GDPR Data Processing Agreement Clauses Guide for Small Business: Ein Praxisleitfaden

Wer als kleines oder mittleres Unternehmen Cloud-Speicher, Lohnbuchhaltung, Newsletter-Versand oder IT-Wartung einkauft, verarbeitet personenbezogene Daten selten allein. Sobald ein Dienstleister Daten im Auftrag und nach Weisung verarbeitet, greift Artikel 28 der Datenschutz-Grundverordnung (GDPR). Die Vereinbarung ist dann keine Formalie, sondern Voraussetzung für eine rechtmäßige Verarbeitung. Der folgende Überblick ordnet die Pflichtklauseln ein und zeigt, wie sich ein GDPR data processing agreement clauses guide for small business in der Praxis aufbauen lässt.

Wann ein Auftragsverarbeitungsverhältnis entsteht

Ein Auftragsverarbeitungsverhältnis liegt vor, wenn ein externer Dienstleister personenbezogene Daten ausschließlich im Auftrag des Verantwortlichen verarbeitet – also weisungsgebunden und ohne eigene Zweckentscheidung. Typische Konstellationen in KMU: Hosting und Backup, Personalabrechnung, Bewerbermanagement, Kunden-CRM als SaaS, E-Mail-Marketing, externe IT-Administration, Aktenvernichtung.

Entscheidend ist die tatsächliche Einflussnahme, nicht die Bezeichnung im Vertrag. Wer dem Dienstleister eigene Zwecke zugesteht, begründet eine gemeinsame Verantwortlichkeit nach Artikel 26 GDPR – mit anderen Rechtsfolgen. Vor jeder Vertragsprüfung steht deshalb die Rollenklärung.

Fehlt eine Vereinbarung, ist die Verarbeitung rechtswidrig. Verstöße gegen Artikel 28 können nach Artikel 83 Absatz 4 GDPR mit einem Bußgeld geahndet werden.

Rechtsgrundlage: Artikel 28 GDPR

Artikel 28 Absatz 2 verlangt, dass der Verantwortliche nur Dienstleister auswählt, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Absatz 3 nennt die Mindestinhalte der Vereinbarung. Absatz 4 regelt die Einbindung weiterer Auftragsverarbeiter. Absatz 9 verlangt die schriftliche Form, wobei die elektronische Form ausdrücklich genügt.

Pflichtinhalte nach Artikel 28 Absatz 3 GDPR

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Vertraulichkeitsverpflichtung der eingesetzten Personen
• Umsetzung der Maßnahmen nach Artikel 32 GDPR
• Regelungen zu Unterauftragsverarbeitern einschließlich Genehmigungsvorbehalt
• Unterstützung bei der Beantwortung von Betroffenenanfragen
• Unterstützung bei Meldepflichten, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde
• Löschung oder Rückgabe aller Daten nach Ende der Leistungserbringung
• Bereitstellung aller Informationen zum Nachweis der Pflichten und Ermöglichung von Überprüfungen

Diese acht Punkte sind nicht verhandelbar. Alles darüber hinaus – Haftungshöchstgrenzen, Auditfrequenz, Vorlaufzeiten bei Unterauftragnehmern – ist Verhandlungssache.

Die zentralen Klauseln im Detail

Weisungsbindung. Die Klausel muss klarstellen, dass der Auftragsverarbeiter Daten nur nach dokumentierter Weisung verarbeitet und Weisungen unverzüglich umsetzt. Praktikabel ist ein Verweis auf ein Weisungsformular im Anhang.

Unterauftragsverarbeitung. Zwei Modelle sind üblich: die allgemeine schriftliche Genehmigung mit Widerspruchsrecht und Informationspflicht oder die Einzelgenehmigung. Bei allgemeiner Genehmigung sollten Fristen für den Widerspruch und die Folgen eines Anbieterwechsels geregelt sein.

Technische und organisatorische Maßnahmen. Die Vereinbarung muss konkrete Maßnahmen benennen – Verschlüsselung, Zugriffskontrolle, Protokollierung, Wiederherstellbarkeit. Eine pauschale Verweisung auf den Stand der Technik genügt nicht.

