Auftragsverarbeitung bei Odoo: Verträge prüfen

Was Art. 28 DSGVO verlangt

Verantwortlicher ist, wer allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO); Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Die Verordnung gilt seit dem 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Nicht die Software oder die Rechnung entscheidet, sondern ob die andere Stelle personenbezogene Daten in Ihrem Auftrag verarbeitet.

Einsetzen dürfen Sie nur Auftragsverarbeiter, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 Abs. 1 DSGVO). Nach den Leitlinien 07/2020 des Europäischen Datenschutzausschusses (EDSA), Version 2.0 vom 7. Juli 2021, ist das eine fortlaufende Pflicht: Sie endet nicht mit dem Vertragsschluss, und Sie sollen die Garantien in angemessenen Abständen kontrollieren, gegebenenfalls durch Überprüfungen und Inspektionen (Nr. 99).

Grundlage ist ein Vertrag oder ein anderes verbindliches Rechtsinstrument (Art. 28 Abs. 3 DSGVO). Schriftform ist vorgeschrieben, ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO). Nicht schriftliche Abreden genügen nach den EDSA-Leitlinien nicht (Nr. 101). Der Vertrag darf aber in eine umfassendere Vereinbarung eingebettet sein; die Klauseln sollen nach der Empfehlung des EDSA an einer Stelle, etwa in einem Anhang, eindeutig als Auftragsverarbeitungsklauseln gekennzeichnet werden (Nr. 103).

Welche Verträge Sie mit wem schließen

Für eine Odoo-Datenbank sind vier Arten von Stellen zu trennen. Die Rolle folgt der tatsächlichen Verarbeitung, nicht der Bezeichnung im Vertrag.

Stelle	Rolle	Vertrag	Prüfpunkt
Odoo S.A., Odoo Online und Odoo.sh	Auftragsverarbeiter für die personenbezogenen Daten Ihrer Datenbank, soweit Sie über deren Zwecke und Mittel entscheiden (GDPR-Leitfaden, Abschnitt Our GDPR Roles)	Abschnitt 6.5 Data Protection des Enterprise-Abonnementvertrags, Version 13 vom 24. September 2026; nach dem GDPR-Leitfaden ohne gesonderte Annahme	Fassung ablegen und die Klauseln Buchstabe für Buchstabe mit Art. 28 Abs. 3 DSGVO vergleichen
Odoo S.A., eigene Installation, Datenbank für das Upgrade übertragen	Auftragsverarbeiter für die übertragene Datenbank oder Teile davon (Ziffer 6.5)	derselbe Abschnitt 6.5 des Abonnementvertrags	Auch beim Selbsthosting prüfen, ob Sie die Datenbank für ein Upgrade an Odoo S.A. übertragen
Implementierungs- oder Systemhauspartner, den Sie unmittelbar beauftragen	Auftragsverarbeiter, soweit er personenbezogene Daten aus Ihrer Datenbank in Ihrem Auftrag verarbeitet, etwa in Wartung, Fernzugriff oder Migration; verfolgt er eigene Zwecke, ist er Verantwortlicher oder mit Ihnen gemeinsam Verantwortlicher (Art. 4 Nr. 7, Art. 26 DSGVO)	Vertrag nach Art. 28 Abs. 3 DSGVO, bevor die Daten bei ihm ankommen	Unterauftragnehmer nur mit Ihrer vorherigen Genehmigung (Art. 28 Abs. 2 DSGVO); für deren Pflichten haftet der Partner (Art. 28 Abs. 4 DSGVO)
Hoster oder IT-Dienstleister eines eigenen Servers	Auftragsverarbeiter, wenn er personenbezogene Daten aus Ihrer Installation in Ihrem Auftrag verarbeitet; das Kurzpapier Nr. 13 der Datenschutzkonferenz nennt Outsourcing im Cloud-Computing als Beispiel (Anhang A)	Vertrag nach Art. 28 Abs. 3 DSGVO	Bei einem Server außerhalb des EWR die Übermittlungsgrundlage nach Kapitel V prüfen (Art. 44 DSGVO)
Anbieter eines Zusatzmoduls aus dem Apps Store oder von einem Einzelentwickler	Kein Auftragsverarbeiter durch Kauf oder Installation: Ein Modul ist Software. Er wird es, soweit er personenbezogene Daten aus Ihrer Datenbank verarbeitet, etwa im Fernsupport oder weil das Modul Daten an einen Dienst des Anbieters überträgt	Kauf- oder Lizenzvertrag für das Modul; bei einer Verarbeitung in Ihrem Auftrag zusätzlich ein Vertrag nach Art. 28 Abs. 3 DSGVO mit dem Betreiber des Dienstes	Je Modul prüfen, wohin Daten fließen; auf Odoo Online sind Drittmodule nur als reine Datenmodule möglich

Zwei Grenzfälle entscheiden mit. Wartung und Fernwartung, bei der ein Zugriff auf personenbezogene Daten möglich ist, ist nach dem Kurzpapier Nr. 13 der Datenschutzkonferenz (Stand 17. Dezember 2018) selbst eine Auftragsverarbeitung; reine technische Arbeiten an der Infrastruktur wie Stromzufuhr, Kühlung und Heizung lösen sie nicht aus, weil sie keinen Datenzugriff eröffnen. Die Datenschutzkonferenz führt dieses Papier in ihrer Übersicht derzeit als „in Überarbeitung“; es steht zudem unter dem Vorbehalt einer abweichenden Auslegung des EDSA. Eine gekaufte Anwendung ist kein Dienst: Nach den Apps Sales Conditions wendet sich der Kunde bei Problemen mit einem Drittmodul an dessen Autor und nicht an Odoo S.A.

