Für Makler, einfach erklärt

Auftragsverarbeitung im Maklerbüro: Dienstleister, Pool und der AVV

Kaum ein Maklerbüro arbeitet allein. Eine Verwaltungssoftware in der Cloud, ein IT-Dienstleister, ein E-Mail-Werkzeug, ein Maklerpool: Überall fliessen Kundendaten zu Dritten. Für manche dieser Partner brauchen Sie einen Auftragsverarbeitungsvertrag, den AVV, für andere gerade nicht, und auch beim Maklerpool ist die konkrete Rolle entscheidend. Dieser Beitrag erklärt in Klartext, wann ein AVV zwingend ist und was hineingehört, welcher Dienstleister Auftragsverarbeiter ist und welcher nicht, wie der Pool einzuordnen ist, was bei Anbietern im Ausland gilt und was droht, wenn der Vertrag fehlt.

23. Juni 2026 Lesezeit ca. 10 Minuten Deutschland Fachlich überprüft: 19. Oktober 2026

Das Wichtigste vorab

Einen Auftragsverarbeitungsvertrag (AVV) brauchen Sie nur, wenn ein Dienstleister Ihre Daten weisungsgebunden im Auftrag verarbeitet, ohne eigene Zwecke. Verfolgt der Dritte eigene Zwecke, ist er selbst Verantwortlicher und es braucht keinen AVV.
Der AVV hat einen gesetzlich vorgeschriebenen Pflichtinhalt (Art. 28 DSGVO): Weisungsbindung, Vertraulichkeit, Sicherheit, Unterauftragnehmer nur mit Genehmigung, Unterstützung bei Betroffenenrechten und Datenpannen, Löschung oder Rückgabe nach Wahl des Verantwortlichen am Ende und Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten, Nachweise. Schriftform oder elektronische Form ist Pflicht.
Typische Auftragsverarbeitung im Maklerbüro: Cloud-Speicher und Maklerverwaltung ohne eigenen Datenzugriff des Anbieters, E-Mail- und Newsletter-Dienste, Scan- und Vernichtungsdienste, IT-Fernwartung. Keine Auftragsverarbeitung: Steuerberater, Bank, Post, andere eigenverantwortliche Fachleute.
Die Rolle des Maklerpools ist je Verarbeitungsvorgang zu prüfen. Eigene Verantwortlichkeit, gemeinsame Verantwortlichkeit und Auftragsverarbeitung verlangen unterschiedliche Vereinbarungen.
Fehlt ein nötiger AVV, ist das ein eigener Verstoss: Bussgeld bis 10 Mio. Euro oder bei Unternehmen 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Sind mehrere Beteiligte nach Art. 82 Abs. 2 und 3 DSGVO für denselben Schaden verantwortlich, kann jeder für den gesamten Schaden haften. Bei Anbietern im Ausland kommen Drittland-Regeln hinzu.

Dieser Beitrag vertieft ein Einzelthema aus dem Überblick DSGVO im Maklerbüro: die Frage, wie Sie mit Dienstleistern und Pools datenschutzkonform zusammenarbeiten. Ausgangspunkt ist, dass der Makler selbst Verantwortlicher für die Kundendaten ist. Sobald er Dritte einschaltet, muss er deren Rolle einordnen, und davon hängt ab, ob ein Vertrag nötig ist und welcher.

Auftragsverarbeitung oder eigene Verantwortlichkeit?

Alles entscheidet sich an einer Frage: In welcher Rolle handelt der Dritte? Das Datenschutzrecht kennt nur zwei Grundrollen. Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, also weisungsgebunden und ohne eigene Zwecke. Er ist der verlängerte Arm Ihres Büros; seine Verarbeitung wird Ihnen zugerechnet. Verantwortlicher ist dagegen, wer selbst über Zwecke und Mittel der Verarbeitung entscheidet.¹

Zwei Klarstellungen helfen in der Praxis. Erstens: Dass ein Dienstleister über technische Details selbst entscheidet, etwa welche Server er nutzt, macht ihn noch nicht zum Verantwortlichen, solange er den Zweck von Ihnen vorgegeben bekommt. Auftragsverarbeitung verträgt gewisse technisch-organisatorische Spielräume. Zweitens: Die früher beliebte Figur der Funktionsübertragung, bei der ein Dienstleister mit Entscheidungsspielraum automatisch zum eigenen Verantwortlichen wurde, gibt es unter der DSGVO nicht mehr. Und massgeblich ist immer die tatsächliche Rollenverteilung, nicht das Etikett im Vertrag: Wer sich „Auftragsverarbeiter" nennt, aber eigene Zwecke verfolgt, ist trotzdem Verantwortlicher.¹

