Daten aus Auftragsverarbeitungsverträge (AVV) extrahieren

Ein Auftragsverarbeitungsvertrag ist der Vertrag, der regelt, wie ein Unternehmen personenbezogene Daten im Auftrag eines anderen verarbeitet. Nach Artikel 28 DSGVO müssen Verantwortlicher und Auftragsverarbeiter, sobald ein Verantwortlicher einem Auftragsverarbeiter die Verarbeitung personenbezogener Daten überlässt, einen verbindlichen Vertrag schließen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Kategorien der Daten und betroffenen Personen und die Pflichten jeder Seite festlegt. Er wird meist als Anlage an einen Hauptdienstleistungsvertrag angehängt und ist ein Vertrag mit zwei Unterschriften, was ihn von einer Datenschutz-Folgenabschätzung unterscheidet. Eine DSFA hingegen ist eine interne Risikoprüfung, die ein Verantwortlicher vor Beginn einer risikoreichen Verarbeitung durchführt; ein AVV ist die ausgehandelte Vereinbarung, die den Auftragsverarbeiter bindet, sobald die Arbeit läuft. Datenschutzjuristen, Vendor-Management-Teams und Sicherheitsprüfer lesen alle dieselben Klauseln daraus. Die Pflichten stecken in den Klauseln: den Unterauftragsverarbeiter-Bedingungen, den technischen und organisatorischen Maßnahmen, der Grundlage für internationale Datenübermittlungen und den Prüfrechten. Auftragsverarbeiter dürfen Unterauftragsverarbeiter nur zu den vom Verantwortlichen festgelegten Bedingungen einsetzen. Ob Unterauftragsverarbeiter vorab genehmigt sind und ob der Verantwortliche über Änderungen informiert werden muss, sind eigene Felder, und jeder Unterauftragsverarbeiter wird mit Rolle und Standort aufgeführt. Die technischen und organisatorischen Maßnahmen zum Schutz der Daten werden aufgezählt, und jede Datenübermittlung außerhalb des EWR muss sich auf einen rechtmäßigen Mechanismus stützen, etwa die EU-Standardvertragsklauseln von 2021. Aufbewahrungs- und Löschfristen, Prüfrechte und die Haftungsobergrenze runden ab, was ein Prüfer vor der Unterzeichnung kontrolliert. Talonic liest den AVV und liefert Verantwortlichen und Auftragsverarbeiter, Verarbeitungszweck und Datenkategorien, die Unterauftragsverarbeiter-Bedingungen, die Sicherheitsmaßnahmen, den Mechanismus für internationale Übermittlungen und die Prüfrechte als typisierte Felder, wobei Unterauftragsverarbeiter, Verarbeitungstätigkeiten und Sicherheitsmaßnahmen als Tabellen erhalten bleiben. Ein AVV zwischen Verantwortlichem Northwind Retail Ltd und Auftragsverarbeiter Cloudmesh Systems B.V., angehängt an den Rahmenvertrag MSA-2026-0442 und wirksam ab 2026-04-01, der Kontaktdaten, Bestellhistorie und Zahlungs-Token für Kunden und Website-Besucher abdeckt, gestützt auf die EU-Standardvertragsklauseln von 2021 für eine Übermittlung an einen US-Unterauftragsverarbeiter, mit einer Aufbewahrungsfrist von 24 Monaten nach Vertragsende und Prüfrechten des Verantwortlichen, fließt in ein Vendor-Risk-Register statt in eine abgeheftete Anlage. Diese Extraktion strukturiert, was der Vertrag festlegt, und bewertet nicht, ob er die DSGVO erfüllt.

Was aus Auftragsverarbeitungsverträge (AVV) extrahiert wird

So funktioniert die Extraktion für Auftragsverarbeitungsverträge (AVV)

DPAs treten als Anhang zu einem Dienstleistungsvertrag, als eigenständig unterzeichnetes PDF oder als Vorlage eines Anbieters mit ausgefüllten Parteien auf, und die Klauseln nach Artikel 28 sind in jedem Fall anders angeordnet. Talonic liest die Vereinbarung und ordnet jede Klausel dem Datenverarbeitungs-Feldset zu, das die Field Registry führt: Diese trennt Verantwortlichen und Auftragsverarbeiter, die Beschreibung der Verarbeitung, die Unterauftragsverarbeiter- und Sicherheitsbestimmungen sowie die Übermittlungs- und Prüfklauseln, statt den Anhang als einen Block zu behandeln. Datenkategorien, Kategorien betroffener Personen, Sicherheitsmaßnahmen und Rechte betroffener Personen kommen als Arrays zurück, die Fragen zur Zustimmung und Benachrichtigung bei Unterauftragsverarbeitern werden als boolesche Felder gelesen, und der Mechanismus für internationale Übermittlungen sowie die Version der Standardvertragsklauseln werden als eigene Werte erfasst. Unterauftragsverarbeiter, Verarbeitungstätigkeiten und Sicherheitsmaßnahmen laden jeweils als Tabelle, und die Daten für Wirksamkeit, Ablauf und Zustimmung zu Unterauftragsverarbeitern werden nach ISO 8601 geparst. Jeder Wert trägt einen Konfidenzwert und einen Quellregion-Verweis nach DIN SPEC 91491, sodass ein Datenschutzprüfer einen Übermittlungsmechanismus oder einen benannten Unterauftragsverarbeiter bis zur Klausel zurückverfolgen kann. Insgesamt erfasst Talonic, was die Vereinbarung festlegt, und entscheidet nicht, ob sie Artikel 28 DSGVO erfüllt.

Beispielextraktion

Ein DPA nach Artikel 28 DSGVO im Anhang zu einem SaaS-Rahmenvertrag

{
  "document_number": "DPA-2026-0442",
  "document_date": "2026-03-28",
  "effective_date": "2026-04-01",
  "data_controller.name": "Northwind Retail Ltd",
  "data_controller.address": "20 Finsbury Circus, London EC2M 7EA",
  "data_processor.name": "Cloudmesh Systems B.V.",
  "data_processor.address": "Keizersgracht 300, 1016 EX Amsterdam",
  "processing_purpose": "Hosting, maintenance, and support of the controller e-commerce platform",
  "data_categories": [
    "contact data",
    "order history",
    "payment tokens"
  ],
  "data_subject_categories": [
    "customers",
    "website visitors"
  ],
  "data_retention_period": "24 months after termination, then deletion",
  "sub_processor.approved": true,
  "sub_processor.notification_required": true,
  "security_measures": [
    "encryption at rest and in transit",
    "role-based access control",
    "audit logging"
  ],
  "data_subject_rights": [
    "access",
    "rectification",
    "erasure",
    "portability"
  ],
  "international_transfer_mechanism": "standard_contractual_clauses",
  "standard_contractual_clauses_version": "2021 (Module Two, controller to processor)",
  "audit_rights": true,
  "termination_clause": "On termination the processor deletes or returns all personal data at the controller option",
  "governing_law": "Ireland",
  "dpa_scope_reference": "MSA-2026-0442",
  "regulatory_compliance_certification": [
    "ISO 27001",
    "SOC 2 Type II"
  ],
  "sub_processors": [
    {
      "processor_id": "SP-1",
      "processor_name": "Beacon Analytics Inc.",
      "processor_address": "San Jose, CA, United States",
      "processing_activities": "Product usage analytics",
      "approval_date": "2026-03-20"
    }
  ]
}

Häufig gestellte Fragen