Outsourcing-Verträge: Welche Haftungs- und Datenschutz-Klauseln wirklich greifen

Wann ist ein Auftragsverarbeitungsvertrag Pflicht — und was muss er enthalten?

Ein Auftragsverarbeitungsvertrag (AVV) ist zwingend erforderlich, sobald ein externer Dienstleister personenbezogene Daten im Auftrag und nach Weisungen des Verantwortlichen verarbeitet. Das gilt für Cloud-Hosting, externe Lohnbüros, Marketing-Tools und IT-Wartungsverträge gleichermaßen. Art. 28 Abs. 3 DSGVO schreibt dabei zehn Pflichtinhalte vor — von der Weisungsgebundenheit über die Sub-Processor-Genehmigung bis zur Datenrückgabe nach Vertragsende.

Fehlt der AVV, ist die Datenübermittlung an den Dienstleister bereits unrechtmäßig. Das Landgericht Lübeck hat entschieden, dass das alleinige Fehlen eines AVV einen Verstoß gegen Art. 28 DSGVO darstellt — mit der Folge, dass sich der Auftraggeber nicht nach Art. 82 Abs. 3 DSGVO von der Haftung befreien kann und für Schadensersatzforderungen betroffener Personen vollumfänglich einstehen muss. Aufsichtsbehörden können nach Art. 83 Abs. 4 DSGVO Bußgelder verhängen.

Der AVV muss mindestens regeln: Gegenstand, Dauer und Zweck der Verarbeitung; die Kategorien personenbezogener Daten und betroffener Personen; die Weisungsgebundenheit des Dienstleisters; die Vertraulichkeitspflicht der eingesetzten Mitarbeiter nach Art. 28 Abs. 3 lit. b DSGVO; die technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO; Bedingungen für den Einsatz von Unterauftragsverarbeitern; Unterstützungspflichten bei Betroffenenrechten und Datenpannen sowie Lösch- und Rückgabepflichten zum Vertragsende.

In der Praxis verweisen viele Dienstleister auf ihre eigenen AVV-Vorlagen. Geschäftsführer sollten diese nicht ungeprüft unterschreiben. Kritisch sind insbesondere weich formulierte TOM-Klauseln, pauschale Haftungsobergrenzen, die unter dem realen Schadensrisiko liegen, und fehlende Kontrollrechte. Der AVV-Regelungen aus Art. 28 Abs. 3 DSGVO sind zwingendes Recht — abweichende Klauseln zulasten des Verantwortlichen sind unwirksam.

Wer haftet wirklich? Das Haftungsregime zwischen Auftraggeber und Dienstleister

Nach dem Haftungsregime der DSGVO haftet der Verantwortliche nicht nur für eigene Fehler, sondern auch für Fehler seiner Auftragsverarbeiter — gegenüber betroffenen Personen gilt nach Art. 82 DSGVO eine gesamtschuldnerische Haftung. Das bedeutet: Betroffene können den vollen Schadensersatz wahlweise beim Auftraggeber oder beim Dienstleister geltend machen. Wer intern den Schaden trägt, regelt der AVV durch Regressklauseln.

Ein Haftungsausschluss zugunsten des Dienstleisters gegenüber Dritten und Behörden ist nach DSGVO nicht möglich. Im Innenverhältnis zwischen den Vertragsparteien hingegen kann und muss vertraglich geregelt werden, wer bei welchem Verschuldensbeitrag in Regress genommen werden kann. Der Auftragnehmer stellt den Auftraggeber auf erstes Anfordern von sämtlichen Ansprüchen frei, die aus der Verletzung einer dem Auftragnehmer durch die DSGVO auferlegten Pflicht entstehen — diese Freistellungsklausel gehört in jeden seriösen AVV.

Eine Ausnahme von der Verantwortlichkeit des Auftraggebers gilt beim sogenannten Aufgaben- oder Funktionsexzess des Dienstleisters: Verarbeitet der Auftragsverarbeiter Daten eigenmächtig zu eigenen Zwecken und gegen die Weisungen des Auftraggebers, wird er nach Art. 28 Abs. 10 DSGVO selbst zum Verantwortlichen. In diesem Fall entfällt die Haftung des ursprünglichen Auftraggebers — aber nur dann, wenn dieser auch seinen Kontrollpflichten ordnungsgemäß nachgekommen ist.