Der AVV: wann er zwingend ist und was hineingehört

Steht fest, dass ein Dienstleister Auftragsverarbeiter ist, dann ist ein Auftragsverarbeitungsvertrag zwingend. Die Verarbeitung darf nur auf Grundlage eines Vertrags erfolgen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt (Art. 28 Abs. 3 DSGVO). Darüber hinaus schreibt das Gesetz einen festen Katalog von Pflichten des Dienstleisters vor, der in jeden AVV gehört:²

Verarbeitung nur auf dokumentierte Weisung des Maklers.
Vertraulichkeit: Die eingesetzten Personen sind zur Verschwiegenheit verpflichtet.
Datensicherheit nach den Anforderungen der DSGVO (geeignete technische und organisatorische Massnahmen).
Unterauftragnehmer nur mit Ihrer Genehmigung und unter Weitergabe derselben Pflichten.
Unterstützung bei den Rechten der Kunden (Auskunft, Berichtigung, Löschung) und bei Datenpannen und Folgenabschätzungen.
Löschung oder Rückgabe aller personenbezogenen Daten nach Wahl des Verantwortlichen am Ende der Leistung sowie Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten nach Unionsrecht oder dem Recht der Mitgliedstaaten.
Nachweise der Pflichteneinhaltung und Duldung von Überprüfungen (Audits).

Drei praktische Punkte kommen hinzu. Der AVV ist schriftlich oder in elektronischer Form zu schliessen; ein nur mündlich vereinbarter Vertrag ist bereits formal mangelhaft. Schon vor der Beauftragung trifft Sie eine Auswahlpflicht: Sie dürfen nur Dienstleister einsetzen, die hinreichende Garantien für einen ordnungsgemässen Datenschutz bieten. Und der Dienstleister muss Sie warnen, wenn er eine Weisung von Ihnen für rechtswidrig hält.²

Prüfen Sie auch vorformulierte Verträge zur Auftragsverarbeitung. Stellt Ihnen der Anbieter von Cloud- oder Maklersoftware einen AVV bereit, kann das Arbeit sparen. Es ersetzt aber nicht Ihre Prüfung: Passt der Vertrag zu Ihrer tatsächlichen Nutzung, sind die Unterauftragnehmer aufgeführt, ist der Datenort geregelt? Den AVV nur abzuheften, ohne ihn gelesen zu haben, ist riskant.

Welche Dienstleister Auftragsverarbeiter sind, und welche nicht

Die Aufsichtsbehörden haben Faustregeln aufgestellt, an denen Sie sich orientieren können. Als Auftragsverarbeitung gelten typischerweise:³

Cloud-Speicher und Hosting ohne inhaltlichen Datenzugriff des Anbieters, und in der Sache ebenso eine cloudbasierte Maklerverwaltung, die Sie als Werkzeug nutzen.
E-Mail- und Newsletter-Dienste sowie die Auslagerung von Datenerfassung, Scannen oder Aktenvernichtung.
Werbung gesondert prüfen. Ein AVV mit einem Newsletter-Dienst erlaubt noch nicht die Kundenansprache. Neben der DSGVO gelten die Kanalregeln des § 7 UWG, einschliesslich der begrenzten Bestandskundenausnahme für elektronische Post.
IT-Wartung und Fernzugriff, sobald der Dienstleister dabei auf personenbezogene Daten zugreifen kann (also nahezu immer beim Support im laufenden System).

Keine Auftragsverarbeitung, sondern eigenverantwortliche Tätigkeit, ist dagegen die Einschaltung von Stellen, die fremde Fachleistungen für eigene Zwecke erbringen: ein Steuerberater, ein Rechtsanwalt, ein Wirtschaftsprüfer, ein Bankinstitut für den Zahlungsverkehr, ein Postdienst für den Versand. Mit diesen schliessen Sie keinen AVV; sie sind selbst Verantwortliche und brauchen für ihre Verarbeitung eine eigene Rechtsgrundlage.³

Eine ehrliche Einordnung am Rand. Dass eine cloudbasierte Maklerverwaltung oder ein Newsletter-Tool Auftragsverarbeitung ist, ist die sachgerechte Übertragung der behördlichen Faustregeln, beides ist in den amtlichen Beispiellisten nicht wörtlich genannt. Im Zweifel kommt es immer auf den Einzelfall an: Entscheidend ist, ob der Anbieter Ihre Daten nur für Sie und nach Ihrer Weisung verarbeitet oder ob er sie auch für eigene Zwecke nutzt. Letzteres macht ihn zum eigenen Verantwortlichen.

