Datenweitergabe an Drittanbieter: Die unterschätzte Gefahr für Unternehmen

Was bedeutet Datenweitergabe an Drittanbieter und warum ist sie riskant?

Datenweitergabe an Drittanbieter bedeutet, dass ein Unternehmen personenbezogene Daten an externe Dienstleister oder Partner übermittelt, etwa an Cloud-Anbieter, Agenturen oder Lohnbuchhaltungen. Das Risiko: Das Unternehmen bleibt für die Daten verantwortlich, auch wenn ein anderer sie verarbeitet. Ohne Auftragsverarbeitungsvertrag, Prüfung der Sicherheitsmaßnahmen und Kontrolle über Unterauftragsverarbeiter und Drittlandtransfers drohen Bußgelder, Haftung und Vertrauensverlust.

Unternehmen sammeln und verarbeiten täglich große Mengen an Daten, um ihre Geschäftsprozesse zu optimieren und ihre Kund:innen besser zu bedienen. Mit dieser Datenfülle kommt aber auch eine große Verantwortung. Die Weitergabe von Daten an Drittanbieter kann erhebliche Risiken mit sich bringen, die oft unterschätzt werden.

Datenschutzskandale und strenge gesetzliche Vorschriften wie die DSGVO haben das Bewusstsein für Datenschutz und Compliance geschärft. Unternehmen müssen sich ihrer Verantwortung bewusst sein und die gesetzlichen Anforderungen einhalten, um hohe Bußgelder und Reputationsschäden zu vermeiden.

Die Datenweitergabe kann verschiedene Formen annehmen, von der Verarbeitung von Kundendaten durch Cloud-Dienstleister bis zur Weitergabe von Finanzdaten an die Steuerberatung. Dabei geht es nicht nur um die Daten selbst, sondern auch um die damit verbundenen Prozesse und Sicherheitsmaßnahmen. Ohne angemessene Vorkehrungen kann die Datenweitergabe zu Datenschutzverletzungen und erheblichen rechtlichen Konsequenzen führen.

Auftragsverarbeitung oder Übermittlung: der wichtige Unterschied

Nicht jede Datenweitergabe ist gleich. Rechtlich wird zwischen zwei Fällen unterschieden:

• Auftragsverarbeitung (Art. 28 DSGVO): Der Dienstleister verarbeitet die Daten nur nach deinen Weisungen, etwa ein Hosting-Anbieter, ein Newsletter-Tool oder eine Lohnbuchhaltung. Dafür brauchst du einen Auftragsverarbeitungsvertrag (AVV), aber keine Einwilligung der betroffenen Personen und keine eigene Rechtsgrundlage für die Weitergabe.
• Übermittlung an andere Verantwortliche: Der Empfänger nutzt die Daten für eigene Zwecke, etwa ein Werbepartner oder eine Versicherung. Dann braucht die Weitergabe selbst eine Rechtsgrundlage nach Art. 6 DSGVO, zum Beispiel eine Einwilligung oder ein berechtigtes Interesse.

Warum Compliance für die Datenweitergabe entscheidend ist

Compliance bedeutet im Kern, dass ein Unternehmen alle geltenden gesetzlichen, regulatorischen und vertraglichen Verpflichtungen einhält. Bei der Weitergabe personenbezogener Daten an Drittanbieter ist dies besonders entscheidend – denn hier drohen nicht nur empfindliche Bußgelder, sondern auch Vertrauensverlust bei Kund:innen, Partner:innen und der Öffentlichkeit.

Verpflichtung zur DSGVO-Konformität

Gemäß Art. 5 Abs. 1 DSGVO müssen personenbezogene Daten rechtmäßig, zweckgebunden, transparent und sicher verarbeitet werden. Bei der Zusammenarbeit mit externen Dienstleistern trägt das verantwortliche Unternehmen weiterhin die datenschutzrechtliche Verantwortung – auch wenn die Verarbeitung ausgelagert wird.

Wichtig ist dabei Art. 28 DSGVO. Eine Datenverarbeitung im Auftrag ist danach nur zulässig, wenn:

• ein Auftragsverarbeitungsvertrag (AVV) besteht,
• der Dienstleister nach datenschutzrechtlichen Kriterien ausgewählt wurde,
• und technische und organisatorische Maßnahmen (TOMs) zur Sicherheit der Daten nachgewiesen werden können (Art. 32 DSGVO).

Vertrauen als Wettbewerbsfaktor

Neben der rechtlichen Seite ist Compliance auch ein strategisches Thema: Kund:innen, Investor:innen und Partner legen zunehmend Wert auf transparente und sichere Datenprozesse. Wer hier mit strukturierten Richtlinien, regelmäßigen Audits und dokumentierten Sicherheitsmaßnahmen überzeugt, schafft Vertrauen – einen entscheidenden Wettbewerbsvorteil im digitalen Zeitalter.

