AVV und NIS2: Drei von acht Lieferkettenthemen fehlen im Auftragsverarbeitungsvertrag ganz – der Rest endet beim Personenbezug

Ihr IT-Dienstleister hat einen sauberen Auftragsverarbeitungsvertrag unterschrieben, mit TOM-Anlage, Unterauftragsverarbeiter-Liste und Prüfrecht. Für die Lieferkettensicherheit nach NIS2 heißt das weniger, als es scheint. Legt man Art. 28 Abs. 3 DSGVO neben die acht Vertragsthemen aus Anhang 5.1.4 der Durchführungsverordnung (EU) 2024/2690, fehlen drei davon im AVV vollständig: Schulungs- und Qualifikationsanforderungen, Zuverlässigkeitsüberprüfungen und die Pflicht zur Behebung von Schwachstellen. Die übrigen fünf sind zwar angelegt, reichen aber nur so weit wie der Personenbezug.

Dazu kommt eine zweite Lücke, die in keinem AVV-Muster auftaucht: Gerade die Dienstleister, die für Ihre Verfügbarkeit entscheidend sind, haben oft gar keinen AVV. Die Datenschutzkonferenz stuft die rein technische Wartung von IT-Infrastruktur, etwa an Stromzufuhr, Kühlung oder Heizung, ausdrücklich nicht als Auftragsverarbeitung ein. Wer sein Lieferantenverzeichnis nach AVV-Status sortiert, übersieht also genau die Anbieter, deren Ausfall ein Rechenzentrum lahmlegt.

Dieser Beitrag enthält allgemeine Informationen und keine Rechtsberatung. Welche Lieferanten für Ihre Einrichtung kritisch sind und wie Verträge zu gestalten sind, hängt von Ihrer Risikobewertung, Ihrer Einrichtungsart und dem konkreten Vertragsverhältnis ab. Lassen Sie Vertragstexte vor dem Einsatz anwaltlich prüfen.

Zwei Gesetze, zwei Schutzgüter: Warum der AVV zwangsläufig zu kurz greift

Kurz gefasst: Der AVV schützt Menschen, deren Daten verarbeitet werden. NIS2 schützt die Systeme, mit denen Sie Ihre Dienste erbringen. Ein Vorfall, der Ihre Produktion stoppt, aber keine personenbezogenen Daten berührt, ist für den AVV kein Ereignis.

Der Unterschied steckt im ersten Satz beider Normen. Art. 32 Abs. 1 DSGVO bemisst die Sicherheitsmaßnahmen am „Risiko für die Rechte und Freiheiten natürlicher Personen“ und bezieht Verfügbarkeit und Belastbarkeit nur auf Systeme und Dienste „im Zusammenhang mit der Verarbeitung“. § 30 Abs. 1 BSIG dagegen verlangt Maßnahmen gegen Störungen der Verfügbarkeit, Integrität und Vertraulichkeit „der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen“. Eine Maschinensteuerung, ein Netzwerk-Switch oder eine Klimaanlage im Serverraum muss keine einzige personenbezogene Angabe enthalten, um unter § 30 BSIG zu fallen.

Der zweite strukturelle Unterschied betrifft den Adressaten. Die DSGVO verpflichtet den Auftragsverarbeiter unmittelbar: Er muss selbst geeignete Maßnahmen nach Art. 32 treffen und Ihnen eine Datenschutzverletzung nach Art. 33 Abs. 2 melden, auch wenn das im Vertrag fehlt. Die NIS2-Pflichten treffen dagegen nur Sie als Einrichtung. Ihr Lieferant ist Ihnen gegenüber nur zu dem verpflichtet, was im Vertrag steht, es sei denn, er fällt selbst unter NIS2. Und selbst dann bestehen seine eigenen Pflichten im Wesentlichen gegenüber dem BSI, nicht gegenüber Ihnen.

Merkmal	AVV nach Art. 28 DSGVO	Lieferkette nach § 30 Abs. 2 Nr. 4 BSIG
Schutzgut	Rechte und Freiheiten der betroffenen Personen	IT-Systeme, Komponenten und Prozesse für die Diensterbringung
Wer ist erfasst?	Nur Dienstleister, die personenbezogene Daten in Ihrem Auftrag verarbeiten (Art. 4 Nr. 8 DSGVO)	Alle unmittelbaren Anbieter und Diensteanbieter, gewichtet nach Risiko
Bindung des Lieferanten	Teils direkt per Gesetz (Art. 28, 32, 33 Abs. 2 DSGVO)	Nur über Ihren Vertrag
Vertragsinhalt vorgegeben?	Ja, Mindestinhalt in Art. 28 Abs. 3 lit. a–h	Nein; konkretisiert in Anhang 5.1.4 DVO 2024/2690
Folge von Lücken	Bußgeld nach Art. 83 Abs. 4 lit. a DSGVO (bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist)	Bußgeldbewehrt nach § 65 Abs. 2 Nr. 2 und 3 BSIG (Maßnahme bzw. Dokumentation); Höhe nach Einrichtungsart gestaffelt

