Mein Großkunde verlangt einen Datenschutznachweis. Was soll ich tun?
Ein einheitliches, gesetzlich vorgeschriebenes DSGVO-Zertifikat gibt es nicht. Auftraggeber verlangen in der Regel einen ausgefüllten Fragebogen, einen Vertrag zur Auftragsverarbeitung, eine Beschreibung Ihrer Sicherheitsmaßnahmen und Belege, dass Sie Datenschutz organisiert haben. Wer das ehrlich und nachweisbar vorlegen kann, behält den Auftrag. Wer es nicht kann, riskiert ihn.
Warum fragt der Kunde das plötzlich?
- Er ist für Sie mitverantwortlich. Wer Dienstleister mit personenbezogenen Daten arbeiten lässt, muss sicherstellen, dass diese geeignete Schutzmaßnahmen treffen.
- Die IT-Sicherheit der Lieferkette rückt in den Fokus. In Deutschland gilt seit Dezember 2025 das NIS2-Umsetzungsgesetz, in Österreich seit Oktober 2026 das NISG 2026. Betroffene Unternehmen müssen ihre Zulieferer absichern und geben die Anforderungen an sie weiter.
- Der Einkauf standardisiert die Prüfung. Lieferantenfragebögen gehören bei größeren Auftraggebern längst zum Alltag.
Muss mich das als kleinen Betrieb betreffen?
Was Auftraggeber typischerweise verlangen
- einen Fragebogen zu Datenschutz und IT-Sicherheit
- einen Vertrag zur Auftragsverarbeitung
- eine Beschreibung der technischen und organisatorischen Maßnahmen
- Angaben zu Verarbeitungsverzeichnis und Dokumentation
- Nachweise zu Schulung und Verpflichtung der Mitarbeitenden
- einen Ablauf bei Datenpannen, einschließlich Meldefristen
- Angaben zu Unterauftragnehmern
- manchmal Zertifikate wie ISO 27001, die für Kleinbetriebe meist nicht in Frage kommen. Es gibt Alternativen.
Typische Fehler
- Der Fragebogen wird schöngefärbt. Wer Maßnahmen angibt, die nicht existieren, riskiert Vertrauen und Haftung.
- Die Anfrage wird ignoriert oder erst kurz vor der Frist bearbeitet.
- Standardantworten werden kopiert, die nicht zum eigenen Betrieb passen.
- Der Auftragsverarbeitungsvertrag wird unterschrieben, ohne dass Sie wissen, was darin steht.
- Es fehlt die Dokumentation, und Sie können nichts vorzeigen.
- Die Frist des Kunden wird unterschätzt.
Der Fragebogen liegt schon auf dem Tisch? Die gute Nachricht
Ein Nachweis ist für kleine Betriebe machbar, aber nur, wenn die Grundlagen des Datenschutzes tatsächlich vorhanden sind. Das ist der Punkt, an dem sich zeigt, wer vorbereitet ist.
Was droht, wenn Sie nichts vorlegen können?
- Sie verlieren den Auftrag oder kommen nicht auf die Lieferantenliste.
- Der Vertrag enthält Haftungs- und Kontrollklauseln, die Sie später einlösen müssen.
- Bei einer Datenpanne haften Sie gegenüber dem Kunden und können auch von der Aufsichtsbehörde belangt werden. In Deutschland ist die jeweilige Landesbehörde zuständig, in Österreich die Datenschutzbehörde.
Häufige Fragen
Gibt es ein DSGVO-Zertifikat, das ich vorlegen kann?
Ein gesetzlich vorgeschriebenes Zertifikat gibt es nicht. Auftraggeber akzeptieren häufig Fragebogen und Dokumentation. Zertifikate sind eine Option, aber selten Pflicht.
Muss ich den Fragebogen ausfüllen?
Rechtlich nicht in jedem Fall, wirtschaftlich aber meist schon, weil sonst der Auftrag gefährdet ist. Antworten Sie ehrlich.
Was ist ein Auftragsverarbeitungsvertrag, und muss ich ihn unterschreiben?
Wenn Sie im Auftrag des Kunden personenbezogene Daten verarbeiten, ist er in der Regel erforderlich. Ob Sie überhaupt Auftragsverarbeiter sind, hängt von Ihrer Tätigkeit ab.
Was sind technische und organisatorische Maßnahmen?
Das ist die Beschreibung, wie Sie Daten schützen, etwa durch Zugriffsrechte, Passwörter, Updates, Backups und Schulung. Kunden wollen sie dokumentiert sehen.
Brauche ich eine ISO-27001-Zertifizierung?
In der Regel nicht. Für kleine Betriebe gibt es angemessenere Wege, den Nachweis zu führen.
Was ist NIS2, und betrifft es mich?
Es ist die EU-Regelung zur Cybersicherheit. Kleine Betriebe fallen meist nicht direkt darunter, bekommen aber die Anforderungen über ihre Auftraggeber.
Darf der Kunde mich kontrollieren?
Kontroll- und Auditrechte können vertraglich vereinbart werden und stehen oft im Auftragsverarbeitungsvertrag.
Wie schnell muss ich antworten?
Kunden setzen oft Fristen von wenigen Wochen. Fangen Sie früh an.
Was, wenn ich nicht alle Anforderungen erfüllen kann?
Dann benennen Sie Lücken offen und zeigen Sie, wie Sie sie schließen. Das ist besser als eine geschönte Antwort.
Gilt das auch in Österreich?
Ja. Es gilt die DSGVO, und das NISG 2026 betrifft dort die Lieferkette.
Ihr nächster Schritt
Sie müssen den Fragebogen nicht allein beantworten. Im DSGVO Erste Hilfe Koffer bauen wir mit Ihnen die Grundlagen und die Dokumentation auf, die Sie einem Kunden vorlegen können. Deshalb sollten Sie aber nicht erst anfangen, wenn der Fragebogen auf dem Tisch liegt, denn im Vorfeld kann man vieles so aufstellen, dass man leicht diesen Nachweis erbringen kann.
Schreiben Sie uns und wir setzen gemeinsam Ihren Betrieb für Grosskunden auf.
Telefon: +49 (0) 8252 9090288
backoffice@dsgvo-erste-hilfe.de
CORIDAS GmbH
Dreiweiherweg 1A
86529 Schrobenhausen
Zusätzliches Angebot für Sie:
Der kostenlose DSGVO-Selfcheck zeigt Ihnen, wo in Ihrem Unternehmen Schwachstellen in Bezug der Datenschutzanforderungen liegen. 5 Minuten, 14 Fragen und gleich ein Ergebnis.
