Daten aus Auftragsverarbeitungsverträge (AVV) extrahieren
Ein Auftragsverarbeitungsvertrag ist der Vertrag, der regelt, wie ein Unternehmen personenbezogene Daten im Auftrag eines anderen verarbeitet. Nach Artikel 28 DSGVO müssen Verantwortlicher und Auftragsverarbeiter, sobald ein Verantwortlicher einem Auftragsverarbeiter die Verarbeitung personenbezogener Daten überlässt, einen verbindlichen Vertrag schließen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und betroffenen Personen und die Pflichten jeder Seite festlegt. Er wird meist als Anlage an einen Hauptdienstleistungsvertrag angehängt und ist ein Vertrag mit zwei Unterschriften, was ihn von einer Datenschutz-Folgenabschätzung unterscheidet. Eine DSFA hingegen ist eine interne Risikoprüfung, die ein Verantwortlicher vor Beginn einer risikoreichen Verarbeitung durchführt; ein AVV ist die ausgehandelte Vereinbarung, die den Auftragsverarbeiter bindet, sobald die Arbeit läuft. Datenschutzjuristen, Vendor-Management-Teams und Sicherheitsprüfer lesen alle dieselben Klauseln daraus.
Die Pflichten stecken in den Klauseln: den Unterauftragsverarbeiter-Bedingungen, den technischen und organisatorischen Maßnahmen, der Grundlage für internationale Datenübermittlungen und den Prüfrechten. Auftragsverarbeiter dürfen Unterauftragsverarbeiter nur zu den vom Verantwortlichen festgelegten Bedingungen einsetzen. Ob Unterauftragsverarbeiter vorab genehmigt sind und ob der Verantwortliche über Änderungen informiert werden muss, sind eigene Felder, und jeder Unterauftragsverarbeiter wird mit Rolle und Standort aufgeführt. Die technischen und organisatorischen Maßnahmen zum Schutz der Daten werden aufgezählt, und jede Datenübermittlung außerhalb des EWR muss sich auf einen rechtmäßigen Mechanismus stützen, etwa die EU-Standardvertragsklauseln von 2021. Aufbewahrungs- und Löschfristen, Prüfrechte und die Haftungsobergrenze runden ab, was ein Prüfer vor der Unterzeichnung kontrolliert.
Talonic liest den AVV und liefert Verantwortlichen und Auftragsverarbeiter, Verarbeitungszweck und Datenkategorien, die Unterauftragsverarbeiter-Bedingungen, die Sicherheitsmaßnahmen, den Mechanismus für internationale Übermittlungen und die Prüfrechte als typisierte Felder, wobei Unterauftragsverarbeiter, Verarbeitungstätigkeiten und Sicherheitsmaßnahmen als Tabellen erhalten bleiben. Ein AVV zwischen Verantwortlichem Northwind Retail Ltd und Auftragsverarbeiter Cloudmesh Systems B.V., angehängt an den Rahmenvertrag MSA-2026-0442 und wirksam ab 2026-04-01, der Kontaktdaten, Bestellhistorie und Zahlungs-Token für Kunden und Website-Besucher abdeckt, gestützt auf die EU-Standardvertragsklauseln von 2021 für eine Übermittlung an einen US-Unterauftragsverarbeiter, mit einer Aufbewahrungsfrist von 24 Monaten nach Vertragsende und Prüfrechten des Verantwortlichen, fließt in ein Vendor-Risk-Register statt in eine abgeheftete Anlage. Diese Extraktion strukturiert, was der Vertrag festlegt, und bewertet nicht, ob er die DSGVO erfüllt.
Was aus Auftragsverarbeitungsverträge (AVV) extrahiert wird
So funktioniert die Extraktion für Auftragsverarbeitungsverträge (AVV)
DPAs treten als Anhang zu einem Dienstleistungsvertrag, als eigenständig unterzeichnetes PDF oder als Vorlage eines Anbieters mit ausgefüllten Parteien auf, und die Klauseln nach Artikel 28 sind in jedem Fall anders angeordnet. Talonic liest die Vereinbarung und ordnet jede Klausel dem Datenverarbeitungs-Feldset zu, das die Field Registry führt: Diese trennt Verantwortlichen und Auftragsverarbeiter, die Beschreibung der Verarbeitung, die Unterauftragsverarbeiter- und Sicherheitsbestimmungen sowie die Übermittlungs- und Prüfklauseln, statt den Anhang als einen Block zu behandeln. Datenkategorien, Kategorien betroffener Personen, Sicherheitsmaßnahmen und Rechte betroffener Personen kommen als Arrays zurück, die Fragen zur Zustimmung und Benachrichtigung bei Unterauftragsverarbeitern werden als boolesche Felder gelesen, und der Mechanismus für internationale Übermittlungen sowie die Version der Standardvertragsklauseln werden als eigene Werte erfasst. Unterauftragsverarbeiter, Verarbeitungstätigkeiten und Sicherheitsmaßnahmen laden jeweils als Tabelle, und die Daten für Wirksamkeit, Ablauf und Zustimmung zu Unterauftragsverarbeitern werden nach ISO 8601 geparst. Jeder Wert trägt einen Konfidenzwert und einen Quellregion-Verweis nach DIN SPEC 91491, sodass ein Datenschutzprüfer einen Übermittlungsmechanismus oder einen benannten Unterauftragsverarbeiter bis zur Klausel zurückverfolgen kann. Insgesamt erfasst Talonic, was die Vereinbarung festlegt, und entscheidet nicht, ob sie Artikel 28 DSGVO erfüllt.
