DPA / Auftragsverarbeitungsvertrag (AVV) prüfen — TOMs, Drittland, Audit
SaaS-Vertrag mit AVV im Anhang? Wir prüfen TOMs, Sub-Auftragsverarbeiter, Drittlandtransfer und Audit-Rechte gegen Art. 28 DSGVO.
Keine Kreditkarte · 10 Credits gratis · Jederzeit kündbar
Typische Risiken in diesem Fall
Worauf wir besonders achten
Aus echten Fällen kuratiert. Die KI-Prüfung markiert genau diese Punkte in Ihrem Dokument.
TOMs nur als "angemessen" beschrieben, ohne konkrete Maßnahmen (Verschlüsselung, MFA, Backup, Pseudonymisierung).
Sub-Auftragsverarbeiter "nach billigem Ermessen" änderbar, ohne Widerspruchsrecht.
Datentransfer in USA/Drittländer ohne SCC oder Transfer Impact Assessment.
Audit-Recht nur "nach Ankündigung von 90 Tagen, einmal pro Jahr, max. 1 Werktag" — faktisch wertlos.
Meldepflicht bei Datenpanne erst nach 72h+ (statt unverzüglich).
Rückgabe/Löschung nach Vertragsende "nach Wahl" des Auftragnehmers.
Haftung des Auftragnehmers auf 1× Jahresumsatz begrenzt.
Kein Mitwirkungsanspruch bei Betroffenenrechten (Art. 12 ff. DSGVO).
Was Sie hier in 5 Minuten erledigen
Auftragsverarbeitungsverträge (AVV/DPA) sind Pflicht nach Art. 28 DSGVO — aber die Qualität schwankt enorm. Schwammige TOMs, lange Sub-Auftragsverarbeiter-Listen, US-Datenflüsse ohne SCC: Wir prüfen das gegen die EDSA-Vorgaben.
AVV hochladen — wir prüfen Art und Zweck der Verarbeitung, Datenkategorien, TOMs, Sub-Auftragsverarbeiter (inkl. Drittländer), Audit-Rechte, Meldepflichten und Löschkonzept.
Ohne wirksamen AVV sind Sie für jede Datenverarbeitung des Dienstleisters voll selbst verantwortlich.
So funktioniert es
In drei Schritten zum Ergebnis
AVV hochladen
Inkl. TOM-Anlagen und Sub-Auftragsverarbeiter-Liste.
DSGVO-Check
Art. 28-Pflichtangaben, TOM-Konkretisierung, Drittlandtransfer.
Kommentierte Version
Pro Klausel: konform / nachverhandeln / kritisch.
- AVV hochladen – Inkl. TOM-Anlagen und Sub-Auftragsverarbeiter-Liste.
- DSGVO-Check – Art. 28-Pflichtangaben, TOM-Konkretisierung, Drittlandtransfer.
- Kommentierte Version – Pro Klausel: konform / nachverhandeln / kritisch.
- Keine TOM-Audit beim Auftragnehmer (vor Ort).
- Keine Verarbeitungsverzeichnis-Erstellung.
- Kein DPIA (Datenschutz-Folgenabschätzung).
Transparenz
Was die KI prüft — und was nur ein Anwalt entscheiden kann
Eine KI ist immer nur so gut wie die Frage. Deshalb zeigen wir Ihnen offen, wo Ihre Antwort verlässlich ist und wo Sie unbedingt mit einer Anwältin oder einem Anwalt sprechen sollten.
Bei Drittlandtransfer in unsichere Länder, sensiblen Daten (Art. 9 DSGVO), Health/Fintech-Kontexten oder Schrems-II-relevanten US-Diensten sollten Sie eine:n Datenschutz-Spezialist:in einbinden.
FAQ
Häufige Fragen zu diesem Fall
Mehr Anwendungsfälle
Weitere Schreiben & Checks
Bereit, Ihren Fall zu klären?
Kostenlos starten. Keine Kreditkarte. In 2 Minuten startklar.
Jetzt starten