nicht bearbeitet oder abgeschlossen ist.

Abbildung 13: Audits zum Vertrag

3.10 Dokumente

Laden Sie im Reiter Dokumente den unterschriebenen AV-Vertrag und seine Anlagen hoch – per Drag-and-drop oder per Klick in das Feld. Jede Datei wird beim Hochladen auf Schadsoftware geprüft.

Jede Datei steht mit Größe und Datum in der Liste. Rechts daneben laden Sie sie herunter, öffnen PDF-Dateien und Bilder über das Augen-Symbol in einer Vorschau oder löschen sie über das Papierkorb-Symbol.

3.11 Einstellungen

Im Reiter Einstellungen steht der Schalter Diesen AV-Vertrag freigeben für untergeordnete Mandanten. Er ist nur für Unternehmensgruppen gedacht: Untergeordnete Mandanten sehen den Vertrag dann und können ihn mit ihren eigenen Verarbeitungstätigkeiten verknüpfen. Bearbeiten können ihn nur berechtigte Benutzer Ihres Mandanten.

Abbildung 14: Dokumente und Einstellungen

3.12 Speichern und zur Prüfung einreichen

1. Klicken Sie auf Speichern.
2. Klicken Sie auf Zur Prüfung einreichen.

Der Prüfstatus wechselt auf Zur Prüfung, und der Standard-Prüfer erhält eine Prüfaufgabe. Zur Prüfung einreichen steht nur bei eingeschaltetem Prüfworkflow zur Verfügung und nicht, wenn der Vertrag schon eingereicht oder die Verarbeitung beendet ist.

3.13 Fällige Aktualisierung abschließen

Ist der Aktualisierungsworkflow eingeschaltet, erhält der Fachverantwortliche eine Aufgabe, wenn ein Vertrag länger als das eingestellte Intervall nicht geändert wurde. Der Prüfstatus zeigt dann zur Aktualisierung, und auf der Detailseite steht Aktualisierung abgeschlossen.

1. Prüfen Sie die Angaben, passen Sie sie bei Bedarf an und speichern Sie.
2. Klicken Sie auf Aktualisierung abgeschlossen und wählen Sie:
   • Datensatz ist aktuell – keine relevanten Änderungen; der bisherige Prüfstatus bleibt erhalten.
   • Datensatz wurde aktualisiert – relevante Änderungen; der Vertrag gilt danach als nicht geprüft.
3. Klicken Sie auf Abschließen. Die Aufgabe wird automatisch erledigt.

3.14 Die Verarbeitung endet

Endet die Zusammenarbeit, tragen Sie in den Vertragsdaten das Vertragsende ein und setzen den Haken Die Verarbeitung ist beendet und findet nicht mehr statt. Der Eintrag bleibt als Nachweis erhalten und trägt in der Übersicht das Kennzeichen Beendet. Einen beendeten Vertrag reichen Sie nicht mehr zur Prüfung ein.

4 Drittlandtransfer dokumentieren

Für Fachabteilungen und Datenschutzbeauftragte – wenn Daten außerhalb von EU und EWR verarbeitet werden oder ein Konzern außerhalb davon Zugriff haben kann.

Beispiel: Für den Newsletter-Versand wird der US-Anbieter „Mailwolke Inc." genutzt.

1. Wählen Sie in den Firmenstammdaten das Land des Dienstleisters.
2. Bei einem Anbieter aus den USA erscheint im Abschnitt Drittlandtransfer der Schalter Dienstleister ist DPF-zertifiziert. Ist der Anbieter unter dem EU-US Data Privacy Framework zertifiziert, schalten Sie ihn ein und tragen Letzte DPF-Prüfung und DPF gültig bis ein.
3. Gehört der Dienstleister zu einem Konzern, erfassen Sie Muttergesellschaft, Sitz der Muttergesellschaft und Konzernzugriff möglich?.
4. Wählen Sie in den Vertragsdaten den passenden Ort der Verarbeitung – Drittland oder Sicheres Drittland (Land mit Angemessenheitsbeschluss).