Der Maklerpool: der grosse Streitfall

Jetzt zum Thema, an dem sich die Branche seit Jahren reibt. Schliesst sich ein Makler einem Pool an, der Bestände verwaltet, Courtagen abrechnet, Vergleichsrechner und Marketing bereitstellt, dann ist alles andere als klar, in welcher Rolle der Pool die Kundendaten verarbeitet. Drei Einordnungen sind denkbar: der Pool als Auftragsverarbeiter (dann AVV nötig), als eigener Verantwortlicher (dann kein AVV, sondern Abgrenzung) oder als mit dem Makler gemeinsam Verantwortlicher (dazu unten).⁴

Die Rolle ist für jeden Verarbeitungsvorgang nach tatsächlicher Zweck- und Mittelentscheidung sowie Weisungsbindung zu bestimmen. Ein Pool kann je Vorgang eigener Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher sein. Entscheidend sind die tatsächlichen Abläufe und Befugnisse, nicht allein die Bezeichnung im Vertrag.⁴

Soweit der Pool tatsächlich nur eine weisungsgebundene technische Plattform für Bestandsverwaltung und Abrechnung bereitstellt, kommt für diesen Verarbeitungsvorgang Auftragsverarbeitung nach Art. 28 DSGVO in Betracht. Entscheidend sind die tatsächlichen Entscheidungen über Zwecke und Mittel sowie die Weisungsbindung.⁴

Was heisst das für Sie? Erstens: Es kommt auf die tatsächliche Ausgestaltung Ihres Pools an, nicht auf die Überschrift des Vertrags. Zweitens: Unterschreiben Sie nicht ungeprüft, was der Pool Ihnen vorlegt. Reicht der Pool Ihnen einen AVV, in dem er sich zum weisungsgebundenen Auftragsverarbeiter erklärt, prüfen Sie, ob das seiner wirklichen Rolle entspricht; legt er umgekehrt nur eine Abgrenzungserklärung vor, sollten Sie prüfen, ob Ihre Kunden darüber sauber informiert sind. Drittens: In Zweifelsfällen ist die rechtssichere Lösung, die Rolle anhand der konkreten Datenflüsse einordnen zu lassen, statt sich auf das Etikett zu verlassen. Die übrigen rechtlichen Seiten der Pool-Anbindung, von der Courtage über die Stornohaftung bis zum Ausstieg, behandelt Der Maklerpool- und Vertriebsvertrag.

Gemeinsame Verantwortlichkeit: die tatsächliche Zusammenarbeit zählt

Es gibt eine dritte Rolle, die in der Praxis oft ins Spiel gebracht wird: die gemeinsame Verantwortlichkeit (Art. 26 DSGVO). Sie liegt vor, wenn zwei Stellen gemeinsam über Zwecke und Mittel einer Verarbeitung entscheiden. Der Europäische Gerichtshof legt das weit aus: Schon wer durch seine Einstellungen einen Verarbeitungsvorgang mitveranlasst und davon profitiert, kann mitverantwortlich sein, auch ohne selbst Zugriff auf die Daten zu haben und ohne schriftliche Vereinbarung. Die bekannten Fälle betreffen Facebook-Fanpages und den „Gefällt mir"-Button auf Websites.⁵

Die gemeinsame Verantwortlichkeit hat scharfe Folgen: Die Beteiligten müssen in einer transparenten Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere wer die Kunden informiert und ihre Rechte bedient, und das Wesentliche dieser Vereinbarung den Kunden zugänglich machen. Vor allem aber können die Kunden ihre Rechte gegenüber jedem der Beteiligten geltend machen, ganz gleich, was die Vereinbarung intern regelt.⁵

Die Rolle ist für jeden Verarbeitungsvorgang nach tatsächlicher Zweck- und Mittelentscheidung sowie Weisungsbindung zu bestimmen. Ein Pool kann je Vorgang eigener Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher sein. Bei gemeinsamer Festlegung der Zwecke und wesentlichen Mittel ist Art. 26 DSGVO zu prüfen.⁵