Handelt Ihr Partner ausschließlich auf Grund der Untervergabe nach Ziffer 4.6 des Abonnementvertrags für abgedeckte Zusatzmodule, ist er über Odoo S.A. in die Kette eingebunden; prüfen Sie, ob Ihr Vertrag diesen Einsatz genehmigt (Art. 28 Abs. 2 DSGVO). Für jede Leistung, die Sie unmittelbar beauftragen und bei der die Stelle personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie dagegen einen eigenen Vertrag nach Art. 28 Abs. 3 DSGVO; welche Rolle welches Modell hat, steht unter Odoo-Hosting und DSGVO.

Was in Ihrem Vertrag stehen muss

Art. 28 Abs. 3 Satz 1 DSGVO verlangt Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Satz 2 zählt auf, was der Auftragsverarbeiter insbesondere zusagt:

1. Verarbeitung nur auf dokumentierte Weisung, auch für Übermittlungen in ein Drittland; bei einer gesetzlichen Pflicht vorherige Mitteilung (Buchst. a).
2. Vertraulichkeit der zur Verarbeitung befugten Personen (Buchst. b).
3. Alle Maßnahmen nach Art. 32 (Buchst. c).
4. Einhaltung der Bedingungen für weitere Auftragsverarbeiter (Buchst. d).
5. Unterstützung bei Anträgen Betroffener nach Kapitel III (Buchst. e).
6. Unterstützung bei den Pflichten nach Art. 32 bis 36 (Buchst. f).
7. Löschung oder Rückgabe nach Ihrer Wahl bei Abschluss der Leistung und Löschung der vorhandenen Kopien, soweit kein Gesetz die Speicherung verlangt (Buchst. g, in der Cloud nach Ziffer 6.5 Buchst. h vorbehaltlich der Fristen der Datenschutzerklärung).
8. Informationen zum Nachweis der Einhaltung, Ermöglichung von Überprüfungen und Inspektionen sowie unverzügliche Mitteilung, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die Verordnung verstößt (Buchst. h).

Ziffer 6.5 des Odoo-Abonnementvertrags bildet diese Pflichten in eigener Reihenfolge ab: Die Buchstaben a bis c entsprechen den Buchstaben a bis c der Verordnung, die Weiterleitung von Anträgen Betroffener steht dort unter (d), die Meldung von Vorfällen unter (e), die Mitteilung bei rechtswidriger Weisung unter (f), Nachweis und Audits unter (g), Löschung oder Rückgabe unter (h). Eine eigene Zusage zur Unterstützung nach Buchst. f (Art. 32 bis 36 DSGVO) haben wir in dieser Aufzählung nicht gefunden. Nach den EDSA-Leitlinien ist ein Rechtsinstrument, dem der geforderte Mindestinhalt fehlt, durch einen Vertrag oder ein anderes Rechtsinstrument zu ergänzen (Nr. 102). Klären Sie solche Lücken mit Ihrer Datenschutzberatung.

Unterauftragsverarbeiter: Genehmigung, Liste, Kette

Ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung darf ein Auftragsverarbeiter keinen weiteren Auftragsverarbeiter einsetzen (Art. 28 Abs. 2 DSGVO). Bei einer allgemeinen Genehmigung muss er jede beabsichtigte Hinzuziehung oder Ersetzung mitteilen, damit Sie Einspruch erheben können. Nach den EDSA-Leitlinien muss er auf jede Änderung aktiv hinweisen; der bloße Zugang zu einer Liste, die von Zeit zu Zeit aktualisiert wird, genügt dafür nicht (Nr. 128 mit Fußnote 54).

Den weiteren Auftragsverarbeiter bindet Ihr Vertragspartner durch einen Vertrag mit denselben Datenschutzpflichten; für deren Einhaltung haftet er Ihnen gegenüber (Art. 28 Abs. 4 DSGVO). Der EDSA verlangt, dass die gesamte Verarbeitungskette durch schriftliche Vereinbarungen geregelt ist, wobei die Pflichten inhaltlich gleich sein müssen, nicht wörtlich (Nr. 160). Mit dem Unterauftragsverarbeiter schließen Sie selbst keinen Vertrag.

