Guten Tag,

die größte Gefahr bei Lieferantenaudits liegt in der falschen Annahme, dass ein unterschriebener AVV die gesamte rechtliche Haftung auf den Dienstleister überträgt — Ihr Cortina-Team

Informationssicherheit

Lieferantenaudits: Haftung endet nicht beim Dienstleister

Das OLG Dresden hat im Oktober 2024 klargestellt: Ein Verantwortlicher haftet vollumfänglich für Datenpannen beim Auftragsverarbeiter – selbst wenn dieser rechtmäßige Weisungen missachtet. Im konkreten Fall kündigte ein israelischer Dienstleister 2019 per E-Mail an, Daten „morgen zu löschen“. Erst nach einem Hack 2023 kam heraus: Die Daten waren noch vorhanden. Das beauftragende Unternehmen haftete vollständig, weil es keine dokumentierte Löschbestätigung eingefordert hatte.

Moderne Lieferantenaudits gehen weit über Datenschutz-Prüfungen hinaus. Die DSGVO verpflichtet zur systematischen Dienstleisterbewertung – ISO 27001, NIS-2 und TISAX empfehlen vergleichbare Prozesse. Die Haftung können Sie niemals vollständig delegieren – Art. 28 DSGVO macht Sie als Verantwortlichen haftbar, selbst wenn Ihr Auftragsverarbeiter Weisungen ignoriert.

Ein strukturiertes Lieferantenaudit ist besonders wertvoll, wenn lange keine Dokumentation geführt wurde. Digitale Audit-Systeme schließen Dokumentationslücken systematisch und schaffen nachweisbare Compliance – selbst wenn Sie jahrelang keine strukturierte Dienstleister-Bewertung hatten. Sie etablieren kontinuierliche Kontrolle statt einmaliger Vertragsunterschriften und dokumentieren alle Compliance-Maßnahmen revisionssicher.

Technische und organisatorische Maßnahmen sind keine IT-Aufgabe, sondern Kernverantwortung der Geschäftsführung. Ein strukturiertes Lieferantenaudit-System etabliert kontinuierliche Kontrolle statt einmaliger Vertragsunterschrift. Digitale Audit-Plattformen automatisieren Fragebogen-Versand, Risikobewertung und Dokumentation – und decken DSGVO und ISMS-Anforderungen mit einem Prozess ab.

Unsere Empfehlung: Nutzen Sie das Lieferantenaudit-System im Compliance Hub, das DSGVO- und ISMS-Anforderungen abdeckt. Fordern Sie bei Vertragsbeendigung detaillierte Löschprotokolle ein – keine E-Mail-Ankündigungen. Etablieren Sie regelmäßige Re-Audits für Hochrisiko-Dienstleister.

Weitere Neuigkeiten

Kennzahl der Woche

Lieferkettenrisiko: Warum 81% der Unternehmen scheitern

Während 81 Prozent der Unternehmen von Cyberangriffen betroffen sind, führen nur 19 Prozent regelmäßige Sicherheitsbewertungen ihrer Zulieferer durch. Die Schwachstelle liegt nicht in der eigenen IT – sondern in der unkontrollierten Lieferkette.

Quelle: Bitkom Wirtschaftsschutz 2024, August 2024