Abbildung 15: Drittlandtransfer bei einem US-Anbieter

Liegt das Land außerhalb von EU und EWR ohne Angemessenheitsbeschluss, ist es die USA, oder sitzt die Muttergesellschaft in einem Drittland und ist ein Konzernzugriff möglich, erscheint unter den Vertragsdaten der Abschnitt Garantien für Drittlandtransfers.

1. Klicken Sie auf Garantie hinzufügen.
2. Wählen Sie den Garantie-Typ, z. B. Standardvertragsklauseln, und ergänzen Sie Bezeichnung, Version, Abschlussdatum, Gültig bis, Dokument-Referenz, Bezug auf Drittland (oder Alle Drittländer), Status (Aktiv, Abgelaufen, Gekündigt) und eine Erläuterung.
3. Klicken Sie auf Speichern.

Abbildung 16: Garantie für den Drittlandtransfer erfassen

Abbildung 17: Hinterlegte Garantien

Tipp: Standardvertragsklauseln allein reichen oft nicht. Dokumentieren Sie zusätzlich ein Transfer Impact Assessment (TIA), z. B. als Audit im Reiter Audits mit einem passenden Fragebogen Ihres Mandanten, und laden Sie das Ergebnis unter Dokumente hoch.

5 Prüfung durch den Datenschutzbeauftragten

Für Datenschutzbeauftragte und alle mit Sonderrecht im Modul.

Reicht jemand einen Vertrag ein, erhält der Standard-Prüfer aus der Konfiguration eine Prüfaufgabe. In der Übersicht finden Sie offene Prüfungen über den Filter Prüfstatus → Zur Prüfung.

5.1 Prüfmodus öffnen

1. Öffnen Sie den Vertrag über das Stift-Symbol.
2. Klicken Sie in der Aktionsleiste auf Prüfmodus.

Der Prüfmodus zeigt links die Dokumente mit Vorschau, rechts den Prüffragebogen. Ein Klick auf eine Datei zeigt sie in der Vorschau; mit den Pfeilen über der Liste blättern Sie zwischen mehreren Dokumenten. Über dem Prüffragebogen steht das höchste Risiko der verknüpften Verarbeitungstätigkeiten.

Abbildung 18: Prüfmodus: Dokumente links, Prüffragebogen rechts

5.2 Prüffragebogen ausfüllen

Der Fragebogen hat drei Teile:

Wählen Sie für jeden Prüfpunkt ein Prüfergebnis und halten Sie unter Anmerkungen fest, was fehlt oder nachgefordert wird:

Abbildung 19: Prüfpunkt mit Anmerkung

Speichern sichert einen Zwischenstand; Sie können die Prüfung später fortsetzen. Abbrechen führt zurück zur Detailseite.

5.3 Prüfung abschließen

1. Ergänzen Sie unter Allgemeine Anmerkungen Ihr Fazit.
2. Wählen Sie den Neuen Status nach Prüfung: Geprüft - OK, Geprüft - mit Mängeln oder Abgelehnt. Hat Ihre Organisation eigene Prüfergebnisse angelegt, stehen sie ebenfalls zur Wahl.
3. Legen Sie das Datum der Nächsten Prüfung fest, z. B. in einem Jahr.
4. Bei Geprüft - mit Mängeln erscheinen zusätzlich Empfänger der Mängel-Aufgabe (vorbelegt mit dem Fachverantwortlichen) und Frist zur Behebung (vorbelegt). Passen Sie beides bei Bedarf an.
5. Klicken Sie auf Prüfung abschließen.

Abbildung 20: Endergebnis mit Mängel-Aufgabe

Was danach passiert:

Die Prüfung erscheint in der Seitenleiste Informationen unter der Prüfhistorie. Von dort öffnen Sie das Prüfungsergebnis schreibgeschützt.