Ein typisches Praxis-Szenario: Ein mittelständisches Unternehmen aus dem E-Commerce-Bereich beauftragt einen externen Newsletter-Dienstleister. Der Anbieter setzt seinerseits einen Sub-Processor in den USA ein, ohne die Auftraggeber zu informieren. Nach einem Datenleck verweist der Dienstleister auf die allgemeinen Haftungsausschlüsse in seinen AGB. Das greift nicht — weder gegenüber den betroffenen Kunden noch gegenüber der Aufsichtsbehörde. Ohne eine vertraglich gesicherte Rückgriffsmöglichkeit bleibt der Auftraggeber auf dem Schaden sitzen. Präzise Sub-Processor-Klauseln und ein Widerspruchsrecht bei Wechsel des Unterauftragsverarbeiters sind daher keine Formalie, sondern Risikoschutz.

Haftungsobergrenzen im Outsourcing-Vertrag sind grundsätzlich zulässig, müssen aber das reale Schadenpotenzial abbilden. Eine Klausel, die die Haftung des Dienstleisters auf den Wert eines Monats-Auftragsvolumens begrenzt, kann bei einem Datenschutzverstoß mit DSGVO-Bußgeld und Schadensersatzklagen Dritter wirkungslos sein. Verhandeln Sie Haftungsober­grenzen, die das Bußgeldrisiko und mögliche Drittansprüche realistisch einschließen.

Sub-Processor-Ketten und Drittland-Transfers: Wo Standardverträge nicht ausreichen

Sobald ein Dienstleister seinerseits Unterauftragsverarbeiter einsetzt, entsteht eine Sub-Processor-Kette. Nach Art. 28 Abs. 4 DSGVO haftet der erste Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Datenschutzpflichten aller von ihm eingesetzten Unterauftragsverarbeiter. Das entbindet den Auftraggeber jedoch nicht von seiner eigenen Kontrollpflicht — er muss sicherstellen, dass der primäre Dienstleister diese Pflicht tatsächlich durchsetzt.

Der Einsatz von Unterauftragsverarbeitern bedarf nach Art. 28 Abs. 2 DSGVO der schriftlichen Genehmigung des Verantwortlichen — entweder konkret vorab oder allgemein mit Widerspruchsrecht bei Wechsel. In der Praxis empfiehlt sich die allgemeine Genehmigung mit verpflichtender Listen-Führung durch den Dienstleister und einem Widerspruchsfenster von mindestens sieben Werktagen bei jedem Sub-Processor-Wechsel. Mehrstufige Sub-Processor-Ketten — typisch bei Cloud-Konstellationen wie SaaS über AWS in spezifischen Regionen — müssen vollständig dokumentiert sein.

Bei Datentransfers in Drittländer außerhalb der EU gelten zusätzliche Anforderungen. Für Transfers in Länder ohne Angemessenheitsbeschluss der EU-Kommission sind Standarddatenschutzklauseln (SCC) nach Art. 46 DSGVO oder verbindliche unternehmensinterne Datenschutzvorschriften (BCR) erforderlich. Für US-Dienstleister, die unter dem EU-US Data Privacy Framework (DPF) zertifiziert sind, gilt seit Juli 2023 ein Angemessenheitsbeschluss — SCCs sind dann nicht mehr gesondert erforderlich. Für alle anderen Drittländer bleibt eine Transfer-Impact-Assessment-(TIA-)Prüfung Pflicht.

Datenschutzbehörden prüfen AVVs systematisch — und Sub-Processor-Regelungen sowie Drittland-Transfer-Nachweise stehen dabei regelmäßig im Fokus. Geschäftsführer sollten sicherstellen, dass ihr AVV eine vollständige, aktuell gehaltene Sub-Processor-Liste enthält und dass für jeden Transfer in ein Drittland das einschlägige Schutzinstrument dokumentiert ist. Eine fehlende oder veraltete Liste kann im Audit-Verfahren für sich allein zur Beanstandung führen.

