Auftragsverarbeitung und US-Transfers: Wie DACH-Kunden verhandeln — und wo das Data Privacy Framework steht

In DACH-Enterprise-Deals ist der Auftragsverarbeitungsvertrag (AVV) keine Anlage, die die Rechtsabteilung im Vorbeigehen abzeichnet. Er wird verhandelt — oft vom Datenschutzbeauftragten des Kunden, oft auf dessen eigener Vorlage und oft mit derselben Intensität wie die kommerziellen Bedingungen. Für SaaS-Anbieter ist der AVV die Stelle, an der viele Deals Wochen gewinnen oder verlieren.

Das rechtliche Minimum setzt Artikel 28 DSGVO: ein Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien und die Pflichten des Auftragsverarbeiters festlegt — Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen, kontrollierter Einsatz von Unterauftragsverarbeitern, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe und Kontrollen. Deutsche und österreichische Kunden nehmen jedes dieser Worte wörtlich.

Die Punkte, die Verhandlungen entscheiden

• Technische und organisatorische Maßnahmen: Kunden erwarten eine konkrete Anlage, keinen Verweis auf eine Richtlinienseite — und gleichen sie mit Ihren Zertifizierungen ab.
• Unterauftragsverarbeiter: eine aktuelle Liste, Vorabinformation über Änderungen und ein echtes Widerspruchsrecht. Fristen von rund 30 Tagen sind übliche Forderungen.
• Kontrollrechte: Anbieter bevorzugen Zertifikate und Prüfberichte, Kunden wollen Vor-Ort-Kontrollen. Der übliche Kompromiss: zuerst Berichte, Vor-Ort-Prüfungen bei Anlass.
• Meldung von Datenpannen: Die DSGVO verlangt eine Meldung unverzüglich; Kunden fordern oft feste Stundenfristen, weil ihre eigene 72-Stunden-Uhr von Ihrer abhängt.
• Haftung: Einkäufer drängen auf unbegrenzte oder gesondert begrenzte Datenschutzhaftung — der umstrittenste kommerzielle Punkt im AVV.
• Datenstandort: Verarbeitung innerhalb der EU oder des EWR ist zunehmend Voraussetzung statt Wunsch — besonders bei Banken, Versicherern und öffentlichen Auftraggebern.

Transfers in die USA: die rechtliche Architektur

Die Übermittlung personenbezogener Daten außerhalb des EWR braucht eine Grundlage nach Kapitel V der DSGVO. Für die USA sind zwei Mechanismen maßgeblich. Seit Juli 2023 besteht mit dem EU-US Data Privacy Framework (DPF) ein Angemessenheitsbeschluss für Übermittlungen an danach zertifizierte US-Unternehmen. Unabhängig davon stehen die EU-Standardvertragsklauseln von 2021 zur Verfügung — kombiniert mit einer Transfer-Folgenabschätzung, wie sie seit dem Schrems-II-Urteil des Gerichtshofs verlangt wird.

Das DPF hat seinen ersten gerichtlichen Test bestanden. Im September 2025 wies das Gericht der Europäischen Union die Klage des französischen Abgeordneten Philippe Latombe ab und bestätigte die Gültigkeit des Angemessenheitsbeschlusses. Abgeschlossen ist das Verfahren nicht: Seit Herbst 2025 ist ein Rechtsmittel beim Gerichtshof anhängig, mit einer Entscheidung wird nicht vor Ende 2026 oder 2027 gerechnet. Der Gerichtshof hat beide Vorgänger, Safe Harbor und Privacy Shield, gekippt — deshalb fragen viele DACH-Kunden nicht nur, ob ein Anbieter zertifiziert ist, sondern was passiert, wenn das Framework fällt.

“

Das Data Privacy Framework ist geltendes Recht. DACH-Kunden verhandeln trotzdem so, als hätten sie die Geschichte seiner beiden Vorgänger gelesen — weil sie es haben.

Ein belastbares Transfer-Setup

1. 01US-Anbieter: nach dem DPF zertifizieren und die Standardvertragsklauseln als Auffangmechanismus in den AVV aufnehmen — fällt der Angemessenheitsbeschluss, bleibt die vertragliche Grundlage.
2. 02Eine Transfer-Folgenabschätzung dokumentieren, die US-Überwachungsrecht und Ihre tatsächlichen Datenflüsse abdeckt — einschließlich Support-Zugriffen von außerhalb des EWR.
3. 03EU-Hosting und, wo möglich, Support und Administration aus der EU für Kunden mit strengen Anforderungen anbieten.
4. 04Den Umgang mit behördlichen Zugriffsersuchen transparent beschreiben — wie Ersuchen geprüft, angefochten und berichtet werden.
5. 05Für sensible Datenkategorien kundenverwaltete Verschlüsselungsschlüssel erwägen; das verändert die Risikobewertung erheblich.

Die Schweiz

Schweizer Kunden wenden das revidierte Datenschutzgesetz an, das seit September 2023 in Kraft ist. Für die USA hat der Bundesrat seit September 2024 das Swiss-US Data Privacy Framework anerkannt; Übermittlungen an zertifizierte US-Unternehmen sind damit auch aus Schweizer Sicht ohne zusätzliche Garantien möglich. Schweizer Kunden erwarten trotzdem meist dieselbe vertragliche Absicherung wie EU-Kunden.

Fazit

Im DACH-Markt ist Datenschutz Teil des Produkts und der AVV Teil des Vertriebszyklus. Anbieter, die mit einem vollständigen, deutschsprachigen AVV, einer klaren Liste der Unterauftragsverarbeiter und einem Transfer-Setup kommen, das ein Gerichtsurteil übersteht, verkürzen Verhandlungen und gewinnen das Vertrauen der Datenschutzbeauftragten. Aegiron Capital Group unterstützt Markteinsteiger bei der Vorbereitung ihrer Vertrags- und Datenschutzdokumentation für den DACH-Einkauf; die Rechtsberatung übernimmt die Kanzlei, die Sie beauftragen.