Auftragsverarbeitungsverträge für Dienste zur Dateifreigabe
Alles zu Auftragsverarbeitungsverträgen für die Dateifreigabe: Kernklauseln, Anforderungen nach DSGVO Artikel 28 und Empfehlungen für Vorlagen.
Ein DSGVO-konformer Auftragsverarbeitungsvertrag (AVV) für einen Dateifreigabedienst muss die acht Pflichtgegenstände aus Artikel 28 Abs. 3 abdecken: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen, Rechte und Pflichten des Verantwortlichen, Weisung des Auftragsverarbeiters, Unterauftragnehmerregelungen sowie Löschung oder Rückgabe am Vertragsende. Fehlt auch nur einer dieser acht Punkte, ist der Vertrag nicht DSGVO-konform und setzt beide Parteien Durchsetzungsmaßnahmen aus. Über Artikel 28 hinaus sollte ein solider AVV auch Sicherheitsmaßnahmen, Meldungsfristen bei Datenpannen, Auditrechte und internationale Transferschutzmaßnahmen nach den Artikeln 32, 33 und Kapitel V definieren.
Wann Sie einen AVV benötigen
Immer wenn ein Dritter personenbezogene Daten in Ihrem Auftrag verarbeitet, benötigen Sie einen AVV — auch wenn die Verarbeitung auf die vorübergehende Speicherung einer hochgeladenen .zip-Datei für sieben Tage beschränkt ist. Das umfasst SwissTransfer, WeTransfer, Dropbox Transfer, Smash, Tresorit, Box und HexaTransfer. Die Schwelle ist nicht „sensible Daten" — sie ist „personenbezogene Daten", wozu auch Kunden-E-Mails in Empfängerlisten gehören. Nutzen Sie einen Übertragungsdienst für jede geschäftliche Datei, die eine Person namentlich nennt, ist der AVV nach Artikel 28 Abs. 3 zwingend. Kein AVV bedeutet Verarbeitung ohne gültige vertragliche Grundlage, was nach Artikel 5 Abs. 1 lit. a unrechtmäßig ist.
Die acht Pflichtgegenstände aus Artikel 28 Abs. 3
Artikel 28 Abs. 3 liest sich wie eine Checkliste. (a) Gegenstand und Dauer: welche Verarbeitung, für wie lange. (b) Art und Zweck: Dateiübertragung und kurzfristige Speicherung zur Zustellung. (c) Art der personenbezogenen Daten: Namen, E-Mails, Dateiinhalte, Metadaten. (d) Kategorien betroffener Personen: Beschäftigte, Kunden und Geschäftspartner des Verantwortlichen. (e) Pflichten und Rechte des Verantwortlichen. (f) Verarbeitung nur auf dokumentierte Weisung. (g) Vertraulichkeitspflichten der autorisierten Mitarbeiter. (h) Sicherheitsmaßnahmen entsprechend dem Risiko, Unterauftragnehmerregelungen, Unterstützung bei Betroffenenrechten, Meldung von Datenpannen, DSFA-Unterstützung und Löschung bei Vertragsende.
Unterauftragnehmerklauseln und die 30-Tage-Frist
Artikel 28 Abs. 2 und 4 verpflichten Auftragsverarbeiter, Unterauftragnehmer offenzulegen und Verantwortlichen die Möglichkeit zu geben, Änderungen zu widersprechen. Marktstandard: eine öffentliche Liste aktueller Unterauftragnehmer (Cloudflare für CDN, OVH für Hosting, SendGrid für E-Mail), 30 Tage Vorlaufzeit bei wesentlichen Änderungen und ein vertragliches Widerspruchsrecht für den Verantwortlichen. Bei einem Widerspruch kann der Auftragsverarbeiter entweder eine Alternative finden oder dem Verantwortlichen die Kündigung des betroffenen Diensts ohne Strafgebühr ermöglichen. Achtung bei AVVs, die unbegrenzte Unterauftragsvergabe ohne Benachrichtigung behaupten — diese sind nicht DSGVO-konform.
Auditrechte nach Artikel 28 Abs. 3 lit. h
Verantwortliche haben das Recht, Auftragsverarbeiter zu prüfen. Für kleinere Verantwortliche bedeutet das in der Regel die Akzeptanz des SOC-2-Typ-2-, ISO-27001- oder ISAE-3402-Berichts des Auftragsverarbeiters anstelle einer eigenen Prüfung vor Ort. Größere Verantwortliche (Banken, Krankenhäuser, Behörden) behalten sich Vor-Ort-Prüfungsrechte vor. AVVs sollten die Form festlegen: Recht auf Einsicht in veröffentlichte Bescheinigungen, Recht auf Anforderung zusätzlicher Informationen und — bei risikoreicher Verarbeitung — Recht auf Beauftragung einer unabhängigen Prüfung auf Kosten des Verantwortlichen. Alle Auditrechte zu verweigern ist nicht DSGVO-konform; sie auf jährliche Prüfungen mit 30 Tagen Ankündigung zu beschränken ist vertretbar.
