EU-Konformität 4 Min. Lesezeit
GDPR Data Processing Agreement Clauses Guide Template: Praxisleitfaden Für Die Auftragsverarbeitung
Der Beitrag zeigt, wie ein Auftragsverarbeitungsvertrag nach Art. 28 GDPR aufgebaut wird: Pflichtinhalte, Anlagenlogik, Subunternehmerketten, Drittlandübermittlungen und durchsetzbare Auditrechte. Ein GDPR Data Processing Agreement Clauses Guide Template dient dabei als Strukturvorlage, nicht als Ersatz für die Einzelfallprüfung.
Rechtlicher Rahmen und Anwendungsbereich nach Art. 28 GDPR
Eine Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten weisungsgebunden und ausschließlich für einen Verantwortlichen verarbeitet. Art. 28 GDPR verlangt für diese Konstellation einen Vertrag oder ein anderes Rechtsinstrument nach Unionsrecht oder mitgliedstaatlichem Recht, das den Auftragsverarbeiter bindet. Fehlt diese Grundlage, ist die Verarbeitung rechtswidrig – unabhängig davon, wie sorgfältig sie technisch umgesetzt wird.
Scharf abzugrenzen ist die Auftragsverarbeitung von der gemeinsamen Verantwortlichkeit nach Art. 26 GDPR. Wer über Zwecke und Mittel mitentscheidet, handelt als Mitverantwortlicher; ein Auftragsverarbeitungsvertrag wäre dort das falsche Instrument und würde die Haftungszuordnung verwischen. Die Einordnung sollte vor Vertragsschluss getroffen und aktenkundig gemacht werden. Ein GDPR Data Processing Agreement Clauses Guide Template ersetzt diese Prüfung nicht, es strukturiert nur ihre Dokumentation.
Für die praktische Ausgestaltung der Klauseln lohnt der Blick in den Leitfaden zu den Klauseln des Auftragsverarbeitungsvertrags, der die einzelnen Pflichtinhalte mit Formulierungsvorschlägen hinterlegt.
Pflichtinhalte nach Art. 28 Abs. 3 GDPR
Der Katalog verpflichtender Vertragsinhalte ist abschließend formuliert und umfasst neun Regelungspunkte. Ein belastbares Muster führt jeden Punkt als eigenen, klar überschriebenen Abschnitt – nicht als Sammelklausel, denn Prüfer und Aufsichtsbehörden suchen diese Punkte gezielt.
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer
- Vertraulichkeit aller zur Verarbeitung befugten Personen
- Technische und organisatorische Maßnahmen nach Art. 32 GDPR
- Einbindung weiterer Auftragsverarbeiter nur mit Genehmigung des Verantwortlichen
- Unterstützung bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 GDPR
- Unterstützung bei Meldepflichten, bei der Datenschutz-Folgenabschätzung und bei Konsultationen der Aufsichtsbehörde
- Löschung oder Rückgabe sämtlicher Daten nach Ende der Verarbeitung
- Bereitstellung aller Informationen, die den Nachweis der Pflichten belegen
- Unverzügliche Meldung von Verstößen an den Verantwortlichen
Weisungsbindung und Vertraulichkeit
Weisungen sollten Form, Empfänger, Sprache und Eskalationsweg benennen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, muss er den Verantwortlichen unverzüglich informieren und die Ausführung bis zur Klärung aussetzen. Vertraulichkeitsverpflichtungen erfassen alle Personen mit Datenzugang und wirken über das Ende des Beschäftigungsverhältnisses hinaus; Schulungsnachweise gehören in die Vertragsakte.
Aufbau des Vertragsmusters
Bewährt hat sich eine Gliederung entlang des Verarbeitungslebenszyklus: Präambel und Definitionen, Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien und Betroffenenkreise, Weisungsrecht, Sicherheitsmaßnahmen, Subunternehmer, Drittlandübermittlungen, Betroffenenrechte, Meldepflichten, Auditrechte, Haftung, Laufzeit und Kündigung.
Der Haupttext bleibt schlank; Details wandern in Anlagen. Üblich sind vier: Beschreibung der Verarbeitungstätigkeit, technische und organisatorische Maßnahmen, Liste genehmigter Subunternehmer mit Datum sowie Lösch- und Rückgabekonzept. Querverweise im Vertrag sollten die Anlagen eindeutig benennen und ihre Änderungsmechanik regeln.
Sicherheitsmaßnahmen, Subunternehmer und Drittländer
Art. 32 GDPR verlangt ein dem Risiko angemessenes Schutzniveau. Konkret zu benennen sind Pseudonymisierung, Verschlüsselung, Belastbarkeit der Systeme, Wiederherstellbarkeit nach Zwischenfällen sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Pauschale Verweise auf „dem Stand der Technik entsprechende Maßnahmen“ genügen nicht.
Bei Subunternehmern ist zwischen Einzelgenehmigung und allgemeiner schriftlicher Genehmigung zu wählen. Bei der allgemeinen Genehmigung braucht der Verantwortliche ein Informationsrecht über geplante Änderungen und ein Widerspruchsrecht. Jeder Subunternehmer ist vertraglich an dieselben Pflichten zu binden; der Hauptauftragsverarbeiter bleibt gegenüber dem Verantwortlichen in der Verantwortung.
