# Vertragsverwaltung und DSGVO: personenbezogene Daten in Verträgen richtig behandeln Quelle: https://vertragsmanagement.io/ratgeber/vertragsverwaltung-dsgvo Stand: 2026-10-15 Verträge enthalten mehr personenbezogene Daten, als man denkt — Ansprechpartner, Unterschriften, Bankverbindungen, manchmal den ganzen Vertragspartner, wenn er ein Einzelunternehmer ist. Diese Seite erklärt, auf welcher Rechtsgrundlage Sie Verträge speichern, was der Vertrag mit einem Softwareanbieter regeln muss, was bei einer KI-Auslesung zu beachten ist und wann gelöscht werden muss. Am Ende steht eine Prüfliste für jede Software. ## Kurzantwort Eine DSGVO-konforme Vertragsverwaltung braucht eine Rechtsgrundlage für die Speicherung — meist Vertragserfüllung und gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. b und c DSGVO) —, einen Auftragsverarbeitungsvertrag mit dem Softwareanbieter (Art. 28 DSGVO), angemessene Schutzmaßnahmen wie Verschlüsselung und abgestufte Zugriffsrechte (Art. 32 DSGVO) und ein Löschkonzept für die Zeit nach Ablauf der Aufbewahrungsfristen. Liest eine KI die Verträge aus, gehören deren Anbieter als Unterauftragsverarbeiter und ein etwaiger Datentransfer außerhalb der EU mit in die Prüfung. ## Wo in Verträgen personenbezogene Daten stecken - Namen, E-Mail-Adressen und Telefonnummern von Ansprechpartnern und Unterzeichnern - Vertragspartner, die natürliche Personen sind: Einzelunternehmer, Freiberufler, private Vermieter — hier ist der ganze Vertrag personenbezogen - Bankverbindungen, Unterschriften, Ausweis- oder Registerangaben - Notizen und Kommentare zu Personen, etwa zur Zuverlässigkeit eines Dienstleisters - Arbeits- und Dienstverträge mit Beschäftigten — besonders schutzbedürftig und am besten getrennt von Lieferantenverträgen geführt ## Rechtsgrundlagen: warum Sie Verträge speichern dürfen Ist die betroffene Person selbst Vertragspartei, erlaubt Art. 6 Abs. 1 lit. b DSGVO die Verarbeitung, soweit sie zur Erfüllung des Vertrags erforderlich ist. Nach dem Vertragsende trägt die gesetzliche Aufbewahrungspflicht aus § 257 HGB und § 147 AO die weitere Speicherung (Art. 6 Abs. 1 lit. c DSGVO). Für Ansprechpartner bei Firmenkunden und Lieferanten stützt sich die Verarbeitung in der Regel auf das berechtigte Interesse an der Vertragsabwicklung (Art. 6 Abs. 1 lit. f DSGVO). Die Rechtsgrundlage deckt nur, was für den Zweck erforderlich ist. Private Notizen über Personen, Kopien von Ausweisen ohne Anlass oder die Weitergabe an Stellen, die mit dem Vertrag nichts zu tun haben, sind davon nicht erfasst. ## Auftragsverarbeitung: der Vertrag mit dem Softwareanbieter Speichert ein Softwareanbieter Ihre Verträge, verarbeitet er personenbezogene Daten in Ihrem Auftrag. Dafür verlangt Art. 28 DSGVO einen Vertrag, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt. Darin verpflichtet sich der Anbieter unter anderem, nur auf Ihre Weisung zu handeln, seine Mitarbeiter zur Vertraulichkeit zu verpflichten, angemessene Sicherheitsmaßnahmen zu treffen und die Daten am Ende zu löschen oder zurückzugeben. Setzt der Anbieter weitere Dienstleister ein — Rechenzentrum, E-Mail-Versand, KI-Modell —, sind das Unterauftragsverarbeiter. Sie dürfen nur mit Ihrer vorherigen Genehmigung eingesetzt werden; bei einer allgemeinen Genehmigung muss der Anbieter Sie über Änderungen informieren und Ihnen die Möglichkeit zum Einspruch geben (Art. 28 Abs. 2 DSGVO). Lassen Sie sich die Liste dieser Dienstleister mit Sitz und Verarbeitungsort geben. ## KI-Auslesung und Datentransfer außerhalb der EU Liest eine KI Vertragsdaten aus, wird der Vertragstext an ein