Dienstleister im Ausland: Drittland und Unterauftrag

Viele Werkzeuge im Maklerbüro laufen über Anbieter ausserhalb der EU, vor allem in den USA. Dann kommt eine zweite Prüfebene hinzu. Jede Übermittlung in ein Drittland ist nur unter besonderen Voraussetzungen zulässig (Art. 44 DSGVO).⁶

Angemessenheitsbeschluss. Am 18. Oktober 2026 ist der DPF-Beschluss (EU) 2023/1795 in Kraft. Er kann Drittlandtransfers an aktuell zertifizierte US-Empfänger im Umfang ihrer Zertifizierung tragen. Die übrigen DSGVO-Anforderungen bleiben bestehen. Gegen die Klageabweisung in T-553/23 ist C-703/25 P anhängig; das Rechtsmittel suspendiert den Beschluss nicht.
Andere Instrumente des Kapitels V. Fehlt ein einschlägiger Angemessenheitsbeschluss, sind die Mechanismen des Kapitels V DSGVO zu prüfen. Art. 46 nennt geeignete Garantien, darunter die EU-Standardvertragsklauseln. Bei ihrer Verwendung sind nach dem Schrems-II-Urteil die konkrete Transfersituation, das Schutzniveau und nötige ergänzende Massnahmen zu prüfen. Art. 49 enthält eng auszulegende Ausnahmen für besondere Situationen.
Unterauftragnehmer. Setzt Ihr Dienstleister seinerseits weitere Dienstleister ein, dürfen diese nur mit Ihrer Genehmigung tätig werden und müssen dieselben Pflichten übernehmen; der Hauptdienstleister haftet Ihnen für sie.

Microsoft 365 und ähnliche Werkzeuge. Prüfen Sie die tatsächlichen Vertragspartner, Datenflüsse, Unterauftragnehmer und erforderlichen Vereinbarungen. Am 18. Oktober 2026 ist der DPF-Beschluss (EU) 2023/1795 in Kraft. Er kann Drittlandtransfers an aktuell zertifizierte US-Empfänger im Umfang ihrer Zertifizierung tragen. Die übrigen DSGVO-Anforderungen bleiben bestehen. Gegen die Klageabweisung in T-553/23 ist C-703/25 P anhängig; das Rechtsmittel suspendiert den Beschluss nicht. Für andere Transfers kommen beispielsweise geeignete Standardvertragsklauseln mit der erforderlichen Prüfung und gegebenenfalls ergänzenden Massnahmen in Betracht. Gesundheitsdaten erfordern eine eigene Rechtsgrundlage und risikogerechten Schutz.

Was schiefgehen kann: Bussgeld und Haftung

Der AVV ist keine Formalie, an der man sparen sollte. Ein fehlender oder unzureichender Vertrag ist ein eigenständiger Verstoss gegen Art. 28 DSGVO und fällt in die untere Bussgeldstufe: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Treffen kann das Bussgeld sowohl den Makler als auch den Dienstleister. Zuständig ist die Datenschutzaufsicht Ihres Bundeslandes, und ein Bussgeld setzt ein Verschulden voraus, also wenigstens Fahrlässigkeit.⁷

Daneben steht die zivilrechtliche Haftung. Für Schäden haftet in erster Linie der Verantwortliche, also der Makler; der Auftragsverarbeiter haftet nur eingeschränkt, etwa wenn er seine besonderen Pflichten verletzt oder weisungswidrig handelt. Sind aber mehrere Beteiligte an derselben Verarbeitung verantwortlich, haftet nach aussen jeder für den ganzen Schaden; im Innenverhältnis gibt es dann einen Ausgleich nach Verantwortungsanteilen. Und der wichtigste Fallstrick: Wer als „Auftragsverarbeiter" eigenmächtig eigene Zwecke verfolgt, wird für diese Verarbeitung selbst zum Verantwortlichen mit voller Haftung.⁷

