Verarbeitungskontext
Wie der Vertrag Gegenstand, Dauer und Rahmen der Verarbeitung festlegt.
Konkrete AVV-Analyse
DPA Indicator
AVVs entlang eines Art.-28-Prüfkatalogs analysieren – mit Originalklausel und Dokumentbezug.
Der DPA Indicator verbindet die Art.-28-Prüflogik mit konkreten Vertragsstellen und macht Rechte, Pflichten, Abhängigkeiten sowie Mechanismen für Zusammenarbeit, Änderung und Exit nachvollziehbar.
Einsatz
Für die strukturierte Analyse eines konkreten AVV oder DPA – bei Neuabschluss, Verlängerung oder neuem Dokumentstand, im vereinbarten Dokumentumfang.
Inputs
- konkreter AVV oder DPA – als Upload oder als öffentlich verfügbares Vendor-Dokument
- Anlagen und referenzierte Dokumente als zusätzliche Uploads im selben Analyselauf
- Dokumentversion sowie Vendor- und Produktkontext
Analyse
- AVV und Anlagen werden mit Dokumentversion einem definierten Prüfumfang zugeordnet
- die Analyse folgt dem Art.-28-Prüfkatalog P01–P13; die Katalogversion wird je Analyselauf gespeichert
- je Prüfpunkt entsteht ein Befund mit Status: identifiziert, teilweise identifiziert, nicht identifiziert oder unklar
- jeder Befund bleibt mit Originalklausel und exakter Dokumentposition verbunden
Outputs
- Befund-Matrix je Prüfpunkt
- Klauseldetails mit Originalauszug und genauer Dokumentposition
- strukturierte Sicht auf Zusammenarbeit, Änderung und Exit
- Berichtspaket als PDF und DOCX: Management-Zusammenfassung, Legal Evidence Report, Technischer Anhang
- Manifest mit Prüfsumme je Berichtsdatei
Geeignet für
- Datenschutz- und Legal-Teams
- Procurement, Vendor- und Contract-Management
- Berater und Kanzleien mit wiederkehrenden AVV-Prüfungen
- IT, Security, Management und Audit als beteiligte Funktionen
Prüfkatalog Art. 28 DSGVO
Sieben Themenfelder strukturieren die Vertragsanalyse.
Die Analyse folgt einem versionierten Prüfkatalog auf Basis der Anforderungen des Art. 28 DSGVO.
Weisungen
Weisungsbindung und der vertragliche Umgang mit problematischen Weisungen.
Sicherheit
Vertraulichkeit sowie technische und organisatorische Maßnahmen im Vertragstext.
Subprocessor
Einbindung weiterer Auftragsverarbeiter, Informations- und Widerspruchsmechanismen.
Zusammenarbeit
Unterstützungspflichten im laufenden Verhältnis – von Betroffenenrechten bis zur Zusammenarbeit mit Behörden.
Löschung & Exit
Löschung und Rückgabe nach Vertragsende sowie geregelte Exit-Wege.
Audit & Kontrolle
Nachweis-, Kontroll- und Auditrechte im konkreten Vertrag.
P01–P13 ist der Katalogname der Art.-28-Prüflogik. Die vollständigen Prüffragen und Analysepfade sind Bestandteil des Produkts.
Klausel- und Dokumentbezug
Jeder Befund bleibt direkt an der verwendeten Vertragsstelle prüfbar.
Das folgende synthetische Beispiel zeigt die Informationsarchitektur einer produktiven Detailansicht. Es enthält keine Kunden- oder realen Vertragsdaten.
P08 · Unterauftragsverarbeiter
- Status
- Identifiziert
- Dokument
- Beispiel-AVV · Version 2
- Position
- § 6.2 · Absatz 3 · Satz 1–3
- Originalauszug
- „Customer may object to a new subprocessor within 14 days …“
In der Prüfung sichtbar
- Lieferkette
- Einbindung weiterer Auftragsverarbeiter geregelt
- Änderung
- Information vor Aufnahme eines neuen Dienstleisters
- Handlungsspielraum
- Widerspruchsrecht im Klauseltext vorgesehen
- Offener Punkt
- Vertragsfolgen des Widerspruchs separat zu würdigen
Berichtspaket
Vom Befund zur weitergabefähigen Entscheidungsunterlage.