Sprachmodell übermittelt. Sitzt dessen Anbieter außerhalb der EU, ist das eine Übermittlung in ein Drittland, die eine Grundlage nach Kapitel V der DSGVO braucht — etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Für zertifizierte Unternehmen in den USA besteht derzeit der Angemessenheitsbeschluss zum EU-US Data Privacy Framework; Standardvertragsklauseln als zusätzliche Grundlage machen die Lösung robuster. Drei Fragen klären das Wesentliche: Ist vertraglich ausgeschlossen, dass Ihre Verträge zum Training von KI-Modellen verwendet werden? Wird nur der für die Auslesung nötige Ausschnitt übermittelt? Und wie lange speichert der KI-Anbieter die übermittelten Inhalte? ## Technische und organisatorische Maßnahmen - Verschlüsselung der gespeicherten Dokumente und der Übertragung (Art. 32 Abs. 1 lit. a DSGVO nennt sie ausdrücklich) - Abgestufte Rechte: Lesen für alle Beteiligten, Ändern und Löschen nur für wenige - Trennung nach Gesellschaften, wenn mehrere Firmen in einem Bestand geführt werden - Anmeldung mit zweitem Faktor für Konten mit Zugriff auf Verträge - Nachvollziehbare Änderungen und ein Verfahren zur Wiederherstellung nach einem Ausfall - Regelmäßige Überprüfung, ob die Maßnahmen noch wirken ## Löschkonzept: Aufbewahrung und Löschung zusammendenken Personenbezogene Daten dürfen nur so lange in identifizierbarer Form gespeichert werden, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Solange eine gesetzliche Aufbewahrungspflicht besteht, greift das Recht auf Löschung nicht (Art. 17 Abs. 3 lit. b DSGVO). Danach muss gelöscht werden, wenn kein anderer Grund — etwa ein laufender Rechtsstreit — die Speicherung rechtfertigt. Ein Löschkonzept legt deshalb je Unterlagenart die längste maßgebliche Frist fest und bestimmt einen festen Termin, an dem abgelaufene Verträge geprüft werden. Denken Sie dabei an die Kopien: Excel-Listen, E-Mail-Anhänge und Ausdrucke enthalten oft dieselben Daten wie die Vertragsakte. ## Prüfliste für eine Vertragsmanagement-Software Datenschutzfragen vor der Auswahl einer Software | Prüfpunkt | Was Sie verlangen sollten | Fundstelle | | --- | --- | --- | | Speicherort | Rechenzentrum in der EU, Angabe des Landes | Art. 44 ff. DSGVO | | Auftragsverarbeitung | Vertrag mit allen Pflichtinhalten vor dem Start | Art. 28 Abs. 3 DSGVO | | Unterauftragsverarbeiter | Liste mit Sitz und Verarbeitungsort, Information bei Änderungen, Einspruchsrecht | Art. 28 Abs. 2 und 4 DSGVO | | Drittlandtransfer | Angemessenheitsbeschluss oder Standardvertragsklauseln je Dienstleister | Art. 45, 46 DSGVO | | KI-Training | vertraglicher Ausschluss der Nutzung Ihrer Daten zum Modelltraining | Art. 28 Abs. 3 lit. a DSGVO, Weisungsbindung | | Sicherheit | Verschlüsselung, Rollenrechte, zweiter Faktor, Wiederherstellung | Art. 32 DSGVO | | Vertragsende | Export aller Daten und Originale, danach Löschung | Art. 28 Abs. 3 lit. g DSGVO | ## So geht es mit vertragsmanagement.io - Auftragsverarbeitungsvertrag mit namentlicher Liste der Unterauftragsverarbeiter auf Anforderung - Änderungen bei Unterauftragsverarbeitern mindestens 30 Tage vorher angekündigt, mit Widerspruchsrecht - Archivieren statt Löschen während der Aufbewahrungsfrist, Löschen danach möglich - Nach dem Ende des Abos bleiben Verträge lesbar und exportierbar vertragsmanagement.io speichert Verträge verschlüsselt in EU-Rechenzentren in Irland. Der Zugriff folgt den Rollen des Arbeitsbereichs: Lesen für alle Mitglieder, Ändern nur für Administrator und Bearbeiter. Für die KI-Auslesung werden Sprachmodelle von Drittanbietern genutzt; mit jedem besteht ein