Ein Hinweis zur Verbindlichkeit: Anhang 5.1.4 bindet unmittelbar nur die in Art. 1 der Durchführungsverordnung (EU) 2024/2690 genannten digitalen Einrichtungsarten, etwa Cloud-Anbieter, Rechenzentrumsbetreiber und Managed Service Provider; § 30 Abs. 3 BSIG ordnet für sie den Vorrang der Verordnung an. Für alle anderen wichtigen und besonders wichtigen Einrichtungen ist die Liste kein Gesetzestext, in der Praxis aber der naheliegende Maßstab dafür, was „Sicherheit der Lieferkette“ vertraglich bedeutet. Wie sich die Pflicht insgesamt aufbaut, zeigt unser Leitfaden zur NIS2-Lieferkettensicherheit.

Der Klauselabgleich: Anhang 5.1.4 gegen Art. 28 Abs. 3 DSGVO

Kurz gefasst: Drei Themen fehlen im AVV ganz, fünf sind auf personenbezogene Daten beschränkt. Kein einziges deckt der AVV vollständig ab.

Die folgende Tabelle stellt jedes der acht Themen aus Anhang 5.1.4 DVO (a bis h) dem nächstliegenden Pflichtinhalt eines AVV gegenüber. Die Spalte „Abdeckung“ ist unsere eigene Einordnung auf Basis des Normtextes, keine behördliche Auslegung.

Anhang 5.1.4 DVO	Gegenstück im AVV	Abdeckung	Was fehlt
a) Cybersicherheitsanforderungen, inkl. Sicherheit beim Erwerb (Nr. 6.1)	Art. 28 Abs. 3 lit. c: Maßnahmen nach Art. 32	Teilweise	Nur Systeme im Zusammenhang mit der Verarbeitung; keine Anforderungen an gelieferte Produkte
b) Sensibilisierung, Qualifikation, Ausbildung, ggf. Zertifizierungen	Lit. b: Verpflichtung auf Vertraulichkeit	Fehlt	Vertraulichkeit ist keine Schulungs- oder Qualifikationsanforderung
c) Zuverlässigkeitsüberprüfung der Mitarbeitenden	Kein Gegenstück	Fehlt	Vollständig neu zu regeln
d) Unverzügliche Meldung von Sicherheitsvorfällen	Art. 33 Abs. 2 DSGVO, lit. f (Unterstützung)	Teilweise	Auslöser nur Datenschutzverletzungen; keine Stundenfrist
e) Recht auf Prüfung oder auf Prüfberichte	Lit. h: Informationen und Überprüfungen inkl. Inspektionen	Teilweise	Prüfgegenstand ist die Einhaltung von Art. 28, nicht Ihre Systemsicherheit
f) Behebung von Schwachstellen	Kein Gegenstück	Fehlt	Vollständig neu zu regeln
g) Unterauftragsvergabe und Anforderungen an Unterauftragnehmer	Lit. d mit Art. 28 Abs. 2 und 4	Teilweise	Nur Unterauftragsverarbeiter; Subunternehmer ohne Datenzugriff bleiben außen vor
h) Pflichten bei Vertragsende: Abruf und Entsorgung der Informationen	Lit. g: Löschung oder Rückgabe	Teilweise	Nur personenbezogene Daten; Zugangsdaten, Netzpläne, Konfigurationen fehlen

Am stärksten ist der AVV bei den Unterauftragnehmern. Art. 28 Abs. 2 verlangt eine vorherige schriftliche Genehmigung und gibt Ihnen ein Einspruchsrecht gegen jeden Wechsel; Abs. 4 lässt den Erstauftragnehmer für seine Unterauftragsverarbeiter haften. Das ist schärfer als vieles, was in Lieferantenverträgen sonst steht. Es gilt aber nur für Stellen, die personenbezogene Daten verarbeiten. Beauftragt Ihr Hosting-Anbieter eine Firma für die Wartung seiner Netzwerkkomponenten, taucht sie in keiner Unterauftragsverarbeiter-Liste auf. Wie weit Ihre Prüfpflicht in die zweite Lieferantenebene reicht, behandeln wir im Beitrag zu Tier-2-Lieferanten.

