- Für wen
- Vertrieb, Datenschutz und IT bei Dienstleistern, die Kunden AVV, TOMs und Fragebögen zur IT-Sicherheit liefern müssen.
- Was du danach kannst
- Das Lieferanten-Onboarding als einen Eingang mit Status und Prüfpfad planen und das Nachweispaket auf Knopfdruck ausgeben.
- Stand
- März 2026
Wenn ein Kunde „bitte AVV + TOMs + Liste der Unterauftragsverarbeiter + Ansprechpartner“ schreibt, startet im Mittelstand oft das Chaos. Bau eine kleine interne Onboarding‑App, die anfordert, versioniert, freigibt und nachweisbar ablegt. Das ist nicht nur „Compliance“ – das bringt Tempo in den Vertrieb.
Primärquelle (kurz, aber wichtig)
Wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, brauchst du i.d.R. einen Vertrag nach Art. 28 DSGVO (inkl. Pflichtinhalte). Und du musst „geeignete technische und organisatorische Maßnahmen“ sicherstellen (Art. 32 DSGVO). Die Primärquelle dazu ist die DSGVO, Verordnung (EU) 2016/679, auf EUR‑Lex.
Hinweis: Keine Rechtsberatung. Für deinen konkreten Fall bitte Datenschutz und Rechtsabteilung einbinden.
Der Auftrag hängt nicht am Produkt – sondern am Papierkram
Die typische Situation 2026: Einkauf und IT beim Kunden wollen in 48–72 Stunden den AVV, die TOMs, die Liste der Unterauftragsverarbeiter, ISO‑Nachweise, Ansprechpartner und Speicherorte. Bei dir liegen diese Sachen in E‑Mails („hat das nicht die Kollegin?“), in alten PDFs („welche Version war’s?“) und in drei verschiedenen SharePoint‑Ordnern („welcher ist final?“).
Das Ergebnis ist jedes Mal dasselbe: eine Rückfragen‑Schleife, verpasste Fristen und unnötige Diskussionen über Risiken.
Lösung: Das Lieferanten‑Onboarding als durchdachten Ablauf bauen – nicht als Nebenbei‑Prozess.
Das Minimal‑System: 1 Eingang + 1 Status + 1 Prüfpfad
Eine Mini‑App muss keine große GRC‑Software (Governance, Risiko, Compliance) sein. Sie muss zuverlässig sein.
- 01Anforderungsvorlage je KundentypStellt AVV, TOMs und Fragebogen zusammen.
- 02DokumentenablageMit Versionen, Ablaufdaten und Verantwortlichen.
- 03FreigabeablaufZwischen Datenschutz, IT und Vertrieb.
- 04NachweispaketLässt sich als ZIP- oder PDF-Paket samt Änderungsprotokoll ausgeben.
Was die App konkret können sollte (ohne Schnickschnack)
Rollen und Rechte
Der Vertrieb darf eine Anfrage anstoßen und den Status sehen, freigeben können Datenschutz und IT. Was einmal „final“ heißt, ist wirklich final — entweder unveränderlich oder mit vollem Versionsverlauf.
Automatisierung
Die App erinnert vor dem Ablaufdatum, etwa wenn TOMs oder ISO‑Nachweise jährlich fällig werden. Ändert sich etwas bei den Unterauftragsverarbeitern, benachrichtigt sie die Beteiligten und holt die Freigabe ein.
Transparenz
Jeder Zeitstempel zeigt, wer was wann hochgeladen, geändert oder freigegeben hat, und der Status sagt in einem Wort, wo die Anfrage steht: angefordert, in Prüfung, freigegeben, versendet.
Checkliste 1: AVV/TOM‑Paket (zum Kopieren)
- AVV (Art. 28) mit Pflichtinhalten (Gegenstand, Dauer, Art/Zweck, Kategorien, Pflichten/Rechte)
- TOMs (Art. 32) als aktuelles Dokument (Version + Datum)
- Liste der Unterauftragsverarbeiter + Änderungsprozess
- Datenflüsse (wo werden Daten verarbeitet/gespeichert?)
- Ansprechpartner (DSB, IT‑Sicherheit, Kontakt für Sicherheitsvorfälle)
- Ablauf bei Sicherheitsvorfällen (Meldung, Fristen, Kontaktwege)
- Aufbewahrung und Löschung
Checkliste 2: Anforderungen an die Mini‑App (damit’s in 14 Tagen steht)
- MUSS: Zentraler Dokumenten‑Ort + Versionierung
- MUSS: Statusübersicht (pro Kunde/Anfrage)
- MUSS: Freigabe-Schritt (Rechtsabteilung/DSB/IT)
- MUSS: Export als „Nachweispaket für den Kunden“
- SOLL: Erinnerung vor dem Ablaufdatum + Verlängerungen
- SOLL: Vorlagen pro Kundentyp (Großunternehmen vs. Mittelstand)
- KANN: automatisches Schwärzen, falls du nicht alles teilen willst
- KANN: Anbindungen (HubSpot, Jira, SharePoint, Google Drive)
14‑Tage‑Plan (realistisch)
- Tag 1–2: Dokumente inventarisieren (was ist „final“?) + Vorlage festlegen
- Tag 3–5: Ablage + Versionierung + Verantwortliche + Metadaten (Ablaufdatum, Dokumenttyp)
- Tag 6–8: Statusablauf + Rollen/Rechte + Freigabe
- Tag 9–11: Exportpaket + Prüfpfad
- Tag 12–14: Erinnerungen + Arbeitsanweisung (1 Seite) + Leitfaden für den Vertrieb
Die Mini‑App für AVV und TOMs bauen lassen
Schick mir:
- deine 3 häufigsten Kunden‑Anforderungen (AVV/TOM/Fragebogen…)
- wo deine Dokumente heute liegen (Drive/SharePoint/Confluence)
- wer freigibt (Vertrieb/DSB/IT)
Ich baue daraus eine kleine interne App, die Anfragen schnell, sauber und nachprüfbar erledigt – ohne überdimensionierte GRC‑Software.