---
title: "Datenschutz für IT-Dienstleister: die Rolle entscheidet"
description: "IT-Dienstleister sind meist Auftragsverarbeiter – aber nicht immer. Was die Rolle bestimmt und welche Pflichten daran hängen."
canonical: "https://www.dsb-datenschutz.de/datenschutz/branchen-it-serviceprovider/"
---

# Datenschutz für IT-Dienstleister

Für **IT-Dienstleister** ist Datenschutz keine interne Pflicht, sondern ein Verkaufsargument. Ihre Kunden müssen sich nach [Art. 28 Abs. 1 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-28/) von Ihrer Eignung überzeugen, bevor sie Sie beauftragen. Wer diesen Nachweis schnell liefert, gewinnt Ausschreibungen, die andere in der Prüfschleife verlieren.

## Die Rolle entscheidet über alles Weitere

**Auftragsverarbeiter** sind Sie, wenn Sie weisungsgebunden für den Kunden verarbeiten: Hosting, Wartung, Systembetrieb, Backup, Support. Sie bestimmen nicht über Zwecke und Mittel; das tut der Kunde.

**Eigenständig verantwortlich** sind Sie für alles, was Sie zu eigenen Zwecken tun: Ihre Buchhaltung, Ihre Beschäftigtendaten, Ihre Werbung, Ihre Auswertung des eigenen Geschäfts.

**Gemeinsam verantwortlich** kann werden, wer über den Zweck mitentscheidet – etwa bei einem Produkt, dessen Auswertungen Sie selbst nutzen.

Der Fehler, der am teuersten wird: Ein Auftragsverarbeiter, der über den Auftrag hinaus eigene Zwecke verfolgt – Daten des Kunden zur Produktverbesserung, zu Analysen oder zum Training von Modellen –, verlässt seine Rolle. [Art. 28 Abs. 10](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-28/) macht ihn dann für diese Verarbeitung zum Verantwortlichen, mit allen Pflichten und ohne Rechtsgrundlage vom Kunden.

## Was Ihre Kunden verlangen werden

Und was Sie deshalb vorbereitet haben sollten:

- **Ihren [Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/)** als eigene Vorlage. Wer keine hat, unterschreibt die des Kunden – und damit jedes Mal andere Pflichten.
- **Die Beschreibung Ihrer [technischen und organisatorischen Maßnahmen](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/)**, aktuell und verständlich.
- **Die Liste Ihrer Unterauftragnehmer** mit Sitz und Leistung, samt Verfahren für Änderungen.
- **Angaben zum Verarbeitungsort** und, falls außerhalb der EU, zur [Drittlandübermittlung](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/).
- **Nachweis der Verpflichtung Ihrer Beschäftigten** auf Vertraulichkeit.
- **Ein Zertifikat**, wenn Sie an größere Kunden verkaufen – [ISO 27001](https://www.dsb-datenschutz.de/frameworks/iso-27001/) oder, im Cloudgeschäft, ein [C5-Testat](https://www.dsb-datenschutz.de/informationssicherheit/wissen-was-ist-bsi-c5/). Für den amerikanischen Markt siehe [SOC 2](https://www.dsb-datenschutz.de/informationssicherheit/wissen-was-ist-soc-2/).

Einmal erstellt, beantwortet diese Mappe den überwiegenden Teil jedes Fragebogens. Der Aufwand fällt einmal an, der Nutzen bei jeder Ausschreibung.

## Die Unterauftragnehmerkette

Sie ist der Punkt, an dem Prüfungen hängen bleiben. Ihr Kunde muss wissen, wer für Sie tätig wird – und Ihr Rechenzentrum, Ihr Monitoring-Anbieter, Ihr Ticketsystem und Ihr Backup-Dienstleister sind Unterauftragnehmer.

Zu regeln sind: die Genehmigung durch den Kunden, die Mitteilung bei Wechseln, und die Weitergabe Ihrer eigenen Pflichten nach unten. Die Einstufung nach Kritikalität beschreibt das [Lieferantenaudit](https://www.dsb-datenschutz.de/informationssicherheit/wissen-lieferanten-audit/).

## Fernwartung und Zugriff

Wo Sie administrativen Zugang zu Kundensystemen haben, gilt: nur auf Weisung, protokolliert, zeitlich begrenzt, mit persönlichen Konten statt Sammelzugängen. Wo Ihre Kunden dem Berufsgeheimnis unterliegen – Ärzte, Anwälte, Steuerberater –, kommt § 203 StGB hinzu: Ihre Mitarbeitenden sind als mitwirkende Personen gesondert zu verpflichten.

## Wenn bei Ihnen etwas passiert

Als Auftragsverarbeiter melden Sie nicht an die Aufsichtsbehörde, sondern **unverzüglich an Ihren Kunden**. Der meldet weiter und trägt die 72-Stunden-Frist – die aber erst mit seiner Kenntnis beginnt. Ihre Verzögerung wird damit zu seinem Fristproblem und zu Ihrem Vertragsproblem. Der Ablauf steht unter [Datenschutzvorfall melden](https://www.dsb-datenschutz.de/datenschutz/datenschutzvorfall/).

Vertraglich sollte deshalb stehen, binnen welcher Frist Sie informieren und welche Angaben Sie liefern.

## Kontakt

Sie füllen ständig Kundenfragebögen aus? Genau dafür lohnt sich die vorbereitete Mappe – wir stellen sie mit Ihnen zusammen.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Alle Branchen im Überblick](https://www.dsb-datenschutz.de/datenschutz/branchen/)