GDPR Data Processing Agreement Clauses Guide Clause by Clause: Leitfaden für Auftragsverarbeitung

Warum ein Auftragsverarbeitungsvertrag nach Art. 28 GDPR unverzichtbar ist

Setzt ein Verantwortlicher Dienstleister ein, die personenbezogene Daten weisungsgebunden verarbeiten, verlangt Art. 28 GDPR eine vertragliche Grundlage. Ohne sie ist bereits die Übermittlung an den Dienstleister rechtswidrig – unabhängig davon, wie sauber die technische Umsetzung ist. Der Vertrag dokumentiert, wer welche Rolle trägt, wie Weisungen erteilt werden und welche Kontrollrechte bestehen.

Aufsichtsbehörden prüfen Auftragsverarbeitungsverträge (AVV) zunehmend detailliert. Fehlen Pflichtinhalte aus Art. 28 Abs. 3 GDPR, drohen Bußgelder nach Art. 83 Abs. 4 GDPR und Schadensersatzansprüche nach Art. 82 GDPR. Der folgende GDPR data processing agreement clauses guide clause by clause zeigt, welche Klauseln in welcher Reihenfolge zu prüfen sind. Eine kompakte Übersicht der Grundlagen bietet der Beitrag GDPR Data Processing Agreement Clauses: A Practical Guide.

Pflichtinhalte nach Art. 28 Abs. 3 GDPR im Überblick

Die Norm zählt Mindestinhalte auf: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Kategorien personenbezogener Daten sowie Kategorien betroffener Personen. Hinzu kommen Pflichten und Rechte des Verantwortlichen. Ergänzend verlangt die Vorschrift Regelungen zu Weisungsbindung, Vertraulichkeit, technischen und organisatorischen Maßnahmen nach Art. 32 GDPR, Unterauftragsverhältnissen, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe, Kontrollrechten sowie zur Meldung von Verletzungen.

Wichtig: Ein Vertrag, der diese Liste lediglich abschreibt, ist nicht automatisch wirksam. Entscheidend ist, dass jede Klausel auf das konkrete Verarbeitungsszenario passt und überprüfbare Pflichten formuliert.

GDPR data processing agreement clauses guide clause by clause: Die Klauseln im Einzelnen

Gegenstand, Weisungsbindung und Vertraulichkeit

Klausel 1 beschreibt Verarbeitungsgegenstand, Zweck, Datenkategorien und Laufzeit. Sie sollte auf das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 GDPR verweisen. Klausel 2 bindet den Auftragsverarbeiter an dokumentierte Weisungen des Verantwortlichen und regelt, wie mit Weisungen umzugehen ist, die gegen Datenschutzrecht verstoßen. Klausel 3 verpflichtet zur Vertraulichkeit und benennt den betroffenen Personenkreis nach Funktion oder namentlich.

Technische und organisatorische Maßnahmen sowie Unterauftragsverarbeitung

Klausel 4 konkretisiert die Maßnahmen nach Art. 32 GDPR: Pseudonymisierung, Verschlüsselung, Zugriffskontrolle, Wiederherstellbarkeit, regelmäßige Überprüfung. Pauschale Verweise auf „dem Stand der Technik entsprechende Maßnahmen“ genügen nicht; ein Anhang mit konkreten Maßnahmen ist üblich.

Klausel 5 regelt die Unterauftragsverarbeitung. Nach Art. 28 Abs. 2 und Abs. 4 GDPR braucht der Auftragsverarbeiter eine vorherige schriftliche Genehmigung. Bei allgemeiner Genehmigung sind eine aktuelle Liste der Unterauftragsverarbeiter, ein Widerspruchsrecht des Verantwortlichen und die Weitergabe aller Pflichten erforderlich. Änderungen müssen so mitgeteilt werden, dass ein Widerspruch praktisch möglich bleibt.

Betroffenenrechte, Unterstützung und Löschung

Klausel 6 verpflichtet zur Unterstützung bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch nach Art. 15 bis 22 GDPR. Reaktionszeiten sollten konkret benannt sein.

Klausel 7 betrifft die Unterstützung bei der Datenschutz-Folgenabschätzung und bei Meldungen nach Art. 33 und 34 GDPR. Die 72-Stunden-Frist des Art. 33 GDPR lässt sich nur einhalten, wenn der Auftragsverarbeiter unverzüglich informiert – in der Praxis meist innerhalb von 24 Stunden.

Klausel 8 regelt Löschung oder Rückgabe nach Vertragsende und das Verhalten bei gesetzlichen Aufbewahrungspflichten.

Kontrollrechte, Haftung und Laufzeit

Klausel 9 räumt dem Verantwortlichen Audit- und Inspektionsrechte ein, häufig ergänzt durch Zertifizierungen nach Art. 42 GDPR oder genehmigte Verhaltensregeln nach Art. 40 GDPR. Klausel 10 verteilt Haftung und verweist auf Art. 82 GDPR. Zusätzlich sind Laufzeit, Kündigung, anwendbares Recht und Gerichtsstand zu regeln.

Typische Fehlerquellen bei der Vertragsprüfung

Häufig fehlen konkrete Fristen für die Meldung von Verletzungen. Ebenso oft bleibt unklar, ob Unterauftragsverarbeiter außerhalb des EWR eingesetzt werden und welche Garantien nach Kapitel V GDPR greifen. Ein weiterer Schwachpunkt: Der Vertrag wird bei Änderungen der Verarbeitung nicht nachgeführt. Prüfen Sie mindestens jährlich sowie bei jedem Dienstleisterwechsel.

Zusammenspiel mit Managementsystemen und Produkt-Compliance

Datenschutzpflichten stehen selten isoliert. Wer ein Managementsystem nach ISO 9001 betreibt, kann die Dokumentenlenkung für AVV, Anhänge und Nachweise mitnutzen; die Dokumentationsanforderungen nach ISO 9001 liefern dafür ein tragfähiges Gerüst. ISO 14001 und ISO 45001 strukturieren vergleichbare Prozesse für Umwelt- und Arbeitsschutz. Bei Produkten mit digitalen Komponenten berührt der AVV zudem die technische Dokumentation, etwa im EU CE Marking Technical File.

Dokumentation, Nachweise und Aktualisierung

Führen Sie ein Register aller Auftragsverarbeiter, verknüpft mit Vertrag, Anhängen, Laufzeit und Prüfdatum. Versionieren Sie Änderungen und dokumentieren Sie Freigaben. So wird aus dem GDPR data processing agreement clauses guide clause by clause ein wiederholbarer Prüfprozess statt einer einmaligen Aktion.