Beispielextraktion
Ein DPA nach Artikel 28 DSGVO im Anhang zu einem SaaS-Rahmenvertrag
{
"document_number": "DPA-2026-0442",
"document_date": "2026-03-28",
"effective_date": "2026-04-01",
"data_controller.name": "Northwind Retail Ltd",
"data_controller.address": "20 Finsbury Circus, London EC2M 7EA",
"data_processor.name": "Cloudmesh Systems B.V.",
"data_processor.address": "Keizersgracht 300, 1016 EX Amsterdam",
"processing_purpose": "Hosting, maintenance, and support of the controller e-commerce platform",
"data_categories": [
"contact data",
"order history",
"payment tokens"
],
"data_subject_categories": [
"customers",
"website visitors"
],
"data_retention_period": "24 months after termination, then deletion",
"sub_processor.approved": true,
"sub_processor.notification_required": true,
"security_measures": [
"encryption at rest and in transit",
"role-based access control",
"audit logging"
],
"data_subject_rights": [
"access",
"rectification",
"erasure",
"portability"
],
"international_transfer_mechanism": "standard_contractual_clauses",
"standard_contractual_clauses_version": "2021 (Module Two, controller to processor)",
"audit_rights": true,
"termination_clause": "On termination the processor deletes or returns all personal data at the controller option",
"governing_law": "Ireland",
"dpa_scope_reference": "MSA-2026-0442",
"regulatory_compliance_certification": [
"ISO 27001",
"SOC 2 Type II"
],
"sub_processors": [
{
"processor_id": "SP-1",
"processor_name": "Beacon Analytics Inc.",
"processor_address": "San Jose, CA, United States",
"processing_activities": "Product usage analytics",
"approval_date": "2026-03-20"
}
]
}Häufig gestellte Fragen
Wie unterscheidet sich ein DPA von einer DPIA?
Ein DPA ist der Vertrag nach Artikel 28 DSGVO, der einen Auftragsverarbeiter verpflichtet, personenbezogene Daten nach den Vorgaben des Verantwortlichen zu verarbeiten, mit zwei Unterschriften. Eine DPIA ist die interne Risikobewertung nach Artikel 35, die ein Verantwortlicher vor einer Verarbeitung mit hohem Risiko durchführt. Talonic liest beide anhand eines eigenen Schemas und verlinkt zum DPIA-Extraktor.
Erfasst es die Bedingungen für Unterauftragsverarbeiter?
Ja. Ob Unterauftragsverarbeiter genehmigt sind und ob der Verantwortliche benachrichtigt werden muss, wird als eigenes Feld gelesen, und jeder benannte Unterauftragsverarbeiter lädt in einer Tabelle mit Rolle, Standort und Genehmigungsdatum, sodass ein Lieferantenrisikoregister aus strukturierten Daten befüllt wird.
Wie werden internationale Übermittlungen und SCCs behandelt?
Der Mechanismus für internationale Übermittlungen wird als eigenes Feld erfasst, und die Version der Standardvertragsklauseln wird gelesen, wo sie angegeben ist, sodass eine Übermittlung an einen US-Unterauftragsverarbeiter auf Basis der EU-SCCs von 2021 ohne erneutes Lesen des Anhangs nachvollziehbar ist.
Entscheidet Talonic, ob der DPA DSGVO-konform ist?
Nein. Talonic strukturiert die Parteien, Klauseln und Maßnahmen, die die Vereinbarung festlegt, und verknüpft jede mit ihrer Quellregion. Zu beurteilen, ob die Vereinbarung Artikel 28 erfüllt, ist Aufgabe der Datenschutzberatung, nicht der Extraktion.
Welche Felder werden aus Auftragsverarbeitungsverträge (AVV) extrahiert?
Talonic gibt Auftragsverarbeitungsverträge (AVV) als schemavalidierte, typisierte Felder zurück. Zu den gängigen Feldern zählen Vertragsnummer, Verantwortlicher, Auftragsverarbeiter, Verarbeitungszweck und weitere, jeweils normalisiert (Datumsangaben nach ISO 8601, Beträge als Zahlen) und einem stabilen Schlüssel zugeordnet, sodass die Ausgabestruktur über verschiedene Layouts hinweg gleich bleibt.
Wie genau ist die Extraktion aus Auftragsverarbeitungsverträge (AVV), und wie wird die Konfidenz angegeben?
Die Genauigkeit hängt vom Feld und von der Dokumentqualität ab. Talonic gibt für jedes Feld einen Konfidenzwert zwischen 0.0 und 1.0 aus; Extraktionen unterhalb Ihres Schwellenwerts werden vor der Übernahme in Ihr System of Record zur Prüfung markiert.
Kann ich die Auftragsverarbeitungsverträge (AVV)-Extraktion produktiv einsetzen?
Ja. Dieselbe Engine, die diesem Leitfaden zugrunde liegt, steht als produktionsreife REST-API und Node SDK zur Verfügung, mit synchronen, asynchronen und Streaming-Modi, Schema-Versionierung, signierten Webhooks und EU-Datenverarbeitung. Starten Sie kostenlos mit einem API-Key und skalieren Sie anschließend mit nutzungsbasierter Preisgestaltung.
Was kostet die Datenextraktion aus Auftragsverarbeitungsverträge (AVV)?
Es gibt eine kostenlose Stufe für Prototyping und Agent-Evaluierung, ohne Kreditkarte. Kostenpflichtige Nutzung basiert auf Credits: 1.000 Credits pro Euro. Die Seitenerfassung kostet 100 Credits pro Seite, registry-aufgelöste Abfragen sind kostenlos. Aktuelle Preise finden Sie unter talonic.com/pricing.
Bereit, Daten aus Ihrem eigenen Auftragsverarbeitungsverträge (AVV) zu extrahieren?
Autorenhinweis
Geprüft von Talonic engineering, privacy schema review · zuletzt geprüft am 2026-07-09