5.4 Wiedervorlage

Zum Datum Nächste Prüfung meldet sich das System beim Standard-Prüfer. Was genau passiert, legt die Mandanteneinstellung Bei fälliger Prüfung automatisch zur Prüfung einreichen fest (Mandanteneinstellungen → Sonstiges):

• aus (Voreinstellung): Der Standard-Prüfer erhält eine Aufgabe Prüfung fällig: …; der Vertrag bleibt unverändert.
• an: Der Vertrag wird zusätzlich automatisch eingereicht. In der Übersicht trägt der Prüfstatus dann den Zusatz automatisch.

5.5 Prüfung zurücknehmen

Wurde ein Vertrag versehentlich eingereicht, markieren Sie ihn in der Übersicht und wählen Massenaktionen → Prüfung zurücknehmen. Der Prüfstatus springt auf den Stand vor der Einreichung zurück, der frühere Termin der nächsten Prüfung gilt wieder, und die Prüfaufgabe wird geschlossen. Lässt sich der Vorzustand bei älteren Einträgen nicht mehr feststellen, können Sie diese mit Diese Datensätze stattdessen auf "Nicht geprüft" setzen zurücksetzen. Die Aktion braucht das Sonderrecht.

Abbildung 21: Prüfung zurücknehmen

5.6 Schreibgeschützte Ansicht

Über das Augen-Symbol in der Übersicht öffnen Sie einen Vertrag schreibgeschützt. Mit Bearbeitungsrecht wechseln Sie dort über Bearbeiten in die Bearbeitung.

Abbildung 22: Schreibgeschützte Ansicht eines geprüften Vertrags

6 Wenn Ihr Unternehmen selbst Auftragsverarbeiter ist

Für Unternehmen, die Daten im Auftrag ihrer Kunden verarbeiten.

Erfassen Sie jeden Kunden als eigenen Eintrag mit der Art AG: Auftraggeber (z.B. Kunde). Tochtergesellschaften eines Kunden legen Sie als UAG: Unterauftraggeber (z.B. Tochtergesellschaften) an und ordnen sie im Auftraggeber unter Unterauftraggeber zu. Verknüpfen Sie im Reiter Verarbeitungstätigkeiten, welche Tätigkeiten Sie für den Kunden ausführen.

Daraus entsteht über Exportieren → Behördliches Verzeichnis das Verzeichnis nach Art. 30 Abs. 2 DS-GVO (Kapitel „Exportieren und importieren").

Hinweis: Die E-Mail-Adressen des Vertreters und des Datenschutzbeauftragten eines Auftraggebers nutzt das Modul Online AV-Verträge, um den Kunden zum Online-Abschluss einzuladen.

7 Exportieren und importieren

7.1 Export aus der Übersicht

Exportieren öffnet den Dialog Export mit drei Schritten. Weiter und Zurück wechseln zwischen den Schritten.

1. Umfang: Alle, Auswahl (markierte Einträge) oder Gefiltert (was Filter oder Suche gerade zeigen). Ohne Markierung bzw. ohne Filter sind die beiden letzten Optionen ausgegraut.

Abbildung 23: Export: Umfang

1. Exportform:
   • Datenliste – eine Zeile je Vertrag mit allen Feldern und den Verknüpfungen aus den Reitern (Zuordnungen, Unterauftragnehmer, Garantien, Verarbeitungstätigkeiten, Maßnahmen, Audits, Dokumente),
   • AV-Übersicht – Word-Dokument mit einer Übersicht der Verträge,
   • Behördliches Verzeichnis – Verzeichnis nach Art. 30 Abs. 2 DS-GVO; berücksichtigt nur Auftraggeber mit zugeordneten Verarbeitungstätigkeiten.
2. Format: für die Datenliste CSV, JSON oder XML, für AV-Übersicht und Behördliches Verzeichnis Word (.docx).

Abbildung 24: Export: Exportform

Den einzelnen Vertrag exportieren Sie auf der Detailseite über Exportieren: als Datenliste (CSV, JSON, XML) oder als Datenblatt im Format Word (.docx).

