EU-Konformität 3 Min. Lesezeit
GDPR Data Processing Agreement Clauses Guide Step by Step für die Auftragsverarbeitung
Ein Auftragsverarbeitungsvertrag muss die Pflichtinhalte aus Art. 28 GDPR abbilden und zur realen Verarbeitungskette passen. Der Leitfaden ordnet die Klauselgruppen, zeigt Prüffragen und beschreibt, wie der AVV in ein Managementsystem eingebunden wird.
Ein Auftragsverarbeitungsvertrag (AVV) ist kein Anhang, der einmal unterschrieben und danach archiviert wird. Er ist das Steuerungsinstrument für jede Verarbeitung personenbezogener Daten im Auftrag und muss die tatsächliche Verarbeitungskette abbilden. Wer einen GDPR data processing agreement clauses guide step by step sucht, findet hier die Klauselgruppen in der Reihenfolge, in der sie üblicherweise geprüft und verhandelt werden.
Rechtlicher Rahmen: Art. 28 GDPR als Mindeststandard
Art. 28 Abs. 3 GDPR zählt die Inhalte auf, die ein Vertrag zwingend regeln muss: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenkategorien und betroffene Personenkreise sowie Pflichten und Rechte des Verantwortlichen. Hinzu kommen acht Pflichtenblöcke auf Seiten des Auftragsverarbeiters – von der Weisungsbindung über Vertraulichkeit, Maßnahmen nach Art. 32 GDPR, Unterauftragsverhältnisse, Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzung bis zu Löschung und Nachweispflichten.
Abs. 9 verlangt Schriftform, wobei die elektronische Form ausdrücklich genügt. Fehlt ein Pflichtinhalt, ist der Vertrag nicht automatisch unwirksam; die Lücke bleibt jedoch ein Aufsichtsrisiko. Bußgelder reichen nach Art. 83 Abs. 5 GDPR bis 20 000 000 EUR oder 4 % des weltweiten Jahresumsatzes.
Die Klauselgruppen im Einzelnen
Die Prüfreihenfolge folgt der Verarbeitung, nicht dem Layout des Vertragsdokuments.
Weisungsbindung, Zweckbindung und Vertraulichkeit
Der Auftragsverarbeiter darf nur auf dokumentierte Weisung des Verantwortlichen tätig werden und muss unverzüglich informieren, wenn eine Weisung gegen Datenschutzrecht verstößt. Zweckbindung bedeutet: keine Verarbeitung zu eigenen Zwecken, keine Weitergabe zu Marketingzwecken, keine Profilbildung ohne Rechtsgrundlage. Vertraulichkeitsverpflichtungen müssen alle Personen erfassen, die Zugang zu den Daten haben – auch befristet Beschäftigte und externe Dienstleister.
Unterauftragsverhältnisse und Genehmigungsmodelle
Art. 28 Abs. 2 und Abs. 4 GDPR verlangen eine Genehmigung für jeden weiteren Auftragsverarbeiter. In der Praxis stehen sich zwei Modelle gegenüber: die spezifische Genehmigung mit namentlicher Liste und die allgemeine schriftliche Genehmigung mit Widerspruchsrecht. Das zweite Modell ist skalierbar, verlangt aber ein funktionierendes Änderungsmanagement mit angemessener Vorlaufzeit. Der Erstauftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Leistung seiner Unterauftragsverarbeiter.
Löschung, Rückgabe und Laufzeitende
Am Vertragsende stehen Löschung oder Rückgabe zur Wahl des Verantwortlichen; gesetzliche Aufbewahrungspflichten sind auszunehmen und konkret zu benennen. Regelungsbedarf besteht bei Fristen, Format der Rückgabe, Löschprotokollen und dem Umgang mit Sicherungskopien.
Technische und organisatorische Maßnahmen nachvollziehbar belegen
Art. 32 GDPR verlangt angemessene Maßnahmen, nicht eine bestimmte Technik. Der Vertrag sollte auf ein konkretes TOM-Anlagenwerk verweisen, das Stand, Verantwortliche und Prüfintervalle nennt. Bewährt hat sich eine Dokumentenlenkung analog zu The ISO 9001 documentation requirements guide: Versionierung, Freigabe, Änderungshistorie, definierte Aufbewahrungsfristen. Wer Nachweise für Produkt-Compliance bereits strukturiert ablegt, kann dieselbe Logik für das Verzeichnis von Verarbeitungstätigkeiten und für Auditberichte nutzen – ein Blick auf EU CE Marking Technical File: A Practical Guide zeigt, wie ein solcher Nachweisordner aufgebaut wird.
Drittlandübermittlungen und Standardvertragsklauseln
Übermittlungen in Drittländer brauchen eine Grundlage nach Art. 44 ff. GDPR: Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche Unternehmensregeln. Nach dem Schrems-II-Urteil gehört zu Standardvertragsklauseln ein Transfer Impact Assessment, das Rechtslage und Zugriffsrechte im Zielland bewertet und ergänzende Maßnahmen dokumentiert. Der AVV muss Übermittlungen, Empfänger und Rechtsgrundlage benennen; pauschale Verweise auf ein Konzernprivileg genügen nicht.