Das Berichtspaket führt Befunde, Originalauszüge und Dokumentbezüge zusammen: Management-Zusammenfassung, Legal Evidence Report und Technischer Anhang als PDF und DOCX – mit Manifest und Prüfsumme je Berichtsdatei.
Am konkreten Fall
Das Berichtspaket an einem eigenen AVV nachvollziehen.
Die Demo führt durch Analyse und Befunde eines konkreten Auftragsverarbeitungsvertrags – jede Aussage mit Klauselbezug.
Interner Research-Korpus
Methodische Recherche bleibt von Kundendokumenten getrennt.
Axiomify untersucht Prüflogik und wiederkehrende Klauselmechanismen an einem internen Korpus öffentlich verfügbarer Vertragsdokumente. Dieser Korpus dient der Methodik und Qualitätssicherung.
Kundenspezifische Dokumente und Befunde werden davon getrennt behandelt: Jeder Befund im Produkt bleibt an den konkret analysierten Vertrag und seine Originalauszüge gebunden.
FAQ
Häufige Fragen zum DPA Indicator
Was ist der Unterschied zwischen DPA und AVV?
Inhaltlich meist keiner: DPA (Data Processing Agreement) ist der englische Begriff für den Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Der DPA Indicator analysiert beide gleichermaßen – maßgeblich ist das konkrete Dokument, nicht seine Bezeichnung.
Warum den Vertrag prüfen und nicht nur die TOMs?
Vertragliche Zusage, öffentlich dokumentierte Funktion und tatsächliche Konfiguration sind unterschiedliche Nachweisebenen. TOM-Beschreibungen zeigen die Außendarstellung; der AVV regelt, wozu sich der Anbieter verpflichtet – von Weisungen über Subprocessor bis Löschung und Exit. Der DPA Indicator macht sichtbar, was der konkrete Vertrag dazu regelt und was offen bleibt.
Was unterscheidet den gesetzlichen Pflichtinhalt von der konkreten Klausel?
Art. 28 DSGVO gibt vor, welche Inhalte ein Auftragsverarbeitungsvertrag regeln muss – etwa Weisungen, Vertraulichkeit oder die Einbindung weiterer Auftragsverarbeiter. Wie ein konkreter Vertrag das umsetzt, steht in seinen Klauseln. Der DPA Indicator hält beide Ebenen getrennt: je Prüfpunkt den gesetzlichen Pflichtinhalt als Prüfrahmen und die konkrete Klausel mit Originalauszug und Dokumentposition. So bleibt sichtbar, was der Vertrag regelt – und zu welchen Pflichtinhalten im Dokument keine Regelung identifiziert wurde.
Methodik
- Art.-28-Prüfkatalog P01–P13, versioniert je Analyselauf
- getrennte Ebenen für gesetzlichen Pflichtinhalt und konkrete Klausel
- Statusmodell je Prüfpunkt: identifiziert, teilweise identifiziert, nicht identifiziert, unklar
- direkter Bezug zwischen Befund, Originalauszug, Dokumentposition und Anlagenkontext
- dokumentierter, versionierter Analysepfad für den konkreten Vertrag
Einordnung
- Der DPA Indicator dokumentiert Vertragsinhalte und ihre Fundstellen – nicht ihre rechtliche Zulässigkeit und nicht die tatsächliche operative Umsetzung
- fehlende oder nicht bereitgestellte Anlagen bleiben als offener Punkt im Dokumentstand ausgewiesen
- mehrdeutige Klauseln werden als unklar gekennzeichnet und nicht durch Annahmen ergänzt
- Axiomify erbringt keine Rechtsberatung; Würdigung, Verhandlung und Entscheidung bleiben beim Kunden
Nächster Schritt