Leitfaden Zu GDPR data processing agreement clauses requirements clause by clause

Ein Auftragsverarbeitungsvertrag ist die vertragliche Grundlage dafür, dass personenbezogene Daten rechtmäßig im Auftrag eines anderen Unternehmens verarbeitet werden. Fehlt er oder bleibt er lückenhaft, greifen die Bußgeldtatbestände nach Artikel 83 Absatz 4 GDPR, und das Haftungsrisiko gegenüber Betroffenen steigt. Wer die GDPR data processing agreement clauses requirements clause by clause prüft, kommt an Artikel 28 Absatz 3 GDPR nicht vorbei: Die Vorschrift benennt acht Pflichtinhalte, die jede Vereinbarung abbilden muss.

Dieser Leitfaden ordnet die Klauseln, liefert ein Prüfraster für Audits und zeigt, wie sich die Anforderungen in ein Managementsystem nach ISO 9001 oder ISO 27001 einfügen.

Rechtlicher Rahmen: Artikel 28 GDPR und die Rollenverteilung

Artikel 28 GDPR trennt zwei Rollen. Der Verantwortliche entscheidet über Zwecke und Mittel der Verarbeitung, der Auftragsverarbeiter führt die Verarbeitung weisungsgebunden durch. Die Pflicht zum Vertragsabschluss trifft beide Seiten und gilt unabhängig davon, ob der Dienstleister innerhalb oder außerhalb der EU ansässig ist.

Drei Eckpunkte sind für die Praxis entscheidend:

• Der Vertrag muss schriftlich oder in elektronischer Form vorliegen; eine mündliche Zusage genügt nicht.
• Die Pflichten wirken nach Artikel 28 Absatz 9 GDPR auf Unterauftragsverarbeiter durch.
• Verstöße gegen Artikel 28 fallen unter Artikel 83 Absatz 4 GDPR: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher liegt.

Die acht Pflichtinhalte nach Artikel 28 Absatz 3 GDPR

Artikel 28 Absatz 3 GDPR zählt die Mindestinhalte auf. Die folgende Übersicht ordnet Buchstabe und Inhalt; sie ersetzt keine Einzelfallprüfung, ist aber ein belastbarer Ausgangspunkt für die Klauselprüfung.

Buchstabe	Pflichtinhalt
(a)	Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer
(b)	Vertraulichkeitsverpflichtung der zur Verarbeitung befugten Personen
(c)	Umsetzung der Sicherheitsmaßnahmen nach Artikel 32 GDPR
(d)	Einbindung von Unterauftragsverarbeitern nur mit Genehmigung
(e)	Unterstützung bei der Wahrung der Betroffenenrechte aus Kapitel III
(f)	Unterstützung des Verantwortlichen bei Artikel 32 bis 36 GDPR, einschließlich der Meldung von Verletzungen
(g)	Löschung oder Rückgabe aller personenbezogenen Daten nach Ende der Leistungserbringung
(h)	Bereitstellung aller Informationen zum Nachweis der Pflichten und Ermöglichung von Audits

Weisungsbindung und Zweckbegrenzung

Buchstabe (a) ist die Kernklausel. Der Vertrag muss dokumentierte Weisungen vorsehen, einen Weisungsprozess beschreiben und klarstellen, dass der Auftragsverarbeiter eine Weisung, die gegen Datenschutzrecht verstößt, unverzüglich meldet und bis zur Klärung aussetzt. Ebenfalls zu regeln: der Umgang mit Übermittlungen in Drittländer, also Rechtsgrundlage, Garantien und Informationsweg.

Sicherheit, Meldepflichten und Unterauftragsverarbeiter

Buchstabe (c) verweist auf Artikel 32 GDPR und nicht auf eine starre Maßnahmenliste. Die technische und organisatorische Maßnahmen-Anlage muss daher datiert, versionsgeführt und auf den konkreten Dienst zugeschnitten sein. Nach Buchstabe (d) ist entweder eine spezifische oder eine allgemeine schriftliche Genehmigung zulässig; bei allgemeiner Genehmigung muss der Verantwortliche über geplante Änderungen informiert werden und ein Widerspruchsrecht erhalten (Artikel 28 Absatz 2 GDPR). Für Meldungen von Verletzungen sind konkrete Fristen zu hinterlegen – üblich sind 24 bis 48 Stunden ab Kenntnis, obwohl die GDPR nur „unverzüglich“ verlangt.