Ob die Schaltfläche Exportieren erscheint, regelt die Exportbeschränkung in der Konfiguration.

7.2 Import

Über Importieren legen Sie viele Einträge auf einmal per CSV-Datei an.

1. Laden Sie über Herunterladen die Beispieldatei example_avv_import.csv herunter und füllen Sie sie aus. Trennzeichen ist das Semikolon, Text steht ohne Anführungszeichen, jeder Datensatz in einer eigenen Zeile. Speichern Sie die Datei als „CSV UTF-8".
2. Lassen Sie Erste Zeile enthält Spaltenüberschriften eingeschaltet, wenn Ihre Datei eine Kopfzeile hat.
3. Prüfen Sie unter Spaltenzuordnung festlegen, welche Spalte der Datei in welches Feld geht. Pflicht sind Art (AN, AG, UAN oder UAG) und Bezeichnung; außerdem gibt es u. a. Firma, Anschrift, Land, Vertreter, Ansprechpartner, Datenschutzbeauftragter, Kunden-ID / Kunden-Nummer und Schlagworte.
4. Wählen Sie unter Abgleich bestehender Daten über: entweder kein Abgleich (alle Zeilen werden neu angelegt) oder Kunden-ID/Nummer – dann werden bestehende Einträge mit gleicher Kunden-ID aktualisiert statt neu angelegt.
5. Ziehen Sie die Datei in das Feld CSV-Datei zum Import: (max. 10 MB) und klicken Sie auf Daten importieren.

Abbildung 25: Import

8 Konfiguration

Zugriff: Die Konfiguration öffnen Benutzer mit Sonderrecht (Stufe 4) über Auftragsverarbeitung konfigurieren oben rechts in der Übersicht; nur sie sehen den Link. Den Reiter Mandantenakte sehen sie zusätzlich nur mit Leserecht an der Mandantenakte, bearbeiten können ihn Benutzer mit Schreibrecht an der Mandantenakte.

Die Konfiguration hat die Reiter Funktionsbausteine, Schlagwörter, Einstellungen und Mandantenakte. Die Aktionsleiste passt sich dem Reiter an; in Einstellungen und Mandantenakte übernimmt Speichern die Änderungen, Abbrechen führt zurück zur Übersicht. Empfohlene Reihenfolge bei der Einrichtung:

1. Einstellungen – Prüfworkflow und Standard-Prüfer, Aktualisierungsworkflow, Pflichtfeld, Exportbeschränkung.
2. Funktionsbausteine – die Auswahl Vertragsgrundlage prüfen.
3. Schlagwörter und Mandantenakte – bei Bedarf.

8.1 Funktionsbausteine

Die Funktionsbausteine der Kategorie Vertragsgrundlagen bilden die Auswahl Vertragsgrundlage in den Vertragsdaten. Mitgeliefert werden ADV-Vertrag (§ 11 BDSG a.F.), AV-Vertrag (Art. 28 DS-GVO) (Standard), EU-Standardvertragsklauseln und Sonstiges. Die Tabelle zeigt Kategorie, Bezeichnung und Sichtbarkeit; der Standard-Baustein trägt das Kennzeichen Standard. Über Filter grenzen Sie nach Kategorie, Bezeichnung und Sichtbarkeit ein.

Abbildung 26: Funktionsbausteine

• Neu öffnet den Dialog Funktionsbaustein anlegen mit Kategorie, Bezeichnung, Sichtbarkeit (Sichtbar oder Unsichtbar) und Als Standard festlegen. Nur eine Vertragsgrundlage kann Standard sein; sie ist bei neuen Einträgen vorbelegt.
• Das Stift-Symbol in der Zeile öffnet denselben Dialog zum Bearbeiten.
• Löschen entfernt markierte Bausteine endgültig.
• Auf Mandanten kopieren überträgt markierte Bausteine in andere Mandanten; mit Bestehende Einträge überschreiben werden gleichnamige ersetzt. Die Schaltfläche erscheint nur bei passender Lizenz.