Rechtliche Rahmenbedingungen und ihre Auswirkungen

Die rechtlichen Rahmenbedingungen für die Datenweitergabe variieren je nach Region und Branche. In der Europäischen Union ist die Datenschutz-Grundverordnung (DSGVO) das wichtigste Regelwerk für die Verarbeitung personenbezogener Daten.

Die DSGVO verpflichtet Unternehmen bei der Datenweitergabe unter anderem zu:

• einer Rechtsgrundlage für jede Übermittlung an andere Verantwortliche (Art. 6 DSGVO),
• einer sorgfältigen Auswahl von Auftragsverarbeitern und einem AVV (Art. 28 DSGVO),
• geeigneten technischen und organisatorischen Maßnahmen (Art. 32 DSGVO),
• der Dokumentation aller Verarbeitungen und der Meldung von Datenschutzverletzungen innerhalb von 72 Stunden (Art. 30 und 33 DSGVO).

Verstöße können mit bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – ganz zu schweigen vom Imageschaden.

Versteckte Risiken: Wo die wahre Gefahr lauert

Wenn es um Datenweitergabe an Drittanbieter geht, denken viele sofort an offensichtliche Risiken wie Hackerangriffe, Datenlecks oder den Verlust sensibler Informationen. Doch die wahren Gefahren liegen oft tiefer – in den Details der Zusammenarbeit, die im Alltag leicht übersehen werden. Genau hier entstehen die größten Schwachstellen für Compliance und Datensicherheit.

1. Unklare oder fehlende Vertragsbedingungen

Viele Unternehmen übermitteln Daten an Dienstleister, ohne einen wirksamen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO abzuschließen – oder sie nutzen veraltete, unklare Vertragsmuster.

Beispiel: Ein mittelständischer Onlineshop beauftragt eine externe Agentur mit dem Versand von Newslettern. Die Agentur erhält Zugriff auf die komplette Kundendatenbank – aber es gibt keinen AVV, der regelt, wie mit diesen Daten umzugehen ist, wer sie verarbeiten darf oder wie lange sie gespeichert werden. Bei einem Datenschutzverstoß haftet in erster Linie das beauftragende Unternehmen. Auch die Agentur kann nach Art. 82 DSGVO haften, wenn sie ihre Pflichten als Auftragsverarbeiter verletzt.

2. Fehlende Kontrolle über Unterauftragsverarbeiter

Selbst wenn ein Dienstleister vertraglich abgesichert ist, setzen viele Anbieter weitere Unterauftragsverarbeiter ein – etwa Hosting-Anbieter, Payment-Dienstleister oder externe Entwicklerteams. Diese „Kette“ der Datenweitergabe ist häufig nicht vollständig transparent.

Beispiel: Ein deutsches Unternehmen nutzt einen US-basierten Cloud-Dienst für CRM und Support. Dieser Dienstleister hostet die Daten jedoch wiederum bei einem Drittanbieter in Indien – ohne dass dies im Vertrag offengelegt oder technisch abgesichert ist. Das Unternehmen verliert dadurch die Kontrolle über den Datenfluss und riskiert Verstöße gegen die DSGVO, insbesondere beim Drittlandtransfer (Art. 44 ff. DSGVO).

3. Unzureichende technische und organisatorische Maßnahmen (TOMs)

Die Sicherheit der Daten steht und fällt mit den umgesetzten Maßnahmen. Doch nicht alle Drittanbieter setzen ausreichend hohe Standards um – etwa bei Verschlüsselung, Zugriffskontrollen oder der Löschung von Daten nach Vertragsende (Art. 32 DSGVO).

Beispiel: Eine HR-Software speichert Bewerbungsdaten auf unverschlüsselten Servern. Ein unberechtigter interner Zugriff bleibt zunächst unbemerkt. Da das auftraggebende Unternehmen die Sicherheitsmaßnahmen nie geprüft hat, gilt es als mitverantwortlich.

4. Fehlende Kontrolle und Audits

Viele Unternehmen versäumen es, ihre Dienstleister regelmäßig zu überprüfen – sei es durch Audits, Selbstauskünfte oder Zertifikate (z. B. ISO 27001, SOC 2). Ohne klare Kontrollmechanismen bleibt unklar, ob der Dienstleister die vereinbarten Datenschutzstandards tatsächlich einhält.

Beispiel: Ein Unternehmen lagert die Lohnbuchhaltung aus und verlässt sich auf die Aussage des Dienstleisters, man „arbeite datenschutzkonform“. Eine spätere Prüfung ergibt, dass sensible Mitarbeiterdaten ungeschützt auf lokalen Servern gespeichert wurden – ein klarer Verstoß, der durch fehlende Kontrolle möglich wurde.

