GDPR Data Processing Agreement Clauses How to Comply: Leitfaden für Verantwortliche

Der Auftragsverarbeitungsvertrag ist das zentrale Steuerungsinstrument, wenn externe Dienstleister personenbezogene Daten verarbeiten. Die Pflicht folgt aus Art. 28 GDPR, die inhaltlichen Mindestanforderungen stehen in Art. 28 Abs. 3 GDPR. Dieser Leitfaden zeigt, welche Klauseln zwingend sind, wie Unterauftragsverhältnisse und Drittlandtransfers zu regeln sind und wie sich GDPR data processing agreement clauses how to comply in der Praxis prüfen lässt.

Rechtlicher Rahmen: Art. 28 GDPR und die Grenzen der Auftragsverarbeitung

Art. 28 Abs. 1 GDPR verlangt, dass der Verantwortliche nur Auftragsverarbeiter auswählt, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Vereinbarung muss schriftlich oder in elektronischer Form geschlossen werden; eine mündliche Absprache genügt nicht. Ein Verstoß kann nach Art. 83 Abs. 4 GDPR mit einem Bußgeld belegt werden.

Entscheidend ist die Abgrenzung. Auftragsverarbeitung setzt voraus, dass der Dienstleister ausschließlich auf Weisung und ohne eigenen Zweck tätig wird. Sobald er über Zwecke oder Mittel eigenständig entscheidet, wird er ganz oder teilweise Verantwortlicher; dann greifen Art. 24 ff. GDPR und nicht mehr Art. 28 GDPR. Eine vertiefte Einordnung liefert der Beitrag GDPR Data Processing Agreement Clauses: A Practical Guide.

Praktisch bedeutet das: Vor dem Vertragsentwurf steht die Verarbeitungsbeschreibung. Erfasst werden Datenkategorien, betroffene Personenkreise, Verarbeitungszwecke, Speicherdauer und Empfänger. Ohne diese Beschreibung bleibt jede Klausel abstrakt und im Streitfall schwer belegbar.

Pflichtklauseln nach Art. 28 Abs. 3 GDPR

Art. 28 Abs. 3 GDPR zählt die Mindestinhalte auf. Fehlt einer dieser Punkte, ist der Vertrag unvollständig — unabhängig davon, wie umfangreich die übrigen Regelungen ausfallen. Die folgenden Abschnitte ordnen die Anforderungen ein.

Weisungsbindung, Vertraulichkeit und Personal

Der Auftragsverarbeiter darf nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, einschließlich Übermittlungen in Drittländer. Weisungen sollten schriftlich oder in einem nachvollziehbaren Ticketsystem erteilt werden, damit der Zeitpunkt und der Umfang später belegbar sind. Erfährt der Auftragsverarbeiter, dass eine Weisung gegen GDPR oder Unionsrecht verstößt, muss er den Verantwortlichen unverzüglich informieren.

Zusätzlich sind Personen, die Daten verarbeiten, zur Vertraulichkeit zu verpflichten. Das betrifft auch Unterauftragnehmer und Leiharbeitnehmer. Die Verpflichtung ist zu dokumentieren und bei Personalwechseln zu erneuern.

Technische und organisatorische Maßnahmen nach Art. 32 GDPR

Der Vertrag muss die konkreten Maßnahmen benennen, nicht nur auf Art. 32 GDPR verweisen. Bewährt hat sich eine Anlage mit Maßnahmen zu Verschlüsselung, Zugriffskontrolle, Protokollierung, Pseudonymisierung, Wiederherstellbarkeit und Meldewegen bei Sicherheitsvorfällen. Diese Anlage ist versioniert zu führen und bei Änderungen der Verarbeitung anzupassen.

Löschung, Rückgabe und Unterstützungspflichten

Nach Beendigung der Verarbeitung sind personenbezogene Daten zu löschen oder zurückzugeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Vertrag sollte Fristen, Formate und das Verfahren für Backups regeln. Zusätzlich schuldet der Auftragsverarbeiter Unterstützung bei Betroffenenrechten nach Art. 12 bis 22 GDPR, bei Datenschutz-Folgenabschätzungen nach Art. 35 GDPR sowie bei Meldungen von Verletzungen nach Art. 33 und 34 GDPR.