Löschung und Rückgabe. Fristen, Formate und Ausnahmen wegen gesetzlicher Aufbewahrungspflichten gehören ausdrücklich in den Vertrag. Ohne Regelung bleibt der Auftragsverarbeiter faktisch im Besitz der Daten.

Kontrollrechte. Auditrechte sollten ausübbar sein: Ankündigungsfristen, Kostentragung, Zulässigkeit von Zertifikaten Dritter als Nachweis.

Drittlandtransfers. Übermittlungen außerhalb des EWR benötigen eine Grundlage nach Kapitel V – Angemessenheitsbeschluss, Standardvertragsklauseln oder ein anderes geeignetes Instrument. Der Transfermechanismus gehört als Anlage in die Vereinbarung.

Eine ausführliche Klauselsystematik mit Formulierungsvorschlägen findet sich im Beitrag GDPR Data Processing Agreement Clauses: A Practical Guide.

Typische Fehlerquellen in KMU-Vertragswerken

1. AVV nur mit dem Hauptanbieter, nicht mit dessen Unterauftragnehmern.
2. Musterklauseln ohne Bezug zum konkreten Verarbeitungsvorgang.
3. Fehlende Löschfristen und keine Regelung zur Datenrückgabe.
4. Auditrechte, die praktisch nicht ausgeübt werden können.
5. Keine Aktualisierung nach Anbieterwechsel, Funktionserweiterung oder Wechsel des Transfermechanismus.
6. Ablage der Vereinbarung ohne Bezug zum Verzeichnis von Verarbeitungstätigkeiten.

Dokumentation und Nachweisführung

Die Vereinbarung ist nur ein Baustein. Nachweisfähig wird das System erst durch ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 GDPR, eine Zuordnung von Dienstleistern zu Verarbeitungen, Versionsstände und Prüfprotokolle. Wer bereits nach ISO 9001 dokumentiert, kann die bestehende Lenkung dokumentierter Informationen nutzen; die Anforderungen an Aktualität, Kennzeichnung und Zugriff sind übertragbar. Hinweise dazu gibt der ISO 9001 documentation requirements guide.

Wichtig ist die Trennung der Nachweiswelten: Produktbezogene Unterlagen wie ein EU CE Marking Technical File oder materialspezifische Prüfberichte nach ASTM A36 dokumentieren Eigenschaften von Waren, nicht die Zulässigkeit personenbezogener Verarbeitung. Beide Systeme können dieselbe Ablagestruktur nutzen, dürfen aber nicht vermischt werden.

Ablauf in sieben Schritten

1. Bestandsaufnahme. Alle Dienstleister erfassen, die personenbezogene Daten berühren.
2. Rollenklärung. Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit.
3. Klauselprüfung. Abgleich des Vertragsentwurfs mit Artikel 28 Absatz 3 GDPR.
4. Verhandlung. Ergänzungen zu Löschung, Unterauftragnehmern, Audits und Transfers.
5. Unterzeichnung. Schriftform oder elektronische Form, Anlagen ausdrücklich einbezogen.
6. Ablage. Verknüpfung mit dem Verzeichnis, Versionierung, klare Verantwortlichkeiten.
7. Überprüfung. Jährlich sowie anlassbezogen bei Änderungen.

Ein GDPR data processing agreement clauses guide for small business sollte diesen Zyklus abbilden und nicht nur Klauseltexte liefern – die häufigsten Beanstandungen entstehen aus fehlender Pflege, nicht aus fehlenden Formulierungen.

Fazit

Für kleine Unternehmen ist der Aufwand überschaubar, wenn die Prüfung standardisiert abläuft: ein einheitliches Prüfraster, eine zentrale Ablage, ein fester Überprüfungsturnus. Wer die Pflichtklauseln aus Artikel 28 Absatz 3 GDPR konsequent abgleicht und Unterauftragsverhältnisse sowie Drittlandtransfers mitdenkt, erfüllt die wesentlichen Anforderungen. Ein GDPR data processing agreement clauses guide for small business ersetzt keine Rechtsberatung im Einzelfall, senkt aber das Risiko von Lücken im Vertragswerk erheblich.