Auftragsverarbeitungsvertrag, die Nutzung Ihrer Daten zum Modelltraining ist vertraglich ausgeschlossen, und für Anbieter außerhalb der EU gelten die in Datenschutzerklärung und Auftragsverarbeitungsvertrag beschriebenen Garantien. ## Häufige Fragen ### Ist eine Vertragsverwaltung in Excel DSGVO-konform? Das hängt nicht vom Programm ab, sondern davon, wo die Datei liegt, wer darauf zugreifen kann und ob sie nach Fristablauf bereinigt wird. Eine Tabelle auf einem gemeinsamen Laufwerk ohne Zugriffsbeschränkung, die per E-Mail weitergeschickt wird, erfüllt die Anforderungen an Vertraulichkeit und Löschung meist nicht. ### Brauche ich mit dem Anbieter einer Vertragssoftware einen Auftragsverarbeitungsvertrag? Ja, sobald der Anbieter personenbezogene Daten aus Ihren Verträgen in Ihrem Auftrag speichert oder verarbeitet. Der Vertrag muss die Pflichtinhalte des Art. 28 Abs. 3 DSGVO enthalten und die Unterauftragsverarbeiter regeln. Seriöse Anbieter stellen ihn vor Vertragsschluss bereit. ### Darf eine KI Verträge mit personenbezogenen Daten auslesen? Ja, wenn der KI-Anbieter als Unterauftragsverarbeiter vertraglich eingebunden ist, ein etwaiger Drittlandtransfer abgesichert ist und die Daten nicht für das Training verwendet werden. Prüfen Sie außerdem, ob nur der nötige Ausschnitt übermittelt wird und wie lange der Anbieter ihn speichert. ### Wann muss ich Verträge löschen? Wenn die längste maßgebliche Aufbewahrungsfrist abgelaufen ist und kein anderer Grund mehr besteht, etwa ein offener Rechtsstreit. Während der Frist besteht kein Anspruch auf Löschung, soweit die Speicherung zur Erfüllung einer gesetzlichen Pflicht erforderlich ist (Art. 17 Abs. 3 lit. b DSGVO). ### Woran erkenne ich, ob eine Vertragsmanagement-Software DSGVO-konform ist? An einem vollständigen Auftragsverarbeitungsvertrag, einer offenen Liste der Unterauftragsverarbeiter mit Verarbeitungsort, klaren Garantien für Drittlandtransfers, einem Ausschluss des KI-Trainings und nachvollziehbaren Sicherheitsmaßnahmen. Ein Siegel allein ersetzt diese Prüfung nicht; die Verantwortung für die Auswahl bleibt bei Ihnen. ### Gehört die Vertragsverwaltung ins Verzeichnis der Verarbeitungstätigkeiten? In aller Regel ja, weil Verträge mit personenbezogenen Daten laufend und nicht nur gelegentlich verarbeitet werden. Im Verzeichnis nach Art. 30 DSGVO beschreiben Sie Zweck, Datenkategorien, Empfänger, Löschfristen und die Schutzmaßnahmen. ## Quellen und Rechtsstand - [DSGVO (Verordnung (EU) 2016/679)](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679) — Art. 5, 6, 17, 28, 30, 32 und 44 bis 46 - [§ 257 HGB](https://www.gesetze-im-internet.de/hgb/__257.html) — Handelsrechtliche Aufbewahrungspflicht als Rechtsgrundlage der Speicherung - [§ 147 AO](https://www.gesetze-im-internet.de/ao_1977/__147.html) — Steuerliche Aufbewahrungspflicht ## Weiterführende Seiten - [Aufbewahrungsfrist für Verträge](https://vertragsmanagement.io/ratgeber/aufbewahrungsfrist-vertraege) - [Vertragsanalyse mit KI](https://vertragsmanagement.io/ratgeber/vertragsanalyse-mit-ki) - [Vertragsmanagement-Software für KMU](https://vertragsmanagement.io/ratgeber/vertragsmanagement-software-kmu) - [Vertragsverwaltung in Excel](https://vertragsmanagement.io/ratgeber/vertragsverwaltung-excel-vorlage) ## Verträge in der EU verwalten, ohne KI-Training vertragsmanagement.io speichert Verträge verschlüsselt in Irland, arbeitet mit Rollenrechten und schließt das Training mit Ihren Daten vertraglich aus. 49 € pro Monat. [Vertragsmanagement starten](https://vertragsmanagement.io/register) [Zur Startseite](https://vertragsmanagement.io/)