So gestalten Sie Haftungsklauseln in Outsourcing-Verträgen rechtssicher

Haftungsklauseln in Outsourcing-Verträgen müssen zwei Ebenen abdecken: die zivilrechtliche Haftung nach § 280 BGB wegen Pflichtverletzung und die datenschutzrechtliche Haftung nach Art. 82 DSGVO. Beide Haftungsregime laufen parallel — eine vollständige Haftungsfreistellung im Dienstleistungsvertrag, die auch DSGVO-Ansprüche Dritter ausschließen soll, ist unwirksam.

Folgende Klauseln sollten in keinem Outsourcing-Vertrag fehlen: Erstens eine präzise Leistungsbeschreibung mit messbaren Service-Level-Agreements (SLA), weil nur ein konkret definierter Leistungsstandard Maßstab für Pflichtverletzungen nach § 280 BGB ist. Zweitens eine Freistellungsklausel, nach der der Dienstleister den Auftraggeber von Ansprüchen Dritter freistellt, die aus Verstößen des Dienstleisters gegen den AVV oder die DSGVO resultieren. Drittens ein fristloses Kündigungsrecht für den Auftraggeber bei schwerwiegenden Datenschutzverstößen oder Verweigerung von Kontrollrechten gemäß Art. 28 Abs. 3 lit. h DSGVO.

Haftungsobergrenzen zugunsten des Dienstleisters sind verhandelbar — aber nicht mit pauschalen Klauseln im Haftungsausschluss-Stil. Eine praxistaugliche Struktur sieht nach Verschuldensgrad gestaffelte Obergrenzen vor: bei einfacher Fahrlässigkeit Begrenzung auf das Auftragsvolumen eines Jahres, bei grobem Verschulden oder Vorsatz unbeschränkte Haftung. Klauseln, die Haftung für Datenschutzverstöße generell auf einen Monatsbetrag begrenzen, sind vor dem Hintergrund möglicher Bußgelder und Drittansprüche nicht ausreichend.

Kontrollrechte sind keine optionale Vertragsklausel, sondern gesetzliche Pflicht. Art. 28 Abs. 3 lit. h DSGVO verlangt, dass dem Auftraggeber jederzeitige Kontrollen beim Dienstleister ermöglicht werden — durch Audits, Zertifizierungen oder Vor-Ort-Prüfungen. Klauseln, die Prüfungen auf Ankündigung mit langer Vorlaufzeit oder auf Kosten des Auftraggebers beschränken, schwächen das Kontrollrecht faktisch aus. Verhandeln Sie das Recht zu unangekündigten Stichproben und zu Zertifizierungs-Nachweisen etwa nach ISO 27001 als Äquivalent zu einer physischen Vor-Ort-Prüfung.

In der Praxis lassen sich spezialisierte Dienstleister — etwa HR-Tech-Anbieter, IT-Dienstleister aus dem Mittelstand oder steuerrechtliche Einordnungs-Software-Häuser — häufig auf individuelle Vertragsverhandlungen ein, weil sie selbst ein Compliance-Interesse haben. Großanbieter mit Standardvertragsbedingungen sind dagegen kaum verhandelbar; hier empfiehlt sich die Strategie, über den Tarif-Level (z. B. Enterprise mit Zero-Data-Retention-Option) technische Schutzmaßnahmen zu stärken und das Restrisiko durch eine Cyber-Versicherung abzufangen.

Fazit

Outsourcing-Verträge ohne präzise Haftungs- und Datenschutz-Klauseln sind kein kalkulierbares Risiko — sie sind eine offene Flanke. Wer Prozesse an externe Dienstleister vergibt, muss AVV-Pflichtinhalte nach Art. 28 DSGVO vollständig abbilden, Lösch- und Kontrollpflichten aktiv steuern und Sub-Processor-Ketten lückenlos dokumentieren. Haftungsausschlüsse im Dienstleistungsvertrag schützen nicht vor DSGVO-Ansprüchen betroffener Personen — nur eine durchdachte Regressstruktur im Innenverhältnis schafft echten Schutz.

Lassen Sie Outsourcing-Verträge und Ihren AVV vor Vertragsschluss anwaltlich prüfen — nachträgliche Korrekturen sind teurer als präventive Vertragsgestaltung. —