Die Aufsicht schaut hin. Verträge allein genügen nicht: 2025 verhängte die Bundesbeauftragte gegen Vodafone eine Geldbusse von 15 Millionen Euro wegen unzureichender datenschutzrechtlicher Überprüfung und Überwachung von Partneragenturen. Die Aufsicht Brandenburg berichtete 2019 über insgesamt 50’000 Euro wegen eines fehlenden schriftlichen Auftragsverarbeitungsvertrags und Verstössen gegen Transparenz und Verständlichkeit der Auskunft. Für den Makler heisst das: Erforderliche Vereinbarungen mit Dienstleistern und die laufende Kontrolle ihrer Einhaltung gehören zusammen. Wo am Ende doch ein Schaden entsteht, ist die Frage, ob und wie weit die eigene Berufshaftpflicht eintritt, ein Thema für sich, dazu Wann Ihre Vermögensschadenhaftpflicht nicht zahlt.⁷

Was das praktisch heisst

Die Auftragsverarbeitung wirkt technisch, lässt sich aber auf eine kurze Routine bringen. Erstens: eine Liste aller Dienstleister führen, die mit Kundendaten in Berührung kommen, von der Cloud über das E-Mail-Tool bis zum Pool. Zweitens: bei jedem die Rolle klären, Auftragsverarbeiter oder eigener Verantwortlicher, und nur bei der Auftragsverarbeitung einen AVV schliessen. Drittens: die Verträge nicht blind abheften, sondern auf Unterauftragnehmer, Datenort und Drittlandbezug prüfen, gerade bei US-Werkzeugen. Viertens: beim Pool die tatsächliche Rolle bestimmen und nicht das Etikett unterschreiben. Wer diese vier Schritte einmal sauber aufsetzt, hat eine der häufigsten Datenschutz-Schwachstellen im Maklerbüro geschlossen.

Martin Seeland

Rechtsanwalt, Seeland Legal. Die Kanzlei berät Versicherungsmakler zu Datenschutz- und Haftungsfragen, prüft Verträge mit Software-Anbietern, Cloud-Diensten und Maklerpools, ordnet die datenschutzrechtliche Rollenverteilung ein und begleitet den Umgang mit Aufsichtsbehörden. Mehr zur Kanzlei und zur Beratung im Maklermarkt.

Dieser Beitrag gibt einen allgemeinen Überblick mit Stand 18. Oktober 2026 und ersetzt keine Beratung im Einzelfall. Ob ein Dienstleister oder Maklerpool im konkreten Fall Auftragsverarbeiter, eigener oder gemeinsam Verantwortlicher ist, ob ein Auftragsverarbeitungsvertrag erforderlich und ausreichend ist und ob die Voraussetzungen einer Drittlandübermittlung vorliegen, hängt von der tatsächlichen Ausgestaltung der Datenflüsse ab und gehört anwaltlich geprüft.

Häufige Fragen

Kurz beantwortet

Muss der Makler mit jedem Dienstleister einen Auftragsverarbeitungsvertrag schliessen?

Nein, nur wenn der Dienstleister die Daten weisungsgebunden im Auftrag des Maklers verarbeitet, also als verlängerter Arm des Büros ohne eigene Zwecke. Typische Fälle sind Cloud-Speicher und Hosting ohne inhaltlichen Zugriff, eine cloudbasierte Maklerverwaltung, ein E-Mail- oder Newsletter-Dienst, ein Scan- oder Aktenvernichtungsdienst und die IT-Fernwartung mit Zugriffsmöglichkeit. Verarbeitet der Dritte dagegen für eigene Zwecke, etwa ein Steuerberater oder eine Bank, ist er selbst Verantwortlicher; dann braucht es keinen Auftragsverarbeitungsvertrag, sondern eine eigene Rechtsgrundlage für die Weitergabe.

Braucht der Makler einen AVV mit seinem Maklerpool?

Was muss in einem Auftragsverarbeitungsvertrag stehen?

Der Vertrag muss die Verarbeitung im Detail festlegen: Gegenstand, Dauer, Art und Zweck, die Art der Daten und die Kategorien betroffener Personen. Hinzu kommen die in Art. 28 DSGVO vorgeschriebenen Pflichten des Dienstleisters: nur auf dokumentierte Weisung verarbeiten, Vertraulichkeit, technische und organisatorische Sicherheit, Unterauftragnehmer nur mit Genehmigung, Unterstützung bei Betroffenenrechten und bei Meldepflichten, Löschung oder Rückgabe der Daten nach Wahl des Verantwortlichen am Ende und Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten nach Unionsrecht oder dem Recht der Mitgliedstaaten, sowie Nachweise auf Verlangen. Der Vertrag ist schriftlich oder elektronisch zu schliessen; ein nur mündlicher Vertrag genügt nicht.

