Kurz beantwortet: Verhandeln Sie das Auftragsverarbeitungspapier eines Großkunden nicht Klausel für Klausel neu, sondern konzentrieren Sie sich auf die drei wiederkehrenden Streitpunkte Subprozessoren, Drittland-Transfer sowie Audit- und Informationsrechte, für die Sie jeweils abgestufte und realistische Zusagen anbieten können. Halten Sie eine geprüfte eigene Fassung als Anker bereit und sagen Sie nur Pflichten zu, die Sie im laufenden Betrieb tatsächlich abbilden.

Sobald Ihr Dienst personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet, gehört zu jedem Enterprise-Deal eine Auftragsverarbeitungsvereinbarung, die AVV, international Data Processing Agreement (DPA). Anders als im Mittelstand bringt der Großkunde meist sein eigenes, oft strenges Papier mit. Was jetzt zählt, ist nicht die Frage, was in die AVV grundsätzlich hineingehört, sondern wie Sie das Kundenpapier verhandeln, ohne den Deal oder Ihren Betrieb zu gefährden.

Das Wichtigste in Kürze

  • Die AVV ist nach Art. 28 DSGVO Pflicht; ohne wirksame Vereinbarung ist die Verarbeitung rechtswidrig und der Deal fällt in der Datenschutzprüfung durch.
  • Drei Streitpunkte kehren in nahezu jeder Enterprise-Verhandlung wieder: Subprozessoren, Drittland-Transfer sowie Audit- und Informationsrechte.
  • Bieten Sie jeweils abgestufte und realistische Zusagen an, etwa eine allgemeine Genehmigung mit Widerspruchsrecht statt Einzelzustimmung.
  • Halten Sie eine geprüfte eigene Fassung als Anker bereit und sagen Sie nur Pflichten zu, die Sie im laufenden Betrieb tatsächlich abbilden.

Verhandlungstaktik oder Rechtsgrundlagen: Was brauchen Sie gerade?

Diese Seite behandelt die Verhandlung: die typischen Forderungen im Großkunden-Papier und Ihre Spielräume, darauf zu reagieren. Was eine AVV nach Art. 28 DSGVO inhaltlich zwingend regeln muss, wenn Sie sie von Grund auf aufsetzen oder als Auftragsverarbeiter die AVVs Ihrer eigenen Dienstleister prüfen, ordnet der Beitrag zu den AVV-Grundlagen ein. Steht bei Ihnen gerade das Papier eines Enterprise-Kunden auf dem Tisch, bleiben Sie hier richtig.

Warum die DPA zwingend ist

Die AVV ist keine Kür, sondern Pflicht: Art. 28 DSGVO verlangt sie, sobald ein Auftragsverarbeiter Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Ohne wirksame AVV ist die Verarbeitung rechtswidrig, und der Deal fällt spätestens in der Datenschutzprüfung des Einkaufs durch. Die AVV ist damit nicht das Beiwerk zum Hauptvertrag, sondern eine seiner Voraussetzungen.

Die Streitpunkte in der Enterprise-DPA und Ihre Spielräume

Großkunden-DPAs gehen häufig über das gesetzliche Minimum hinaus. Drei Punkte kehren in nahezu jeder Verhandlung wieder.

Streitpunkt Typische Kundenforderung Ihr Verhandlungsspielraum
Subprozessoren Einzelgenehmigung für jeden Subunternehmer statt genereller Freigabe Allgemeine Genehmigung mit Widerspruchsrecht und angemessener Ankündigungsfrist anbieten, statt Einzelzustimmung zuzusagen, die den Betrieb blockiert
Drittland-Transfer Vollständiger Verzicht auf US-Dienste oder lückenlose Vor-Ort-Prüfung der Transfergrundlage Angemessenheitsbeschluss (EU-US Data Privacy Framework) für zertifizierte Empfänger oder Standardvertragsklauseln (Art. 46 DSGVO) plus zusätzliche Maßnahmen als belastbare Grundlage anbieten
Audit- und Informationsrechte Weit gefasste, jederzeitige Vor-Ort-Audit-Rechte Abgestufte Rechte anbieten: Nachweise und Zertifikate zuerst, Vor-Ort-Prüfung nur unter klaren Vorlauf- und Häufigkeitsbedingungen