Am meisten unterschätzt wird lit. h. Ein AVV regelt, was mit Kundendaten, Personaldaten und Protokollen mit Personenbezug passiert. Was der Dienstleister an Administrator-Zugängen, VPN-Zertifikaten, Firewall-Regeln oder Netzplänen über Ihr Unternehmen gesammelt hat, ist in aller Regel kein personenbezogenes Datum und bleibt nach Vertragsende ungeregelt. Für einen Angreifer sind genau diese Informationen am wertvollsten.

Die Meldeklausel: Wo die Lücke Sie die 24-Stunden-Frist kosten kann

Kurz gefasst: Der AVV verpflichtet Ihren Dienstleister, Datenschutzverletzungen „unverzüglich“ zu melden. Ihre eigene NIS2-Uhr läuft aber ab Kenntnis 24 Stunden, und viele NIS2-relevante Vorfälle sind gar keine Datenschutzverletzung.

Der Auslöser im AVV ist eng definiert. Eine „Verletzung des Schutzes personenbezogener Daten“ liegt nach Art. 4 Nr. 12 DSGVO vor, wenn eine Sicherheitsverletzung zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten führt. Anhang 5.1.4 lit. d knüpft dagegen an „Sicherheitsvorfälle, die ein Risiko für die Sicherheit der Netz- und Informationssysteme dieser Einrichtungen darstellen“ an. Maßstab ist das Risiko für Ihre Systeme, nicht ein bereits eingetretener Schaden an personenbezogenen Daten.

Auch die Frist passt nicht. Art. 33 Abs. 2 DSGVO und Klausel 9.2 der EU-Standardvertragsklauseln für die Auftragsverarbeitung sagen „unverzüglich“, ohne Stundenangabe. § 32 Abs. 1 Nr. 1 BSIG verlangt die frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK „spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung“ eines erheblichen Sicherheitsvorfalls. Erfahren Sie über Ihren Dienstleister davon, hängt Ihre Frist an dessen Meldetempo.

Ereignis beim Dienstleister (Beispiel)	Meldepflicht aus dem AVV?	Für Ihre NIS2-Pflichten relevant?
Angreifer erbeutet die Zugangsdaten zum Fernwartungstool, mit dem der Dienstleister auf Ihre Server zugreift; noch kein Datenzugriff festgestellt	Nicht eindeutig: Erst wenn personenbezogene Daten betroffen sind	Ja: unmittelbares Risiko für Ihre Systeme
Kritische Schwachstelle in der Firmware, die der Lieferant auf Ihren Netzwerkgeräten betreibt	Nein	Ja: Anhang 5.1.4 lit. f (Behebung von Schwachstellen)
Ausfall beim Wartungsdienstleister für USV und Klimatechnik Ihres Serverraums	Nein, meist besteht gar kein AVV	Ja, wenn die Verfügbarkeit Ihrer Dienste betroffen ist
Ransomware beim Cloud-Anbieter, verschlüsselt Ihre Kundendatenbank	In aller Regel ja: Verlust personenbezogener Daten	Ja: zwei Meldewege, zwei Behörden

Nur die letzte Zeile erfasst der AVV sicher, und dort müssen Sie doppelt melden: an die Datenschutzaufsicht nach Art. 33 Abs. 1 DSGVO „möglichst binnen 72 Stunden“ und, wenn der Vorfall erheblich ist, an die BSI-Meldestelle. Wie sich beide Regime bei Vorfällen überschneiden, erklärt unser Beitrag zu NIS2 und DSGVO. In den ersten drei Zeilen bekommen Sie die Information nur, wenn eine eigene Meldeklausel sie verlangt. Eine Formulierung mit konkreter Stundenfrist und Mindestinhalt finden Sie im Muster-Wortlaut unseres Leitfadens zu NIS2-Lieferantenverträgen.

Lieferanten ganz ohne AVV: Die blinden Flecken im Lieferantenverzeichnis

Kurz gefasst: Ob jemand Auftragsverarbeiter ist, hängt allein am Zugriff auf personenbezogene Daten. Wer Ihre Infrastruktur betreibt oder Hardware liefert, braucht oft keinen AVV und ist trotzdem ein kritischer NIS2-Lieferant.

