EU-Konformität 4 Min. Lesezeit
GDPR Data Processing Agreement Clauses Guide Common Mistakes: Ein Praxisleitfaden
Praxisleitfaden zu DPA-Klauseln nach Artikel 28 GDPR: typische Fehler, Prüfraster, Unterauftragsverarbeitung, Drittlandtransfers und Dokumentation.
Ein Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) ist nach Artikel 28 GDPR Pflicht, sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Der folgende GDPR data processing agreement clauses guide common mistakes zeigt, welche Klauseln nicht fehlen dürfen und wo Prüfer in der Praxis immer wieder Lücken finden. Der Fokus liegt auf konkreten Abschnittsverweisen, dokumentierter Nachvollziehbarkeit und einer belastbaren Lieferantenkette.
Rechtlicher Rahmen: Artikel 28 GDPR und angrenzende Pflichten
Artikel 28 Absatz 3 GDPR nennt Mindestinhalte. Dazu gehören Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Artikel 32 GDPR, Unterauftragsverarbeitung, Unterstützung bei Betroffenenrechten, Meldung von Verletzungen, Löschung oder Rückgabe sowie Audit- und Informationsrechte. Fehlt eine dieser Klauseln, ist der Vertrag nicht automatisch unwirksam, aber die Compliance-Lücke ist erheblich. Die Aufsichtsbehörden prüfen zunehmend, ob der Verantwortliche die Einhaltung nachweisen kann.
Pflichten des Auftragsverarbeiters nach Artikel 28 Absatz 3 GDPR
Der Auftragsverarbeiter darf Daten nur auf dokumentierte Weisung verarbeiten. Er muss geeignete technische und organisatorische Maßnahmen nachweisen, Beschäftigte zur Vertraulichkeit verpflichten und Unterauftragsverarbeiter nur mit Genehmigung einsetzen. Bei einer Verletzung des Schutzes personenbezogener Daten muss er den Verantwortlichen unverzüglich informieren; die 72-Stunden-Frist des Artikels 33 GDPR betrifft die Meldung an die Aufsichtsbehörde. Ein DPA sollte diese Schnittstellen ausdrücklich regeln.
Kernklauseln eines DPA: Prüfraster für Einkauf und Datenschutz
Ein belastbares DPA enthält mehr als eine Standardanlage. Prüfen Sie, ob der Vertrag den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Datenkategorien und die betroffenen Personen benennt. Diese Angaben nach Artikel 28 Absatz 3 GDPR sind oft zu allgemein. Konkrete Abschnittsverweise auf Anlagen, Löschkonzepte und Service-Level helfen, Streit zu vermeiden.
Ein häufiges Missverständnis betrifft die Rollenklärung. Der Verantwortliche entscheidet über Zwecke und Mittel; der Auftragsverarbeiter folgt Weisungen. Diese Abgrenzung muss im Vertrag sichtbar sein, sonst drohen Haftungsverschiebungen. Auch die Dokumentation der eingesetzten Systeme, Zugriffsberechtigungen und Löschroutinen gehört in die Anlagen. Wer nur ein Standardformular verwendet, übersieht oft betriebliche Besonderheiten wie Fernzugriffe, Support aus Drittländern oder Cloud-Unterauftragsverarbeiter.
Unterauftragsverarbeitung, Drittlandtransfers und Audits
Unterauftragsverarbeitung braucht eine dokumentierte Genehmigung. Bei Drittlandtransfers sind Kapitel V GDPR, Standardvertragsklauseln und ein Transfer Impact Assessment zu prüfen. Auditrechte sollten Zeitpunkt, Umfang, Kosten und Vertraulichkeit regeln. Ein pauschales Recht auf jederzeitige Vor-Ort-Prüfung ist praktisch selten durchsetzbar; besser sind gestufte Nachweise, Zertifikate und Fragebögen. Verweisen Sie auf GDPR Data Processing Agreement Clauses: A Practical Guide, wenn Sie Musterklauseln strukturieren.