Sicherheitsmaßnahmen und Ausrichtung an Artikel 32
Artikel 32 Abs. 1 listet vier Beispielmaßnahmen: Pseudonymisierung und Verschlüsselung (a), Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme (b), zeitnahe Wiederherstellung nach einem Vorfall (c) sowie regelmäßige Prüfung und Bewertung (d). Ein guter Dateifreigabe-AVV enthält einen Sicherheitsmaßnahmen-Anhang mit konkreten Angaben: AES-256-GCM im Ruhezustand, TLS 1.3 bei der Übertragung, MFA für Administratorzugang, ISO-27001-Zertifizierung, Schwachstellenmanagement mit Patching-SLAs und jährliche Penetrationstests. Vage Formulierungen — „branchenübliche Sicherheit" — scheitern bei Audits, weil sie nicht messbar sind.
Meldungsfristen zwischen Auftragsverarbeiter und Verantwortlichem
Artikel 33 Abs. 2 verpflichtet Auftragsverarbeiter, Verantwortliche über eine Datenschutzverletzung „unverzüglich" zu benachrichtigen. Die meisten AVVs legen 24–48 Stunden fest. Die Pflicht des Auftragsverarbeiters ist die schnelle Benachrichtigung — die 72-Stunden-Frist ist die Pflicht des Verantwortlichen nach Artikel 33 Abs. 1. Ein sorgfältig formulierter AVV legt fest: Was als Datenpanne gilt (Verlust, unbefugte Offenlegung, unbefugter Zugang), was die Benachrichtigung enthält (Art der Datenpanne, Kategorien und ungefähre Anzahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen) und wie sie zugestellt wird (benannte Kontaktperson, Backup-Kanal für den Fall, dass E-Mail kompromittiert ist).
Internationale Transferschutzmaßnahmen im AVV
Wenn der Auftragsverarbeiter Daten außerhalb des EWR speichert oder darauf zugreift, greift Artikel 44. Der AVV sollte die Standardvertragsklauseln von 2021 (Durchführungsbeschluss der Kommission 2021/914) einbeziehen, das anwendbare Modul festlegen (Modul 2: Verantwortlicher an Auftragsverarbeiter) und eine Datentransfer-Folgenabschätzung als Anhang einbinden. Für US-Unterauftragnehmer ergänzen Sie den DPF-Zertifizierungsstatus (Data Privacy Framework) oder eine Beschreibung spezifischer ergänzender Maßnahmen. UK-Transfers erfordern den ICO-Zusatz für internationale Datentransfers zu den SCCs von 2021, der seit März 2022 gilt.
Löschung oder Rückgabe bei Vertragsende
Artikel 28 Abs. 3 lit. g verlangt, dass der Auftragsverarbeiter alle personenbezogenen Daten am Ende des Diensts löscht oder zurückgibt, sofern kein EU- oder mitgliedstaatliches Recht eine Aufbewahrung vorschreibt. Klären Sie, welches gilt: Die meisten Dateiübertragungsdienste löschen standardmäßig mit einer kurzen Nachlauffrist (7–30 Tage). Wenn der Verantwortliche stattdessen eine Rückgabe möchte (alle Dateien exportiert), legen Sie Format und Frist fest. Die Löschung muss Backups umfassen — geben Sie den Backup-Rotationszyklus an (90 Tage ist Standard) und dokumentieren Sie, dass wiederhergestellte Daten konsistent mit dem Löschantrag erneut verarbeitet oder gelöscht werden.
Gemeinsame Verantwortlichkeit und Multi-Parteien-Szenarien
Die Dateifreigabe umfasst manchmal gemeinsame Verantwortliche nach Artikel 26 — etwa eine Recruiting-Plattform, bei der sowohl der Arbeitgeber als auch die Plattform Zwecke und Mittel bestimmen. Die Vereinbarung nach Artikel 26 unterscheidet sich von einem AVV und muss Verantwortlichkeiten transparent zuteilen. Wenn Sie als Plattform als Auftragsverarbeiter auftreten, aber tatsächlich Kontrolle ausüben (KI-Training mit Nutzerinhalten, Monetarisierung von Metadaten), können Regulatoren Sie als gemeinsamen Verantwortlichen einstufen. Klären Sie die Einordnung von Anfang an; CNIL und ICO haben für Fehlklassifizierungen bereits Bußgelder verhängt.
Praxisnahe Vorlagen und Bezugsquellen
Die Europäische Kommission veröffentlicht Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern (Durchführungsbeschluss 2021/915). Die meisten seriösen Dateiübertragungsanbieter veröffentlichen einen vorunterschriebenen AVV auf dieser Grundlage — herunterladen, gegenzeichnen, fertig. Tresorit, Proton Business, Box, Microsoft, Google Workspace und HexaTransfer bieten dies an. Für individuelle Verhandlungen veröffentlichen IAPP und CIPL Vorlagen. Erstellen Sie niemals einen AVV von Grund auf ohne spezialisierte Datenschutzberatung; die Randprobleme (gemeinsame Verantwortlichkeit, Unterauftragnehmer-Ketten, TIA-Formulierungen) erfordern spezifisch erwartete Formulierungen.
Prüfen Sie jede Klausel gegen die Acht-Punkte-Checkliste aus Artikel 28 Abs. 3. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.
Große Dateien sicher mit Ende-zu-Ende-Verschlüsselung senden
Übertragen Sie Dateien bis zu 10 GB kostenlos mit Ende-zu-Ende-Verschlüsselung. Kein Konto erforderlich. Ihre Dateien werden in Ihrem Browser verschlüsselt, bevor sie hochgeladen werden — niemand sonst kann sie lesen.
Datei senden