Drittlandübermittlungen stützen sich auf einen Angemessenheitsbeschluss nach Art. 45 GDPR oder auf geeignete Garantien nach Art. 46 GDPR. Standardvertragsklauseln müssen mit dem Auftragsverarbeitungsvertrag verzahnt werden, damit sich Klauseln nicht widersprechen; ein Transfer Impact Assessment dokumentiert die Bewertung.
Auditrechte, Dokumentation und Prüfung
Nach Art. 28 Abs. 3 lit. h GDPR hat der Auftragsverarbeiter alle Informationen bereitzustellen, die den Nachweis der Pflichtenerfüllung belegen, und Audits zu ermöglichen. Praktikabel sind zwei Modelle: Vor-Ort-Prüfungen mit Ankündigungsfrist und Turnus oder die Vorlage aktueller Zertifikate und Prüfberichte. Kosten, Vertraulichkeit und Umfang der Einsichtnahme gehören ausdrücklich geregelt.
Zur Dokumentation zählen das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 GDPR, die Vertragsversionen, Anlagenstände, Schulungsnachweise und Löschprotokolle. Wer Produkte mit digitalen Komponenten in Verkehr bringt, führt diese Unterlagen parallel zur technischen Dokumentation, wie sie im Leitfaden zur technischen Dokumentation für die CE-Kennzeichnung beschrieben ist. Ergänzend hilft der Leitfaden zu den Dokumentationsanforderungen nach ISO 9001 beim Aufbau einer lenkungsfähigen Aktenstruktur.
Typische Schwachstellen in geprüften Verträgen:
- Übernommene Mustertexte ohne Bezug zur konkreten Verarbeitung
- Fehlende Löschfristen und unklare Rückgabemodalitäten
- Subunternehmerlisten ohne Aktualisierungsdatum
- Auditrechte, die faktisch nicht durchsetzbar sind
- Keine Regelung für Weisungskonflikte
- Ungeprüfte Drittlandtransfers ohne ergänzende Garantien
Fazit für die Praxis
Ein GDPR Data Processing Agreement Clauses Guide Template ist dann wirksam, wenn es die Pflichtinhalte vollständig abbildet, die konkrete Verarbeitung beschreibt und Änderungen nachvollziehbar versioniert. Prüfen Sie vor Unterzeichnung, ob Anlagen aktuell sind, Subunternehmer vollständig gelistet sind und die Sicherheitsmaßnahmen zur Risikobewertung passen. Überprüfen Sie den Vertrag mindestens jährlich sowie bei jeder Änderung der Verarbeitung.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 28
The GDPR requires a written data processing agreement when a controller uses a processor.
Fakten-ID:
GDPR_article_28Article 28(3)(a)-(h)
Article 28(3) lists eight minimum clause areas for a DPA.
Fakten-ID:
dpa_minimum_clausesArticle 28(2)
A processor cannot engage another processor without prior written authorisation from the controller.
Fakten-ID:
sub_processor_authorisationArticle 32
The DPA must require appropriate technical and organisational security measures.
Fakten-ID:
security_measuresArticle 33
The processor must assist the controller with personal data breach notification duties.
Fakten-ID:
breach_notificationChapter V
Transfers outside the EEA require a Chapter V transfer mechanism, such as an adequacy decision or standard contractual clauses.
Fakten-ID:
international_transfersArticle 28(10)
The DPA must be available to the supervisory authority on request.
Fakten-ID:
contract_availability
Häufig gestellte Fragen
Wann ist ein Auftragsverarbeitungsvertrag nach Art. 28 GDPR erforderlich?
Immer, wenn ein Dienstleister personenbezogene Daten weisungsgebunden für einen Verantwortlichen verarbeitet. Das gilt auch für konzerninterne Dienstleister und für Unterauftragsverhältnisse, die dieselben Pflichten weitergeben müssen.
Welche neun Pflichtinhalte muss der Vertrag abdecken?
Weisungsbindung, Vertraulichkeit, Sicherheitsmaßnahmen nach Art. 32 GDPR, Genehmigung von Subunternehmern, Unterstützung bei Betroffenenrechten, Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzung, Löschung oder Rückgabe, Nachweispflichten sowie Meldung von Verstößen.
Reicht ein allgemein genehmigter Subunternehmerkatalog?
Ja, sofern der Verantwortliche über geplante Änderungen informiert wird und ein Widerspruchsrecht erhält. Die Liste gehört mit Datum und Funktionsbeschreibung in eine Anlage und ist bei Änderungen fortzuschreiben.
Wie sind Drittlandübermittlungen einzubinden?
Über einen Angemessenheitsbeschluss nach Art. 45 GDPR oder geeignete Garantien nach Art. 46 GDPR. Standardvertragsklauseln und Auftragsverarbeitungsvertrag müssen widerspruchsfrei verzahnt und durch ein Transfer Impact Assessment flankiert werden.
Wie oft sollte der Vertrag überprüft werden?
Mindestens jährlich sowie anlassbezogen bei Änderungen der Verarbeitung, neuer Subunternehmer, neuer Technik oder geänderter Rechtslage. Versionsstand und Anlagenstände sind zu dokumentieren.
Welche Rolle spielt die Dokumentation nach Art. 30 GDPR?
Das Verzeichnis von Verarbeitungstätigkeiten bildet die Bezugsbasis für Gegenstand, Zweck und Datenkategorien des Vertrags. Ohne aktuelle Einträge bleiben die Vertragsangaben unbestimmt und im Audit schwer belegbar.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
