Der Auftragsverarbeitungsvertrag, Bedingung für Bedingung

# Checkliste der Bedingungen nach Artikel 28 Absatz 3

Aus Sicht des Auftragsverarbeiters gelesen: die Bedingungen, die der Vertrag des Kunden tragen muss und die das Unternehmen übernimmt.
Geschrieben am [heutiges Datum] mit der kostenlosen Checkliste auf getstandardos.com; jede Bedingung ist Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 im Wortlaut des Amtsblatts.

> Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf der Grundlage eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht der Mitgliedstaaten, der bzw. das den Auftragsverarbeiter in Bezug auf den Verantwortlichen bindet und in dem Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen und die Pflichten und Rechte des Verantwortlichen festgelegt sind. Dieser Vertrag bzw. dieses andere Rechtsinstrument sieht insbesondere vor, dass der Auftragsverarbeiter

0 vereinbart, 0 in Verhandlung, 8 fehlend, von 8.

## 28(3)(a)

die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, verarbeitet, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.2.2, A.2.2.3, A.2.2.5, A.2.5.2, A.2.5.5, A.2.5.6
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(b)

gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.2.2, A.3.17, A.3.18
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(c)

alle gemäß Artikel 32 erforderlichen Maßnahmen ergreift;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.3.8, A.3.9, A.3.23, A.3.24, A.3.25, A.3.26
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(d)

die in den Absätzen 2 und 4 genannten Bedingungen für die Inanspruchnahme der Dienste eines weiteren Auftragsverarbeiters einhält;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.5.7, A.2.5.8, A.2.5.9
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(e)

angesichts der Art der Verarbeitung den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei unterstützt, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III genannten Rechte der betroffenen Person nachzukommen;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.3.2
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(f)

unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 genannten Pflichten unterstützt;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.2.6, A.3.11, A.3.12
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(g)

nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen entweder löscht oder zurückgibt, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht;

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.4.3
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

## 28(3)(h)

dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Artikel niedergelegten Pflichten zur Verfügung stellt und Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, ermöglicht und dazu beiträgt.

Status: Fehlt
ISO/IEC 27701:2025, Lesart von StandardOS: A.2.2.6, A.3.13, A.3.14, A.3.15, A.3.16
Daneben unter DORA: kein DORA-Gegenstück; die Bedingung steht für sich
Notiz: (keine)

> Mit Blick auf Unterabsatz 1 Buchstabe h informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen diese Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt.

Offene Bedingungen: 28(3)(a), 28(3)(b), 28(3)(c), 28(3)(d), 28(3)(e), 28(3)(f), 28(3)(g), 28(3)(h).

Dies ist eine Checkliste gegen den Text der Verordnung, keine Rechtsberatung; der Wortlaut, der jede Bedingung erfüllt, ist der des Vertrags. Erstellt von StandardOS.