Ein Dienstleister verarbeitet für Sie als Auftragsverarbeiter im Sinne von Art. 28 DSGVO personenbezogene Daten.
Der Vertrag endet – etwa nach Abschluss eines IT-Projekts.
Und dann? Was passiert eigentlich mit den überlassenen personenbezogenen Daten?
Genau hier beginnt das Offboarding.
Im Auftragsverarbeitungsvertrag ist zwar geregelt: Nach Abschluss der Verarbeitungstätigkeit sind personenbezogene Daten zu löschen oder zurückzugeben.
Aber reicht das?
Die Antwort der Aufsicht: Nein.
Die Berliner Datenschutzaufsicht hat die Berliner Verkehrsbetriebe (BVG) am 04.05.2026 verwarnt. Ein Dienstleister der BVG wurde Opfer eines Cyberangriffs – rund 180.000 Kundendatensätze waren betroffen.
Das Problem: Die Daten hätten beim Dienstleister längst gelöscht sein müssen. Die BVG hatte die tatsächliche Löschung jedoch nicht kontrolliert.
Lehre für die Praxis:
Ein vertraglicher Löschanspruch reicht nicht aus. Sie als verantwortliche Stelle müssen die Umsetzung kontrollieren und dokumentieren.
Dazu gehört insbesondere:
- Förmliche Aufforderung zur Löschung oder Rückgabe aller überlassenen Daten
- Einholung und Dokumentation des Löschnachweises, einschließlich etwaiger Sub-Auftragsverarbeiter
- Aktualisierung des Verarbeitungsverzeichnisses
- Dokumentation in der Dienstleisterliste
Idealerweise erfolgt die Kontrolle der Löschung bei Dienstleistern jedoch nicht erst zum Vertragsende ad hoc, sondern wird bereits im Onboarding neuer Dienstleister strukturell mitgedacht. Ihr AVV sollte daher eine Klausel enthalten, die den Auftragsverarbeiter verpflichtet, nach Vertragsende innerhalb von 30 Tagen unaufgefordert einen schriftlichen Löschnachweis vorzulegen.
Wie sieht es bei Ihnen aus?
Ist die Datenlöschung beim Dienstleister zum Vertragsende tatsächlich ein kontrollierter Prozess – oder wird darauf vertraut, dass „schon alles gelöscht sein wird“?
Gerne unterstützen wir Sie bei der Umsetzung der beschriebenen Prozesse.
Denn: AVV-Offboarding ist kein Formalismus – es ist ein zentraler Bestandteil von Datenschutz und Cybersecurity.