Blenden Sie nicht mehr benötigte Vertragsgrundlagen über Sichtbarkeit → Unsichtbar aus, statt sie zu löschen.

8.2 Schlagwörter

Eigene Schlagwörter gruppieren Verträge, z. B. „Cloud", „IT-Dienstleister" oder „Personal". Die Tabelle zeigt Bezeichnung, Status und Erstellt. Neu legt ein Schlagwort an, Löschen entfernt markierte, Massenaktionen ändert sie gesammelt. Zugewiesen werden Schlagwörter in der Übersicht über Schlagwörter.

Abbildung 27: Schlagwörter

8.3 Einstellungen

Abbildung 28: Einstellungen

Wichtig: Tragen Sie bei eingeschaltetem Prüfworkflow einen Standard-Prüfer ein. Prüfaufgaben und Wiedervorlagen gehen an diesen Benutzer.

8.4 Mandantenakte

Im Reiter Mandantenakte hinterlegen Sie einen Hinweis zum Modul, z. B. wer im Unternehmen für Auftragsverarbeitungen zuständig ist oder wo die Verträge im Original liegen. Wählen Sie die Art des Hinweises (z. B. Information) und schreiben Sie den Text in den Editor; mit @ fügen Sie Kontakte ein. Speichern in der Aktionsleiste übernimmt ihn. Der Hinweis erscheint über der Übersicht.

Abbildung 29: Mandantenakte

8.5 Mandantenweite Einstellungen

Zwei Einstellungen außerhalb des Moduls wirken auf die Auftragsverarbeitung (Mandanteneinstellungen → Sonstiges):

• Bei fälliger Prüfung automatisch zur Prüfung einreichen – steuert die Wiedervorlage (Kapitel „Prüfung durch den Datenschutzbeauftragten").
• Freitextfeld für Fachverantwortliche ohne Benutzerkonto – blendet das Feld Fachverantwortliche ohne Benutzerkonto ein.

9 Glossar

10 Häufige Fragen

Brauche ich für jeden Dienstleister einen AV-Vertrag? Nur, wenn der Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeitet, z. B. Cloud-Software, Lohnbüro oder Aktenvernichtung. Steuerberater oder Rechtsanwälte, die in eigener Verantwortung tätig sind, sind in der Regel keine Auftragsverarbeiter. Fragen Sie im Zweifel Ihren Datenschutzbeauftragten.

Der Dienstleister hat seinen eigenen AV-Vertrag geschickt. Geht das? Ja. Laden Sie ihn unter Dokumente hoch; der Prüfer prüft ihn im Prüfmodus gegen die Anforderungen des Art. 28 DS-GVO.

Ich bin Fachverantwortlicher, habe aber keine Rechte im Modul. Was sehe ich? Sie sehen das Modul in der Navigation und in der Übersicht nur die Verträge, für die Sie (weiterer) Fachverantwortlicher sind. Diese können Sie bearbeiten und zur Prüfung einreichen. Neue Einträge legen Benutzer mit Bearbeitungsrecht an.

Warum fehlt bei mir die Schaltfläche „Zur Prüfung einreichen"? Der Prüfworkflow ist ausgeschaltet, der Vertrag ist bereits eingereicht, er ist archiviert oder die Verarbeitung ist als beendet gekennzeichnet. Mit Sonderrecht sehen Sie bei einem eingereichten Vertrag stattdessen Prüfmodus.

Was passiert, wenn der Vertrag ausläuft oder der Dienstleister gekündigt wird? Tragen Sie das Vertragsende ein und setzen Sie Die Verarbeitung ist beendet und findet nicht mehr statt. Der Eintrag bleibt als Nachweis erhalten.

Wir arbeiten selbst als Dienstleister für Kunden. Gehört das auch hierher? Ja. Legen Sie Ihre Kunden mit der Art AG: Auftraggeber (z.B. Kunde) an. Daraus entsteht über Exportieren → Behördliches Verzeichnis das Verzeichnis nach Art. 30 Abs. 2 DS-GVO.