Typische Fehler: Wo der GDPR data processing agreement clauses guide common mistakes ansetzt
Der GDPR data processing agreement clauses guide common mistakes beginnt bei unklaren Rollen. Viele Verträge bezeichnen den Dienstleister als Auftragsverarbeiter, obwohl er nach Artikel 28 GDPR eigentlich Verantwortlicher ist. Ein weiterer Fehler ist die fehlende Dokumentation von Weisungen. Mündliche Absprachen oder Tickets ohne Bezug zum DPA genügen nicht. Prüfer verlangen eine nachvollziehbare Kette von der Weisung bis zur Löschung.
Ein zweiter häufiger Fehler betrifft Unterauftragsverarbeiter. Diese werden im Vertrag genannt, aber Änderungen nicht nachgeführt. Das widerspricht der Genehmigungspflicht. Drittens fehlen konkrete Fristen für die Meldung von Verletzungen. Artikel 33 GDPR nennt 72 Stunden für die Aufsichtsbehörde, doch der Auftragsverarbeiter muss den Verantwortlichen unverzüglich informieren. Viertens werden Lösch- und Rückgabepflichten nur pauschal geregelt. Ohne Fristen, Formate und Nachweise bleibt offen, ob Daten wirklich entfernt wurden.
Fünftens unterschätzen Unternehmen die Audit- und Informationsrechte. Ein DPA ohne Prüfmechanismus ist schwer durchsetzbar. Sechstens fehlt der Bezug zu technischen Normen. Wer ISO 9001, ISO 14001 oder ISO 45001 zertifiziert ist, kann Nachweise aus dem Managementsystem nutzen, doch das ersetzt keine GDPR-Prüfung. Siebtens werden CE-Dokumentationen und Lieferketten nicht mit dem DPA verzahnt. Bei Produkten mit CE-Kennzeichnung kann eine technische Datei nach EU CE Marking Technical File: A Practical Guide helfen, Zuständigkeiten zu trennen.
Prüfprozess und Dokumentation: Vom Entwurf zur Freigabe
Ein DPA sollte versioniert, freigegeben und regelmäßig überprüft werden. Legen Sie fest, wer Änderungen an Anlagen genehmigt. Datenschutz, Einkauf, Recht und Fachbereich müssen zusammenarbeiten. Für wiederkehrende Lieferanten bietet sich ein gestuftes Verfahren an: Risikoklassifizierung, Standardklauseln, individuelle Anlagen, Freigabe. Dokumentieren Sie Abweichungen und Maßnahmen. Ein Verweis auf The ISO 9001 documentation requirements guide: A Practical O kann helfen, Lenkung und Aufbewahrung zu strukturieren.
Prüfen Sie auch, ob der Vertrag mit anderen Regelwerken kollidiert. Ein Qualitätsmanagementsystem nach ISO 9001 verlangt dokumentierte Information; ein Umweltmanagementsystem nach ISO 14001 und ein Arbeitsschutzsystem nach ISO 45001 haben eigene Aufbewahrungsfristen. Ein DPA muss diese Fristen nicht ersetzen, aber Schnittstellen benennen. Bei Produkttests können ASTM D4169 für Transportverpackungen oder ASTM A36 für Baustahl relevant sein, wenn Lieferanten personenbezogene Daten in Prüfprozessen verarbeiten. Entscheidend bleibt die GDPR-Rollenklärung.
Definieren Sie klare Eskalationswege. Wenn ein Lieferant eine Anfrage nach Artikel 15 GDPR nicht fristgerecht beantwortet, muss der Verantwortliche nachsteuern können. Vereinbaren Sie Service-Level für Betroffenenanfragen, Sicherheitsvorfälle und Löschbestätigungen. Dokumentieren Sie, welche Nachweise akzeptiert werden: Zertifikate, Auditberichte, Penetrationstests oder Selbstauskünfte. Diese Nachweise sollten mit der Vertragsversion verknüpft sein.