GDPR data processing agreement clauses requirements clause by clause: Prüfraster für Audits

Ein Audit prüft nicht nur, ob eine Klausel existiert, sondern ob sie im Alltag wirkt. Bewährt hat sich eine Prüfung in fünf Schritten:

1. Vollständigkeit: Liegt für jeden Dienstleister mit Datenzugriff ein unterzeichneter Vertrag vor?
2. Klauselabgleich: Deckt der Vertrag alle acht Buchstaben des Artikels 28 Absatz 3 GDPR ab?
3. Anlagenprüfung: Sind Maßnahmen-Anlage, Unterauftragsverarbeiterliste und Löschkonzept aktuell datiert?
4. Prozessprüfung: Existieren dokumentierte Weisungs-, Melde- und Löschprozesse?
5. Nachweisprüfung: Lassen sich Auditrechte tatsächlich ausüben, etwa über Fragebögen oder Vor-Ort-Termine?

Wer zusätzlich die Struktur der eigenen Dokumentation prüfen will, findet im Leitfaden zu den ISO 9001-Dokumentationsanforderungen ein passendes Raster. Eine vertiefte Betrachtung der Vertragsklauseln bietet der Beitrag GDPR Data Processing Agreement Clauses: A Practical Guide.

Haftung, Freistellung und Schadensersatz

Die GDPR regelt die Außenhaftung, nicht die Innenverteilung. Nach Artikel 82 GDPR haften Verantwortlicher und Auftragsverarbeiter gegenüber Betroffenen jeweils für den gesamten Schaden, wenn beide beteiligt waren; der Rückgriff untereinander richtet sich nach dem Vertrag. Deshalb gehören in jede Vereinbarung:

• eine klare Zuordnung von Pflichtverletzungen,
• Regelungen zu Freistellung und Rückgriff,
• definierte Haftungsobergrenzen,
• Gerichtsstand und anwendbares Recht.

Vorsicht bei pauschalen Haftungsausschlüssen: Sie kollidieren regelmäßig mit Artikel 82 GDPR und mit nationalem AGB-Recht.

Dokumentation, Nachweis und Schnittstellen zum Managementsystem

Auftragsverarbeitung ist ein Dokumentationsthema. Ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 GDPR, eine Vertragsmatrix mit Laufzeiten und Kündigungsfristen sowie eine versionierte Klauselbibliothek machen Prüfungen belastbar. Wer technische Unterlagen strukturiert aufbaut, kennt das Muster aus der technischen Dokumentation für die CE-Kennzeichnung: Inhaltsverzeichnis, Versionsstand, Verantwortlichkeiten, Änderungshistorie.

Ein Prüfzyklus von zwölf Monaten hat sich etabliert. Bei Anbieterwechsel, neuen Unterauftragsverarbeitern oder geänderten Verarbeitungszwecken ist eine außerplanmäßige Prüfung sinnvoll.

Häufige Fehler und Abhilfemaßnahmen

• Fehlende Unterschrift oder bloßer Verweis auf Online-AGB.
• Maßnahmen-Anlage ohne Datum und ohne Bezug zum konkreten Dienst.
• Unterauftragsverarbeiterliste, die nicht gepflegt wird.
• Meldefristen ohne Prozess und ohne Eskalationsweg.
• Löschkonzept, das Sicherungskopien ausblendet.
• Auditrechte, die vertraglich bestehen, aber nie ausgeübt werden.

Jeder dieser Punkte lässt sich mit einer Nachbesserung im Vertrag und einer Prozessanpassung beheben. Entscheidend ist, dass die GDPR data processing agreement clauses requirements clause by clause nicht einmalig geprüft, sondern regelmäßig nachgehalten werden.