Für die Odoo-Cloud hält Ziffer 6.5 fest, dass Odoo S.A. Unterauftragsverarbeiter einsetzen darf und deren Einsatz durch einen Vertrag zwischen Odoo S.A. und dem Unterauftragsverarbeiter abgesichert ist. Die Datenschutzerklärung mit Geltungsbeginn 24. September 2026 führt sie mit Zweck und Datenarten auf — darunter Google Cloud EMEA, OVH und Amazon Web Services für Infrastruktur und Hosting, Scaleway für die E-Mail-Infrastruktur und Outscale für den französischen Rechnungsdienst. Auswählen können Sie diese Stellen nicht; wählbar ist nach derselben Erklärung die Hauptregion der Datenbank. Prüfen Sie, wo Ihr Vertrag die Genehmigung erteilt und wie Ihnen Änderungen an der Liste mitgeteilt werden.

Wann Sie keinen Auftragsverarbeitungsvertrag brauchen

• Kauf und Installation eines Moduls, solange dabei keine personenbezogenen Daten aus Ihrer Datenbank in den Auftrag des Anbieters gelangen (Art. 4 Nr. 8 DSGVO).
• Ihre Kontodaten auf odoo.com, etwa Vertragsdaten und Rechnungen: Dafür ist Odoo S.A. nach dem GDPR-Leitfaden selbst Verantwortlicher; Art. 28 DSGVO greift hier nicht.
• Ein Server, den Sie ohne Dienstleister selbst betreiben und zu dem niemand sonst Zugriff auf personenbezogene Daten erhalten kann.
• Stellen, die eigenständig über die Verarbeitung entscheiden und gesetzlich zur Verschwiegenheit verpflichtet sind: Das Kurzpapier Nr. 13 nennt in Anhang B Steuerberater, Rechtsanwälte, Betriebsärzte und Wirtschaftsprüfer; sie treten als Verantwortliche auf, nicht als Auftragsverarbeiter.

Was bei einem Verstoß droht

Fehlt der Vertrag, obwohl eine Auftragsverarbeitung vorliegt, ist das nach den EDSA-Leitlinien ein Verstoß gegen Art. 28 Abs. 3 DSGVO; verantwortlich sind beide Seiten, und die Aufsichtsbehörde kann gegen beide eine Geldbuße verhängen (Nr. 103). Der Rahmen dafür steht in Art. 83 Abs. 4 Buchst. a DSGVO: bis 10 Mio. EUR oder, bei einem Unternehmen, 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Das Kurzpapier Nr. 13 nennt dieselben Beträge.

Für Schäden haftet ein Auftragsverarbeiter nach Art. 82 Abs. 2 DSGVO nur, wenn er seine speziell für Auftragsverarbeiter geltenden Pflichten verletzt oder gegen rechtmäßig erteilte Anweisungen gehandelt hat. Bestimmt er entgegen der Verordnung selbst die Zwecke und Mittel der Verarbeitung, gilt er dafür als Verantwortlicher (Art. 28 Abs. 10 DSGVO). Ziffer 7.3 des Odoo-Abonnementvertrags begrenzt die Gesamthaftung jeder Vertragspartei, also auch Ihre, auf 50 Prozent der in den zwölf Monaten vor dem Ereignis gezahlten Entgelte und schließt mittelbare Schäden einschließlich verlorener oder beschädigter Daten aus; wie sich diese Grenzen zu Art. 82 DSGVO verhalten, klären Sie mit Ihrer Datenschutzberatung.

Checkliste für Ihren Betrieb

1. Notieren Sie zu jeder Verarbeitung die beteiligten Stellen und leiten Sie daraus ab, wer Verantwortlicher und wer Auftragsverarbeiter ist (Art. 4 Nr. 7 und 8 DSGVO).
2. Legen Sie den Abonnementvertrag mit Ziffer 6.5 in der Fassung ab, unter der Ihr Abonnement läuft, und kennzeichnen Sie die Klauseln als Auftragsverarbeitungsvereinbarung.
3. Vergleichen Sie die Klauseln Buchstabe für Buchstabe mit Art. 28 Abs. 3 DSGVO und halten Sie fest, wo eine Zusage fehlt und ergänzt werden muss.
4. Schließen Sie den Vertrag nach Art. 28 Abs. 3 DSGVO mit jedem Partner und Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, bevor die Daten bei ihm ankommen; die unmittelbare Beauftragung allein löst die Pflicht nicht aus.
5. Prüfen Sie je Zusatzmodul, ob es personenbezogene Daten an einen Dienst außerhalb Ihrer Installation überträgt, und schließen Sie mit dem Betreiber dieses Dienstes einen Vertrag nach Art. 28 Abs. 3 DSGVO, wenn er die Daten in Ihrem Auftrag verarbeitet; entscheidet er selbst über Zwecke und Mittel, ist er Verantwortlicher.
6. Regeln Sie die Genehmigung weiterer Auftragsverarbeiter und den Weg, auf dem Ihnen beabsichtigte Änderungen mitgeteilt werden (Art. 28 Abs. 2 DSGVO).
7. Führen Sie Odoo S.A., Partner, Hoster und die Betreiber von Moduldiensten als Empfänger in Ihrem Verzeichnis der Verarbeitungstätigkeiten (Art. 30 Abs. 1 Buchst. d DSGVO).