Dürfen Kundendaten in einer US-Cloud wie Microsoft 365 verarbeitet werden?

Am 18. Oktober 2026 ist der DPF-Beschluss (EU) 2023/1795 in Kraft. Er kann Drittlandtransfers an aktuell zertifizierte US-Empfänger im Umfang ihrer Zertifizierung tragen. Die übrigen DSGVO-Anforderungen bleiben bestehen. Gegen die Klageabweisung in T-553/23 ist C-703/25 P anhängig; das Rechtsmittel suspendiert den Beschluss nicht. Ohne einschlägigen Angemessenheitsbeschluss sind andere Voraussetzungen des Kapitels V DSGVO zu prüfen, etwa geeignete Standardvertragsklauseln samt Prüfung des Schutzniveaus und nötigen ergänzenden Massnahmen. Ein AVV allein ersetzt die Drittlandanforderungen nicht.

Was droht, wenn der AVV fehlt?

Ein fehlender oder unzureichender Auftragsverarbeitungsvertrag ist ein eigener Datenschutzverstoss und kann mit einem Bussgeld bis zu 10 Millionen Euro oder bei Unternehmen 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet werden, je nachdem, welcher Betrag höher ist; treffen kann es sowohl den Makler als auch den Dienstleister. Hinzu kommt die zivilrechtliche Haftung: Sind mehrere Beteiligte verantwortlich, haftet nach aussen jeder für den ganzen Schaden, mit Innenausgleich. Und wer als Dienstleister eigenmächtig eigene Zwecke verfolgt, wird für diese Verarbeitung selbst zum Verantwortlichen mit voller Haftung.