Die eigene Fassung als Anker

Wer eine geprüfte eigene DPA bereithält, verhandelt schneller und aus einer stärkeren Position. Sie können das Kundenpapier gegen Ihre Fassung spiegeln, statt jede Klausel neu zu bewerten. Dabei sollte die DPA zu Ihrer tatsächlichen technischen Landschaft passen, denn Sie sollten nur Pflichten zusagen, die Sie im Betrieb auch abbilden können. Welche Subprozessoren Sie dabei typischerweise offenlegen müssen und wie Sie deren vertragliche Bindung dokumentieren, zeigt der Beitrag zu Subprozessoren im SaaS-Vertrag.

Wann sollten Sie auf eine Klausel nicht eingehen?

Nicht jede Kundenforderung ist verhandelbar, ohne dass Sie ein Zugeständnis machen, das Sie später nicht halten können. Eine Grenze ist erreicht, wenn die geforderte Klausel eine technische oder organisatorische Maßnahme voraussetzt, die Sie im laufenden Betrieb tatsächlich nicht abbilden, etwa eine Reaktionsfrist bei Datenpannen, die kürzer ist als Ihr intern etablierter Meldeweg. Dann ist es besser, eine ehrliche, realistische Zusage zu verhandeln, als eine unerfüllbare zu unterschreiben.

Kein Papier für die Schublade

Die DPA verweist auf Ihre Subprozessor-Liste, Ihre technischen und organisatorischen Maßnahmen und Ihre Prozesse. Ändern sich diese, muss die Dokumentation mitwachsen. Eine gepflegte DPA-Landschaft ist im Enterprise-Sales ein Beschleuniger, weil der Kunde die Kette sofort nachvollziehen kann.

Häufige Fragen

Warum ist eine AVV bei jedem Enterprise-Deal zwingend?

Die AVV ist keine Kür, sondern Pflicht. Art. 28 DSGVO verlangt sie, sobald ein Auftragsverarbeiter Daten im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Ohne wirksame AVV ist die Verarbeitung rechtswidrig, und der Deal fällt spätestens in der Datenschutzprüfung des Einkaufs durch.

Welche Punkte werden in einer Enterprise-DPA am häufigsten verhandelt?

Drei Punkte kehren in nahezu jeder Verhandlung wieder: die Subprozessoren, bei denen der Kunde oft eine Einzelgenehmigung fordert, der Drittland-Transfer sowie weit gefasste Audit- und Informationsrechte. Großkunden-DPAs gehen dabei häufig über das gesetzliche Minimum hinaus.

Wie reagieren Sie auf die Forderung nach Einzelgenehmigung für Subprozessoren?

Statt einer Einzelzustimmung, die den Betrieb blockiert, bieten Sie eine allgemeine Genehmigung mit Widerspruchsrecht und angemessener Ankündigungsfrist an. Beim Drittland-Transfer tragen ein Angemessenheitsbeschluss über das EU-US Data Privacy Framework oder Standardvertragsklauseln nach Art. 46 DSGVO mit zusätzlichen Maßnahmen, bei Audits abgestufte Rechte mit Nachweisen zuerst.

Wann sollten Sie auf eine Klausel nicht eingehen?

Eine Grenze ist erreicht, wenn die geforderte Klausel eine technische oder organisatorische Maßnahme voraussetzt, die Sie im laufenden Betrieb tatsächlich nicht abbilden, etwa eine Reaktionsfrist bei Datenpannen, die kürzer ist als Ihr intern etablierter Meldeweg. Dann ist eine ehrliche, realistische Zusage besser als eine unerfüllbare Unterschrift.

Wie Sie eine AVV unabhängig vom konkreten Großkunden Punkt für Punkt prüfen, zeigt die 10-Punkte-Checkliste zur AVV-Prüfung. Für das eigene Mandatsverhältnis mit einem Anwalt gilt eine Sonderregel, die der Beitrag zur AVV mit dem Anwalt erklärt.

Quellen & Rechtsgrundlagen

Sie verhandeln gerade die DPA eines Großkunden oder wollen eine belastbare eigene Fassung aufsetzen? In einem 30-minütigen Erstgespräch schauen wir auf die kritischen Punkte. Für die datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Erstgespräch anfragen