Rechtliche Fallstricke: DSGVO, Auftragsverarbeitung & Co.

Die DSGVO ist eindeutig: Wer personenbezogene Daten an Dritte weitergibt, bleibt in der Verantwortung – und muss die Zusammenarbeit rechtlich sauber absichern. Trotzdem schleichen sich gerade hier immer wieder kritische Versäumnisse ein, die zu empfindlichen Strafen führen können.

1. Fehlende oder fehlerhafte Auftragsverarbeitungsverträge (Art. 28 DSGVO)

Ein weit verbreiteter Fehler ist die Zusammenarbeit ohne AVV oder mit unvollständigen Vertragsklauseln. Laut Art. 28 Abs. 3 DSGVO muss ein AVV unter anderem folgende Punkte verbindlich regeln:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Kategorien betroffener Personen und Daten
• Verpflichtung des Auftragsverarbeiters zu Vertraulichkeit und Sicherheit
• klare Weisungsbindung und Kontrollrechte des Auftraggebers

Praxisbeispiel: Ein SaaS-Tool für Marketing-Automation wird beauftragt, doch der AVV ist nur ein Anhang in den AGB ohne Regelung zu Löschfristen oder Unterauftragsverarbeitern. Im Prüfungsfall erkennt die Datenschutzbehörde diesen Vertrag nicht als ausreichend an – mit Konsequenzen für das beauftragende Unternehmen.

2. Unzulässige Datenübermittlung in Drittländer (Art. 44 ff. DSGVO)

Wird ein Drittanbieter außerhalb der EU eingebunden, greift Kapitel V der DSGVO. Ohne Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln (SCCs) ist die Datenübermittlung rechtswidrig – selbst bei großen Anbietern.

Beispiel: Ein deutsches Unternehmen nutzt ein US-basiertes Analyse-Tool. Die Daten werden auf Servern in den USA gespeichert, ohne dass eine Grundlage für den Transfer besteht. Seit dem „Schrems II“-Urteil (EuGH 2020) ist das unzulässig. Heute ist eine Übermittlung in die USA möglich, wenn der Anbieter nach dem EU-US Data Privacy Framework (seit 2023) zertifiziert ist oder SCCs mit ggf. zusätzlichen Schutzmaßnahmen vereinbart sind. Fehlt beides, liegt ein DSGVO-Verstoß vor. Wer das Risiko ganz vermeiden will, setzt auf europäische Alternativen zu US-Tools.

3. Fehlende Dokumentation und Rechenschaftspflicht (Art. 5 Abs. 2 & Art. 30 DSGVO)

Ein häufiger Fallstrick ist die unzureichende Nachweisführung: Unternehmen müssen belegen können, wann, wie und mit wem sie personenbezogene Daten geteilt haben – inklusive Zweck, Rechtsgrundlage und getroffener Sicherheitsmaßnahmen.

Beispiel: Im Rahmen einer Datenschutzprüfung kann ein Unternehmen nicht nachweisen, mit welchem Anbieter Bewerberdaten verarbeitet wurden und ob ein AVV vorliegt. Das Fehlen dieser Unterlagen gilt als Verstoß gegen die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

4. Fehlende Einwilligung oder falsche Rechtsgrundlage (Art. 6 DSGVO)

Gerade bei Drittanbietern im Marketing- oder Tracking-Kontext stützen sich Unternehmen fälschlich auf „berechtigtes Interesse“, obwohl eine Einwilligung erforderlich wäre – insbesondere, wenn Nutzerdaten für eigene Zwecke des Drittanbieters weitergegeben werden.

Beispiel: Eine Website verwendet ein Chat-Widget, das IP-Adressen und Verhaltensdaten an einen Drittanbieter übermittelt – ohne Cookie-Einwilligung oder Hinweis in der Datenschutzerklärung. Das kann als unerlaubte Datenverarbeitung gewertet werden.

Best Practices für eine sichere Datenweitergabe

Die Risiken bei der Zusammenarbeit mit Drittanbietern lassen sich nicht vollständig vermeiden – aber deutlich reduzieren. Entscheidend ist eine strukturierte Vorgehensweise, die rechtliche, technische und organisatorische Maßnahmen kombiniert. Die folgenden Best Practices helfen dabei, Datenweitergaben sicher und DSGVO-konform zu gestalten:

1. Drittanbieter sorgfältig auswählen und prüfen

• Vorauswahl nur mit Anbietern, die eine DSGVO-konforme Datenverarbeitung nachweisen können (z. B. durch Zertifikate wie ISO 27001, SOC 2 oder TISAX).
• Datenschutz-Checklisten oder Selbstauskünfte zur Risikoeinschätzung vor Vertragsabschluss nutzen.
• Anbieter ablehnen, die keine klare Auskunft zu Unterauftragsverarbeitern, Speicherdauer oder Datenfluss geben.