Quellen

Belege und Fundstellen

Abgrenzung Auftragsverarbeiter / Verantwortlicher: Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO, Verordnung (EU) 2016/679); Verantwortlicher ist, wer allein oder gemeinsam über Zwecke und Mittel entscheidet (Art. 4 Nr. 7 DSGVO). Der Auftragsverarbeiter ist weisungsgebunden und kein Dritter (Art. 29 DSGVO); seine Verarbeitung wird im Innenverhältnis grundsätzlich dem Verantwortlichen zugerechnet, massgeblich ist die Entscheidung über die Verarbeitungszwecke, während technisch-organisatorische Fragen auf den Auftragsverarbeiter delegiert werden können (DSK, Kurzpapier Nr. 13 „Auftragsverarbeitung, Art. 28 DS-GVO", Stand 17.12.2018). Die Figur der „Funktionsübertragung" ist in der DSGVO nicht mehr vorgesehen (DSK, Kurzpapier Nr. 13). Die Rollenzuweisung richtet sich nach den tatsächlichen Tätigkeiten, nicht nach der formellen Bezeichnung (EDSA, Leitlinien 07/2020 zu den Begriffen „Verantwortlicher" und „Auftragsverarbeiter", Version 2.0, angenommen am 07.07.2021). Alle dejure.org, datenschutzkonferenz-online.de, edpb.europa.eu.
AVV-Pflicht und Pflichtinhalt: Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf Grundlage eines Vertrags, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festlegt (Art. 28 Abs. 3 Satz 1 DSGVO). Der Vertrag muss u. a. vorsehen: Verarbeitung nur auf dokumentierte Weisung (lit. a), Vertraulichkeit (lit. b), Sicherheitsmassnahmen nach Art. 32 (lit. c), Bedingungen für Unterauftragsverarbeiter (lit. d i. V. m. Abs. 2 und 4), Unterstützung bei Betroffenenrechten nach Kapitel III (lit. e), Unterstützung bei den Pflichten der Art. 32 bis 36 (lit. f), Löschung oder Rückgabe nach Wahl des Verantwortlichen am Ende und Löschung vorhandener Kopien, vorbehaltlich gesetzlicher Speicherpflichten nach Unionsrecht oder dem Recht der Mitgliedstaaten (lit. g) und Nachweise sowie Überprüfungen/Audits (lit. h); hinzu kommt die Hinweispflicht bei rechtswidriger Weisung (Art. 28 Abs. 3 letzter Unterabsatz). Auswahlpflicht (nur Auftragsverarbeiter mit hinreichenden Garantien): Art. 28 Abs. 1 DSGVO. Schriftform, auch elektronisch: Art. 28 Abs. 9 DSGVO. Amtlicher Text: Art. 28 DSGVO, konsolidierte Fassung; zur Kopienlöschung Berichtigung vom 23. Mai 2018, ABl. L 127/4. Art. 28 Abs. 3 lit. f umfasst auch Hilfe bei einer erforderlichen vorherigen Konsultation nach Art. 36. Die Pflicht des Verantwortlichen wird dadurch nicht auf den Dienstleister verlagert.
Typische Auftragsverarbeitung im Maklerbüro: Nach DSK, Kurzpapier Nr. 13 (Stand 17.12.2018, Anhang A) sind u. a. Cloud-Computing/Outsourcing ohne inhaltlichen Datenzugriff des Anbieters, die ausgelagerte Datenerfassung, das Scannen sowie die Datenträgerentsorgung Auftragsverarbeitung; IT-Wartung und Fernzugriff sind Auftragsverarbeitung, sobald ein Zugriff auf personenbezogene Daten erforderlich oder möglich ist (DSK, Kurzpapier Nr. 13, Abschnitt „Wartung und Fernzugriffe"). Keine Auftragsverarbeitung, sondern eigenständige Verantwortlichkeit mit eigener Rechtsgrundlage nach Art. 6 DSGVO, liegt nach DSK, Kurzpapier Nr. 13 (Anhang B) in der Regel bei der Einbeziehung von Berufsgeheimnisträgern (Steuerberater, Rechtsanwälte, externe Betriebsärzte, Wirtschaftsprüfer), von Inkassobüros mit Forderungsübertragung, von Banken für den Geldtransfer und von Postdiensten vor. Die Einordnung cloudbasierter Maklerverwaltungs- und Newsletter-Dienste ist eine sachgerechte Übertragung dieser Faustregeln, im DSK-Anhang A nicht wörtlich genannt (datenschutzkonferenz-online.de).
Einordnung des Maklerpools: Art. 4 Nr. 7 und 8, Art. 26 und 28 DSGVO sowie EDSA, Leitlinien 07/2020, Version 2.0, vom 7. Juli 2021. Die Rolle folgt der tatsächlichen Entscheidung über Zwecke und wesentliche Mittel beziehungsweise der Weisungsbindung. Derselbe Pool kann für verschiedene Vorgänge unterschiedliche Rollen haben. Ein Auftragsverarbeitungsvertrag oder eine Vereinbarung nach Art. 26 muss zur jeweiligen Rolle passen. Eine umsatzsteuerliche Einordnung entscheidet diese datenschutzrechtliche Frage nicht. Einzelne Anbieterpositionen belegen keine allgemeine Mehrheitsmeinung.