Die Datenschutzkonferenz hat die Grenze in ihrem Kurzpapier Nr. 13 zur Auftragsverarbeitung deutlich gezogen. IT-Wartung und Fernwartung sind Auftragsverarbeitung, wenn der Dienstleister auf personenbezogene Daten zugreifen muss oder kann. „Anders ist dies bei einer rein technischen Wartung der Infrastruktur einer IT durch Dienstleister (z. B. Arbeiten an Stromzufuhr, Kühlung, Heizung)“. Datenschutzrechtlich ist das konsequent. Für NIS2 ist es genau verkehrt herum: Fällt die Kühlung im Serverraum aus, steht der Betrieb, egal ob ein einziger Datensatz berührt wurde.

Daraus ergibt sich eine Vier-Felder-Matrix, nach der sich jedes Lieferantenverzeichnis sortieren lässt. Die Beispiele sind unsere Einordnung; im Einzelfall entscheidet der tatsächliche Datenzugriff.

Quadrant	Typische Beispiele	Vertragliche Konsequenz
AVV und NIS2-kritisch	Managed Service Provider mit Admin-Zugriff, Cloud-Hosting des ERP-Systems, Fernwartung der Server	AVV plus Sicherheitsanlage; die Meldewege abstimmen
Kein AVV, aber NIS2-kritisch	Wartung von USV und Klimatechnik, Lieferant von Netzwerkhardware und Firmware, OT-Fernwartung an Steuerungen ohne personenbezogene Daten	Sicherheitsanlage als einziger Hebel; hier ist die Lücke am größten
AVV, geringe NIS2-Kritikalität	Ein Lettershop, der Adressdaten für einen Versand erhält	AVV genügt meist; Lieferkettenrisiko dokumentiert gering einstufen
Weder noch	Büromaterial, Catering	Kein Handlungsbedarf aus beiden Regimen

Der zweite Quadrant ist der Grund, warum das AVV-Register kein Ersatz für ein Lieferantenverzeichnis nach NIS2 sein kann. Wer beide Listen aus derselben Quelle pflegt, sollte die Spalte „verarbeitet personenbezogene Daten“ und die Spalte „Zugang zu oder Einfluss auf unsere IT-/OT-Systeme“ getrennt führen.

AVV erweitern oder eigene Sicherheitsanlage? Die Standardvertragsklauseln entscheiden mit

Kurz gefasst: Für die meisten Unternehmen ist eine eigene NIS2-Sicherheitsanlage die robustere Lösung. Sie gilt für alle kritischen Lieferanten, unabhängig davon, ob ein AVV besteht.

Technisch ist beides möglich. Wer seine AVVs auf Basis der EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/915) abschließt, darf nach deren Klausel 2 lit. b weitere Klauseln hinzufügen, „sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen“. Eine 24-Stunden-Meldefrist konkretisiert „unverzüglich“ und widerspricht dem nicht. Klausel 4 bestimmt aber, dass die Standardvertragsklauseln bei jedem Widerspruch mit zusammenhängenden Vereinbarungen Vorrang haben. Ein weiter gefasstes NIS2-Prüfrecht im selben Dokument wie Klausel 7.6, die Prüfungen „in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung“ vorsieht, erzeugt Auslegungsfragen, die Sie bei einer getrennten Anlage vermeiden.

Drei weitere Gründe sprechen für die Trennung. Erstens brauchen Sie die Anlage für den zweiten Quadranten ohnehin, weil es dort keinen AVV gibt. Zweitens verwenden große Anbieter in der Regel ihr eigenes AVV-Muster, das Sie kaum ändern können; eine Zusatzanlage lässt sich leichter verhandeln. Drittens haben AVV und Sicherheitsanlage verschiedene Eigentümer im Unternehmen und ändern sich in unterschiedlichem Takt.

Eine praktikable Reihenfolge, jeweils mit unserer Einschätzung des Aufwands:

1. Lieferantenverzeichnis um die NIS2-Spalte ergänzen und die Vier-Felder-Matrix anwenden (Aufwand: niedrig).
2. Für Quadrant 1 die bestehenden AVVs auswerten und festhalten, welche der acht Themen bereits abgedeckt sind, meist Unterauftrag und Prüfrecht (Aufwand: mittel).
3. Eine Sicherheitsanlage formulieren, die mindestens lit. b, c und f vollständig sowie lit. d und h über den Personenbezug hinaus regelt (Aufwand: mittel).
4. Eine Rangfolgeklausel aufnehmen: Für personenbezogene Daten gilt der AVV, für die Sicherheit der Netz- und Informationssysteme die Anlage; bei Meldefristen gilt die jeweils kürzere (Aufwand: niedrig).
5. Quadrant 2 priorisiert nachverhandeln, beginnend mit den Lieferanten, deren Ausfall Ihre Dienste unmittelbar stoppt (Aufwand: hoch).