Tipp: Führe vor der Beauftragung einen internen „Privacy Due Diligence“-Prozess ein.

2. DSGVO-konforme Verträge abschließen (inkl. AVV)

• Immer einen AVV nach Art. 28 DSGVO abschließen – mit individuellen, nicht nur generischen Regelungen.
• Verträge regelmäßig auf Aktualität prüfen (z. B. beim Wechsel von Unterauftragsverarbeitern).
• Datenübermittlungen in Drittländer ohne geeignete Garantien vertraglich ausschließen.

Tipp: Verwende eigene AVV-Vorlagen oder prüfe Anbieter-AVVs vor der Unterschrift kritisch.

3. Technische und organisatorische Maßnahmen (TOMs) sicherstellen

• Mindeststandards wie Verschlüsselung, Zwei-Faktor-Authentifizierung und Rechtemanagement verpflichtend machen.
• Datenminimierung: Nur so viele Daten übermitteln, wie unbedingt nötig.
• Vorgaben zu Löschfristen, Backups und Zugriffskontrollen in den Vertrag aufnehmen.

Tipp: Verlange eine Auflistung der TOMs im AVV – inkl. regelmäßiger Nachweise oder Auditrechte.

4. Regelmäßige Audits und Monitoring einführen

• Drittanbieter jährlich oder anlassbezogen überprüfen, z. B. durch Datenschutzauswertungen, technische Tests oder Zertifikatsprüfungen.
• Auf Änderungen beim Dienstleister achten (z. B. neue Unterauftragsverarbeiter).
• Verstöße oder Sicherheitsvorfälle klar definieren und mit Eskalationsplänen absichern.

Tipp: Lege in deiner Datenschutzstrategie feste Prüfintervalle und Verantwortlichkeiten fest.

5. Klare interne Prozesse und Verantwortlichkeiten festlegen

• Erstelle ein zentrales Verzeichnis aller Drittanbieter mit AVVs, Zwecken, Löschfristen und Ansprechpersonen.
• Lege verbindliche Richtlinien für Datenweitergaben fest – inkl. Prüfpflichten vor Vertragsbeginn.
• Definiere Rollen: Wer darf Datenweitergaben freigeben? Wer dokumentiert?

Tipp: Nutze ein Datenschutz-Management-Tool zur strukturierten Steuerung.

6. Schulung und Sensibilisierung der Mitarbeitenden

• Regelmäßige Schulungen zu Datenschutz, Drittlandrisiken, sicheren Tools und DSGVO-Pflichten.
• Konkrete Anwendungsfälle durchspielen (z. B. „Darf ich dieses Tool verwenden?“).
• Meldewege für Datenschutzverstöße und Unsicherheiten bekannt machen.

Tipp: Baue Datenschutz in Onboarding-Prozesse und jährliche Pflichttrainings ein.

Die Rolle der Technologie bei der Einhaltung von Compliance

Technologie kann eine entscheidende Rolle bei der Einhaltung von Compliance spielen. Mit Datenschutz-Management-Software können Unternehmen ihre Datenverarbeitungsprozesse automatisieren und überwachen und so sicherstellen, dass alle gesetzlichen Anforderungen erfüllt werden.

Darüber hinaus bieten moderne Verschlüsselungstechnologien und Zugriffsmanagementsysteme zusätzlichen Schutz für sensible Daten und helfen, das Risiko von Datenschutzverletzungen zu minimieren.

Fazit: Kontrolle zurückgewinnen durch bewusste Prozesse

Die sichere Datenweitergabe und die Einhaltung von Compliance-Richtlinien sind für den Schutz von Unternehmen und ihren Kund:innen unerlässlich. Durch bewusste Prozesse und den Einsatz geeigneter Technologien können Unternehmen die Kontrolle über ihre Daten zurückgewinnen und die damit verbundenen Risiken minimieren.

Letztendlich trägt eine starke Compliance-Kultur nicht nur zur Einhaltung gesetzlicher Anforderungen bei, sondern stärkt auch das Vertrauen von Kund:innen und Partnern und fördert langfristigen Geschäftserfolg.

Mit dem Vendor Risk Management von heyData prüfst du deine Dienstleister strukturiert, verwaltest AVVs und Unterauftragsverarbeiter an einem Ort und behältst Drittlandtransfers im Blick.

Mach den ersten Schritt: Buche jetzt eine kostenlose Demo