Gemeinsame Verantwortlichkeit: Sie liegt vor, wenn zwei oder mehr Verantwortliche gemeinsam die Zwecke und die Mittel der Verarbeitung festlegen (Art. 26 Abs. 1 Satz 1 DSGVO); sie müssen in einer transparenten Vereinbarung festlegen, wer welche Pflichten erfüllt, insbesondere zu den Betroffenenrechten und den Informationspflichten (Art. 26 Abs. 1 Satz 2 und 3), und das Wesentliche den betroffenen Personen zugänglich machen (Art. 26 Abs. 2); unabhängig von der Vereinbarung können Betroffene ihre Rechte gegenüber jedem Verantwortlichen geltend machen (Art. 26 Abs. 3). Weites Verständnis durch den Europäischen Gerichtshof, gemeinsame Festlegung auch ohne schriftliche Vereinbarung und ohne eigenen Datenzugriff: EuGH, Urteil vom 05.06.2018, C-210/16 (Wirtschaftsakademie Schleswig-Holstein), ECLI:EU:C:2018:388; EuGH, Urteil vom 10.07.2018, C-25/17 (Zeugen Jehovas), ECLI:EU:C:2018:551; EuGH, Urteil vom 29.07.2019, C-40/17 (Fashion ID), ECLI:EU:C:2019:629 (phasenbezogene Beschränkung der gemeinsamen Verantwortlichkeit). Konkretisierung der Aufsicht: DSK, Kurzpapier Nr. 16 „Gemeinsam für die Verarbeitung Verantwortliche, Art. 26 DS-GVO", Stand 19.03.2018. Ob Makler und Pool gemeinsam verantwortlich sind, hängt davon ab, ob sie für den konkreten Verarbeitungsschritt Zwecke und wesentliche Mittel gemeinsam festlegen. Eine allgemeine Mehrheitsbehauptung ersetzt diese Prüfung nicht. Alle dejure.org, curia.europa.eu, datenschutzkonferenz-online.de.
Drittland und Unterauftrag: Art. 44 bis 49 DSGVO; Angemessenheitsbeschluss (EU) 2023/1795 und Standardvertragsklauseln nach Beschluss (EU) 2021/914. Am 18. Oktober 2026 ist der DPF-Beschluss (EU) 2023/1795 in Kraft. Er kann Drittlandtransfers an aktuell zertifizierte US-Empfänger im Umfang ihrer Zertifizierung tragen. Die übrigen DSGVO-Anforderungen bleiben bestehen. Gegen die Klageabweisung in T-553/23 ist C-703/25 P anhängig; das Rechtsmittel suspendiert den Beschluss nicht. Bei Standardvertragsklauseln ist die konkrete Transfersituation unter Berücksichtigung von EuGH C-311/18 und EDSA-Empfehlungen 01/2020, Version 2.0, zu prüfen. Ausnahmen nach Art. 49 sind eng auszulegen und ersetzen keine regelmässige Transfergrundlage. Art. 28 Abs. 2 und 4 DSGVO regeln Genehmigung und Einbindung von Unterauftragsverarbeitern. Die DSK-Bewertung zu Microsoft 365 vom November 2022 beschreibt den damaligen Stand und ersetzt keine Prüfung der aktuellen Vertrags- und Transfersituation.
Bussgeld und Haftung: Ein fehlender oder unzureichender AVV ist ein Verstoss gegen Art. 28 DSGVO und fällt in die untere Bussgeldstufe von bis zu 10 Mio. Euro oder bei Unternehmen 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 lit. a DSGVO), nicht in die obere Stufe des Art. 83 Abs. 5 (20 Mio. Euro / 4 Prozent); ein Bussgeld setzt Verschulden voraus (EuGH, Urteil vom 05.12.2023, C-807/21 (Deutsche Wohnen), ECLI:EU:C:2023:950). Zuständig ist die Datenschutzaufsicht des Landes (§ 40 Abs. 1 BDSG). Zivilrechtlich haftet primär der Verantwortliche (Art. 82 Abs. 1 DSGVO), der Auftragsverarbeiter nur eingeschränkt (Art. 82 Abs. 2), Exkulpation nur bei fehlender Verantwortlichkeit in jeder Hinsicht (Art. 82 Abs. 3; vgl. EuGH, Urteil vom 14.12.2023, C-340/21, ECLI:EU:C:2023:986); bei mehreren nach Art. 82 Abs. 2 und 3 für denselben Schaden verantwortlichen Beteiligten gesamtschuldnerische Haftung nach aussen (Art. 82 Abs. 4) mit Innenausgleich (Art. 82 Abs. 5). Bestimmt ein Auftragsverarbeiter Zwecke und Mittel selbst, gilt er insoweit als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Reale Aufsichtspraxis: BfDI, Pressemitteilung vom 03.06.2025 (Geldbussen gegen Vodafone, u. a. 15 Mio. Euro wegen unzureichend kontrollierter Partneragenturen nach Art. 28 Abs. 1); dokumentiert ferner ein Gesamtbussgeld der Aufsicht Brandenburg von 50’000 Euro wegen fehlenden schriftlichen Auftragsverarbeitungsvertrags und Verstössen gegen Transparenz und Verständlichkeit der Auskunft (Tätigkeitsbericht 2019, Abschnitt 8.2). Alle dejure.org, gesetze-im-internet.de, bfdi.bund.de.

Verwandte Beiträge

Weiterlesen

DSGVO im Maklerbüro: Ihre Datenschutzpflichten im Überblick

Maklerbestand übertragen: Zustimmung und Datenschutz

Wann Ihre Vermögensschadenhaftpflicht nicht zahlt

Ihr Maklerunternehmen persönlich begleiten.

Schildern Sie mir Ihre Ausgangslage. Im kostenlosen Erstgespräch besprechen wir, welche Begleitung für Sie passt. Die fachliche Prüfung und Gestaltung erfolgen im vereinbarten Mandat.

Ihr Vorhaben besprechen Persönliche Beratung für Maklerunternehmen

Umfang und Honorar vereinbaren wir vor der Beauftragung.