Die Rollen verteilen sich dabei unterschiedlich. Der Datenschutzbeauftragte bleibt für den AVV zuständig und sollte die Rangfolgeklausel mitprüfen, damit keine Datenschutzpflicht verwässert wird. Der Informationssicherheitsbeauftragte oder CISO verantwortet die Sicherheitsanlage und die NIS2-Spalte im Verzeichnis. Einkauf und Rechtsabteilung brauchen eine klare Vorgabe, welche Lieferanten ohne Anlage nicht beauftragt werden. Die Geschäftsleitung muss nach § 38 Abs. 1 BSIG die Maßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Für sie zählt vor allem, dass verweigerte Klauseln nicht stillschweigend hingenommen, sondern als dokumentierte Risikoentscheidung vorgelegt werden.

Häufige Fragen

Reicht ein AVV mit ausführlicher TOM-Anlage als Nachweis nach § 30 Abs. 2 Nr. 4 BSIG?
Allein in der Regel nicht. Die TOM-Anlage beschreibt Maßnahmen für die Verarbeitung personenbezogener Daten. Sie kann als Baustein in Ihre Lieferantenbewertung einfließen, beantwortet aber nicht, wie der Lieferant Schwachstellen behebt, sein Personal überprüft oder Sie über Vorfälle ohne Personenbezug informiert. § 30 Abs. 1 Satz 3 BSIG verlangt zudem, dass Sie die Einhaltung dokumentieren.

Muss jeder Lieferant mit AVV eine NIS2-Sicherheitsanlage unterschreiben?
Nein. Anhang 5.1.4 steht unter dem Vorbehalt „soweit angemessen“ und knüpft an Ihre Risikobewertung an. Ein Lettershop mit Adressdaten braucht einen AVV, aber nicht zwingend eine Klausel zur Schwachstellenbehebung. Entscheidend ist, dass die Abstufung begründet und dokumentiert ist.

Darf ich die EU-Standardvertragsklauseln für die Auftragsverarbeitung um NIS2-Pflichten ergänzen?
Ja, Klausel 2 lit. b erlaubt zusätzliche Klauseln, solange sie den Standardvertragsklauseln nicht widersprechen. Wegen des Vorrangs nach Klausel 4 ist eine getrennte Anlage mit eigener Rangfolgeregel meist übersichtlicher.

Mein Cloud-Anbieter fällt selbst unter NIS2. Brauche ich trotzdem eigene Klauseln?
Ja. Seine Meldepflicht nach § 32 BSIG besteht gegenüber der Meldestelle, nicht gegenüber Ihnen. Nach § 35 Abs. 1 BSIG muss er Sie über einen erheblichen Sicherheitsvorfall erst unterrichten, wenn das BSI es anordnet; Abs. 2 verpflichtet unter anderem Anbieter digitaler Infrastruktur, ihren Kunden Abhilfemaßnahmen bei erheblichen Cyberbedrohungen mitzuteilen. Eine Vorfallmeldung mit fester Frist an Sie ersetzt das nicht, und Ihre Pflicht zur Lieferkettensicherheit nach § 30 Abs. 2 Nr. 4 BSIG bleibt Ihre eigene. Die Regulierung des Anbieters ist aber ein starkes Argument in der Bewertung nach Art. 21 Abs. 3 der NIS2-Richtlinie, die auf die Gesamtqualität seiner Cybersicherheitspraxis abstellt.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 8 und 12, Art. 28, 32, 33 und 83 – EUR-Lex, deutsche Fassung
• Richtlinie (EU) 2022/2555 (NIS2), Art. 21 und 23 – EUR-Lex, deutsche Fassung
• Durchführungsverordnung (EU) 2024/2690, Art. 1 und Anhang Nr. 5.1 – EUR-Lex, deutsche Fassung
• § 30 BSIG – Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen, Gesetze im Internet
• § 32 BSIG – Meldepflichten, Gesetze im Internet
• § 35 BSIG – Unterrichtungspflichten, Gesetze im Internet
• § 65 BSIG – Bußgeldvorschriften, Gesetze im Internet
• Durchführungsbeschluss (EU) 2021/915 – Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern, Klauseln 2, 4, 7.6, 7.7 und 9.2 – EUR-Lex
• Datenschutzkonferenz (DSK), Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO, Stand 17.12.2018