Fazit: Klauseln prüfen, Fehler vermeiden, Nachweise führen
Dieser GDPR data processing agreement clauses guide common mistakes lässt sich als Checkliste nutzen. Prüfen Sie Artikel 28 Absatz 3 GDPR, Artikel 32 GDPR, Kapitel V GDPR und die eigenen Anlagen. Regeln Sie Unterauftragsverarbeitung, Meldepflichten, Löschung, Audits und Drittlandtransfers ausdrücklich. Vermeiden Sie pauschale Formulierungen und fehlende Versionierung. Wer die genannten Punkte systematisch abarbeitet, reduziert Haftungsrisiken und besteht Prüfungen mit belastbaren Nachweisen.
Ein DPA ist kein einmaliges Dokument. Änderungen bei Unterauftragsverarbeitern, neue Drittlandtransfers oder geänderte Datenkategorien lösen Prüfpflichten aus. Planen Sie jährliche Reviews und anlassbezogene Aktualisierungen. So wird aus dieser Prüfliste eine dauerhafte Kontrolle.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 28(3)(a)-(h)
O Artigo 28.º, n.º 3, do GDPR enumera oito alíneas obrigatórias (a a h) para o conteúdo do acordo de tratamento de dados.
Fakten-ID:
GDPR-art-28-3-clausesArticle 28(10)
Um contrato de tratamento que não cumpra o Artigo 28.º é nulo quanto ao incumprimento em causa.
Fakten-ID:
GDPR-art-28-10-nullityArticle 28(9)
O acordo pode ser celebrado por escrito, incluindo em formato eletrónico.
Fakten-ID:
GDPR-art-28-9-formArticle 28(4)
O subcontratante só pode recorrer a outro subcontratante com autorização prévia, específica ou geral, por escrito do responsável.
Fakten-ID:
GDPR-art-28-4-subprocessor72 hours
O responsável notifica a autoridade de controlo no prazo de 72 horas após tomar conhecimento de uma violação de dados pessoais.
Fakten-ID:
GDPR-art-33-notification-windowEUR 10,000,000 or 2% of global annual turnover
A violação das obrigações do responsável e do subcontratante pode gerar coima até 10 milhões de euros ou 2% do volume de negócios anual global.
Fakten-ID:
GDPR-art-83-4-fineCommission Implementing Decision (EU) 2021/914
As Cláusulas Contratuais-Tipo em vigor constam da Decisão de Execução (UE) 2021/914.
Fakten-ID:
EU-scc-decision-2021-914
Häufig gestellte Fragen
Welche Klauseln sind nach Artikel 28 Absatz 3 GDPR mindestens erforderlich?
Erforderlich sind unter anderem Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Artikel 32 GDPR, Regelungen zur Unterauftragsverarbeitung, Unterstützung bei Betroffenenrechten, Meldung von Verletzungen, Löschung oder Rückgabe sowie Audit- und Informationsrechte.
Wie oft muss ein DPA aktualisiert werden?
Ein DPA sollte mindestens jährlich sowie anlassbezogen geprüft werden, etwa bei neuen Unterauftragsverarbeitern, geänderten Datenkategorien, neuen Drittlandtransfers oder Änderungen der Rechtslage.
Was ist der häufigste Fehler bei Unterauftragsverarbeitern?
Häufig werden Unterauftragsverarbeiter im Vertrag genannt, aber Änderungen nicht nachgeführt. Das verletzt die Genehmigungspflicht und erschwert den Nachweis einer durchgängigen Compliance-Kette.
Reicht ein ISO 9001-Zertifikat als GDPR-Nachweis?
Nein. ISO 9001 kann dokumentierte Prozesse und Lenkung unterstützen, ersetzt aber keine Prüfung der GDPR-Pflichten nach Artikel 28, Artikel 32 und Kapitel V GDPR.
Wie lange muss ein DPA aufbewahrt werden?
Eine starre Frist nennt die GDPR nicht. Aufbewahrungspflichten ergeben sich aus Vertrags-, Handels- und Dokumentationsrecht sowie aus Nachweispflichten. Die Fristen sollten im DPA und im Dokumentenlenkungssystem abgebildet sein.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