Unterauftragsverarbeiter und Drittlandtransfers

Der Einsatz weiterer Dienstleister benötigt eine vorherige schriftliche Genehmigung des Verantwortlichen. Zwei Modelle sind üblich: die spezifische Genehmigung für jeden Einzelfall oder die allgemeine Genehmigung mit Widerspruchsrecht. Bei der allgemeinen Genehmigung muss der Verantwortliche über geplante Änderungen so rechtzeitig informiert werden, dass er widersprechen kann.

Der Auftragsverarbeiter muss mit jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten vereinbaren, die er selbst gegenüber dem Verantwortlichen übernommen hat. Die Kette endet nicht beim ersten Glied: Bleibt eine Unterauftragsvereinbarung hinter dem Hauptvertrag zurück, haftet der Auftragsverarbeiter für die Lücke.

Für Übermittlungen in Drittländer sind zusätzlich die Vorgaben aus Kapitel V GDPR einzuhalten. In Betracht kommen Angemessenheitsbeschlüsse nach Art. 45 GDPR oder Standardvertragsklauseln nach Art. 46 Abs. 2 GDPR, derzeit in der Fassung des Durchführungsbeschlusses (EU) 2021/914. Ein Transfer Impact Assessment ergänzt die Prüfung, wenn der Angemessenheitsbeschluss fehlt oder unsicher ist.

Dokumentation, Prüfungsrechte und Nachweisführung

Der Verantwortliche muss die Einhaltung nachweisen können. Dazu gehören der Vertrag selbst, alle Anlagen, Weisungen, Genehmigungen, Schulungsnachweise und Prüfberichte. Wer GDPR data processing agreement clauses how to comply dauerhaft sicherstellen will, führt ein Verzeichnis aller Auftragsverarbeiter mit Vertragsstatus, Prüfdatum und nächstem Review-Termin.

Prüfungsrechte sind ausdrücklich zu regeln: Vor-Ort-Prüfungen, Auskunftsansprüche, Zutrittsrechte und die Kostentragung. Ein Verweis auf allgemeine Audits genügt nicht, wenn der Verantwortliche im Streitfall konkrete Nachweise vorlegen muss. Die Grundsätze zur Lenkung dokumentierter Information aus The ISO 9001 documentation requirements guide lassen sich hier sinnvoll übertragen: Versionierung, Freigabe, Aufbewahrungsfristen und Änderungshistorie.

Auch bei Zertifizierungen und Konformitätsverfahren lohnt der Blick auf die Dokumentationskette, etwa bei technischen Unterlagen nach EU CE Marking Technical File: A Practical Guide. Datenschutz und Produktkonformität greifen in vielen Unternehmen auf dieselben Nachweisstrukturen zurück.

Prüfcheckliste: sieben Punkte vor der Unterschrift

1. Verarbeitungsbeschreibung vollständig, inklusive Zwecke, Datenkategorien und Speicherdauer?
2. Alle Pflichtinhalte aus Art. 28 Abs. 3 GDPR ausdrücklich enthalten?
3. Maßnahmenkatalog nach Art. 32 GDPR konkret benannt und versioniert?
4. Unterauftragsverhältnisse mit Genehmigungsmechanismus und Informationspflicht?
5. Drittlandtransfer mit Rechtsgrundlage nach Kapitel V GDPR belegt?
6. Lösch- und Rückgabefristen sowie Backup-Verfahren geregelt?
7. Prüfungsrechte, Meldefristen und Ansprechpartner benannt?

Wer GDPR data processing agreement clauses how to comply regelmäßig überprüft, erkennt Lücken früh. Ein jährlicher Review-Zyklus mit Anpassung an neue EDPB-Leitlinien und geänderte Dienstleisterlandschaften hat sich bewährt. Änderungen der Verarbeitung lösen stets eine Prüfung des Vertrags aus.

Fazit

Der Auftragsverarbeitungsvertrag ist kein Annex, sondern ein Nachweisdokument. Vollständige Klauseln nach Art. 28 Abs. 3 GDPR, klare Regeln für Unterauftragsverarbeiter, belastbare Transfergrundlagen und eine gepflegte Dokumentation bilden die Grundlage. Wer diese vier Elemente systematisch pflegt, kann GDPR data processing agreement clauses how to comply im Audit und gegenüber Aufsichtsbehörden nachvollziehbar belegen.