AVV in das Managementsystem einbinden
Ein Vertrag ist nur so gut wie seine operative Verankerung. Sinnvoll sind ein zentrales Vertragsregister, definierte Prüfzyklen, ein Prozess für Weisungen und ein Eskalationsweg bei Sicherheitsvorfällen. Die Meldung von Verstößen an den Verantwortlichen hat unverzüglich zu erfolgen; der Vertrag sollte Meldeweg, Ansprechpartner und Mindestinhalte der Meldung festlegen. Für die Prüfung der Klauseln insgesamt – von Haftung über Auditrechte bis zu Unterauftragnehmern – liefert GDPR Data Processing Agreement Clauses: A Practical Guide eine ergänzende Systematik.
Prüffragen für die Vertragsprüfung
Ein GDPR data processing agreement clauses guide step by step endet nicht mit der Unterschrift. Diese Fragen gehören in jede Wiederholungsprüfung:
- Sind Gegenstand, Dauer, Datenkategorien und betroffene Personenkreise konkret beschrieben?
- Ist der Weisungsweg dokumentiert und für beide Seiten erreichbar?
- Liegt für jeden Unterauftragsverarbeiter eine gültige Genehmigung vor?
- Entsprechen die TOM dem Stand der Technik und sind sie datiert?
- Sind Übermittlungen in Drittländer mit Rechtsgrundlage und Transfer Impact Assessment hinterlegt?
- Sind Löschfristen, Rückgabeformat und Ausnahmen benannt?
- Sind Meldefristen bei Verstößen und Auditrechte operationalisiert?
Wer diese Punkte systematisch abarbeitet, erkennt Lücken, bevor sie in einer Aufsichtsprüfung oder einem Kunden-Audit auffallen.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 28 GDPR
The primary GDPR article requiring a data processing agreement is Article 28.
Fakten-ID:
GDPR_dpa_legal_basisWritten form
A data processing agreement must be in writing, including electronic form.
Fakten-ID:
GDPR_dpa_written_formWithout undue delay
A processor must notify the controller of a personal data breach without undue delay.
Fakten-ID:
GDPR_dpa_breach_notificationSame obligations
Sub-processor contracts must impose the same data protection obligations as the main DPA.
Fakten-ID:
GDPR_dpa_subprocessor_flowdownDelete or return
At the end of processing, the processor must delete or return personal data unless law requires storage.
Fakten-ID:
GDPR_dpa_deletion_returnAudit and inspection
The DPA must provide for audits and inspections by the controller or a mandated auditor.
Fakten-ID:
GDPR_dpa_audit_rightChapter V GDPR
Transfers outside the EEA require a Chapter V mechanism such as an adequacy decision or Standard Contractual Clauses.
Fakten-ID:
GDPR_dpa_international_transfers
Häufig gestellte Fragen
Muss ein Auftragsverarbeitungsvertrag zwingend schriftlich geschlossen werden?
Art. 28 Abs. 9 GDPR verlangt Schriftform, lässt aber ausdrücklich die elektronische Form zu. Ein qualifiziert signierter PDF-Vertrag oder eine vertraglich abgesicherte elektronische Bestätigung genügt, sofern der Inhalt vollständig und nachweisbar ist.
Welche Mindestinhalte muss ein AVV enthalten?
Nach Art. 28 Abs. 3 GDPR sind Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personenkreise sowie die Pflichten und Rechte des Verantwortlichen zu regeln. Hinzu kommen Weisungsbindung, Vertraulichkeit, Maßnahmen nach Art. 32 GDPR, Unterauftragsverhältnisse, Unterstützung bei Betroffenenrechten und Datenschutz-Folgenabschätzung, Meldung von Verstößen sowie Löschung und Nachweispflichten.
Wann ist eine spezifische, wann eine allgemeine Genehmigung für Unterauftragsverarbeiter sinnvoll?
Die spezifische Genehmigung mit namentlicher Liste eignet sich für stabile, überschaubare Lieferketten. Die allgemeine schriftliche Genehmigung mit Widerspruchsrecht ist bei häufig wechselnden Subdienstleistern praktikabler, erfordert aber ein dokumentiertes Änderungsmanagement mit angemessener Vorlaufzeit für den Widerspruch.
Braucht es bei Standardvertragsklauseln zusätzlich ein Transfer Impact Assessment?
Ja. Nach dem Schrems-II-Urteil ist zu bewerten, ob im Zielland ein dem GDPR vergleichbares Schutzniveau besteht. Das Ergebnis und etwaige ergänzende Maßnahmen – etwa Verschlüsselung oder Weisungsprotokolle – sind zu dokumentieren und regelmäßig zu überprüfen.
Wer haftet, wenn ein Unterauftragsverarbeiter die Pflichten verletzt?
Der Erstauftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Leistung seiner Unterauftragsverarbeiter. Er muss die Pflichten aus dem Hauptvertrag vertraglich weitergeben und deren Einhaltung nachweisbar überprüfen.
Wie lange sollte ein AVV aufbewahrt werden?
Es gibt keine einheitliche Frist. Üblich sind Aufbewahrungszeiten von sechs bis zehn Jahren, orientiert an Verjährungsfristen und branchenspezifischen Vorgaben. Entscheidend ist eine definierte Frist im Vertragsregister, damit Nachweise im Streitfall verfügbar bleiben.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
