Dienstleister-Check · Zum Mitnehmen

Ist Ihr IT-Dienstleister ein Risiko?

Zehn Prüfpunkte, mit denen Sie Ihre IT-Dienstleister und Auftragsverarbeiter in rund 15 Minuten auf Datenschutz und Sicherheit prüfen. Haken Sie ab, was erfüllt ist — jede offene Stelle ist ein konkreter nächster Schritt.

• 01Auftragsverarbeitungsvertrag (AVV) mit jedem Dienstleister, der personenbezogene Daten verarbeitet — schriftlich und aktuell?Erstellen Sie eine Liste aller Dienstleister mit Datenzugriff und prüfen Sie für jeden den AVV nach Art. 28 DSGVO. Fehlt einer, fordern Sie ihn an, bevor weitere Daten übergeben werden.
• 02Technische und organisatorische Maßnahmen (TOMs) des Dienstleisters dokumentiert und nachvollziehbar?Lassen Sie sich die TOMs als Anlage zum AVV geben — Verschlüsselung, Zugriffskontrolle, Protokollierung. Allgemeine Zusicherungen ohne Details reichen nicht.
• 03Datenstandort klar benannt — liegen Ihre Daten in einem Rechenzentrum in der EU?Fragen Sie konkret nach dem Speicherort. Bei Anbietern außerhalb der EU brauchen Sie eine tragfähige Rechtsgrundlage für den Transfer (etwa Standardvertragsklauseln).
• 04Nachweisbare Standards — ISO 27001, BSI-Grundschutz oder vergleichbare Zertifizierung vorhanden?Bitten Sie um das aktuelle Zertifikat oder einen Prüfbericht. Ein seriöser Anbieter legt diese ohne Zögern vor — Marketing-Aussagen sind kein Ersatz.
• 05Zugriffskonzept nach geringsten Rechten — greift beim Dienstleister nur zu, wer muss?Fragen Sie, wer auf Ihre Daten zugreifen kann und wie das protokolliert wird. Rollenbasierte Rechte und Mehr-Augen-Prinzip bei Admin-Zugängen sind Pflicht.
• 06Melde- und Notfallprozess — in welcher Frist informiert der Dienstleister Sie über einen Vorfall?Lassen Sie eine konkrete Frist im AVV festschreiben — kurz genug, dass Sie Ihre eigene 72-Stunden-Meldepflicht nach Art. 33 DSGVO noch einhalten können.
• 07Backup und Wiederanlauf — sichert der Dienstleister Ihre Daten, mit getesteter Wiederherstellzeit?Fragen Sie nach der zugesicherten Wiederherstellzeit (RTO) und ob ein Restore zuletzt tatsächlich getestet wurde. „Wir sichern täglich“ allein ist keine Zusage.
• 08Subunternehmer offengelegt — wissen Sie, wer in der Kette hinter Ihrem Dienstleister sitzt?Verlangen Sie eine Liste der Subunternehmer und ein Zustimmungsrecht bei Wechseln. Ihre Kette ist nur so stark wie ihr schwächstes Glied.
• 09Löschkonzept — was passiert mit Ihren Daten am Ende der Zusammenarbeit?Regeln Sie Rückgabe und nachweisbare Löschung im AVV. Ohne diese Klausel liegen Ihre Daten nach Vertragsende womöglich weiter beim Anbieter.
• 10Verzeichnis der Auftragsverarbeiter — führen Sie eine aktuelle Übersicht aller Dienstleister mit Datenzugriff?Pflegen Sie eine einfache Tabelle: Dienstleister, verarbeitete Daten, AVV-Status, Standort. Sie ist die Grundlage jeder Prüfung und im Ernstfall Ihr wichtigstes Dokument.