GDPR Data Processing Agreement Clauses Requirements Common Mistakes: Ein Praxisleitfaden

Ein Auftragsverarbeitungsvertrag – häufig als AVV oder DPA bezeichnet – ist das zentrale Instrument, mit dem Verantwortliche die Weitergabe personenbezogener Daten an externe Dienstleister absichern. Art. 28 GDPR verlangt ihn zwingend, sobald ein Dienstleister Daten weisungsgebunden im Auftrag verarbeitet. In der Prüfungspraxis zeigt sich jedoch, dass viele Verträge zwar vorliegen, inhaltlich aber lückenhaft bleiben. Die folgende Übersicht bündelt Pflichtklauseln, Prüfmaßstäbe und typische Schwachstellen – also genau das Feld, das unter GDPR data processing agreement clauses requirements common mistakes verhandelt wird.

Rechtlicher Rahmen: Art. 28 GDPR als Mindeststandard

Die Verantwortung für die Rechtmäßigkeit der Verarbeitung bleibt beim Verantwortlichen; der Auftragsverarbeiter handelt ausschließlich auf dokumentierte Weisung. Art. 28 Abs. 3 GDPR zählt die Pflichtinhalte auf, Art. 28 Abs. 4 regelt die Einbindung weiterer Auftragsverarbeiter, Art. 28 Abs. 9 die Form. Ein mündlicher Vertrag erfüllt die Anforderungen nicht; erforderlich ist eine nachweisbare, schriftlich oder elektronisch fixierte Vereinbarung.

Abzugrenzen sind drei Konstellationen: die eigenständige Verantwortlichkeit nach Art. 24 GDPR, die gemeinsame Verantwortlichkeit nach Art. 26 GDPR und die Auftragsverarbeitung nach Art. 28 GDPR. Wird die Abgrenzung falsch vorgenommen, entstehen Lücken bei Informationspflichten, Haftung und Betroffenenrechten.

Wann ein AVV zwingend erforderlich ist

Typische Fälle sind Cloud-Hosting und SaaS-Dienste, externe IT-Wartung mit Systemzugriff, Lohn- und Finanzbuchhaltung, Callcenter und Kundensupport, Versand- und Logistikdienstleister mit Adressdaten, Akten- und Datenträgervernichtung sowie Marketing- und Analyseagenturen. Kein AVV erforderlich ist bei reiner Nebenleistung ohne Zugriff auf personenbezogene Daten – etwa bei einem Postdienst ohne Datenkenntnis. Die Grenze verläuft dort, wo der Dienstleister Daten einsehen, speichern oder anderweitig verarbeiten kann.

Pflichtinhalte nach Art. 28 Abs. 3 GDPR

Der Katalog ist abschließend zu verstehen: Fehlt ein Element, bleibt der Vertrag unvollständig. Zu regeln sind:

• Gegenstand, Dauer, Art und Zweck der Verarbeitung
• Kategorien personenbezogener Daten und Kategorien betroffener Personen
• Pflichten und Rechte des Verantwortlichen
• Weisungsbindung einschließlich grenzüberschreitender Übermittlungen
• Vertraulichkeitsverpflichtung der eingesetzten Personen
• Maßnahmen nach Art. 32 GDPR
• Einbindung weiterer Auftragsverarbeiter: Genehmigungsvorbehalt und Weitergabe der Pflichten
• Unterstützung bei Betroffenenrechten nach Kapitel III
• Unterstützung bei Meldepflichten und Datenschutz-Folgenabschätzung nach Art. 32 bis 36 GDPR
• Löschung oder Rückgabe nach Vertragsende
• Informations-, Audit- und Inspektionsrechte des Verantwortlichen

Ergänzend empfiehlt sich eine Klausel zur unverzüglichen Meldung von Verletzungen des Schutzes personenbezogener Daten sowie zur Benennung einer festen Ansprechstelle.

Technische und organisatorische Maßnahmen und Nachweisführung

Art. 32 GDPR verlangt ein dem Risiko angemessenes Schutzniveau. In Verträgen hat sich durchgesetzt, Maßnahmen in einer Anlage konkret zu beschreiben, statt pauschal auf „dem Stand der Technik entsprechende“ Vorkehrungen zu verweisen. Bewährt hat sich die Orientierung an ISO/IEC 27001 für Informationssicherheit und an ISO 9001 für Prozess- und Dokumentationsstrukturen; Letzteres erleichtert die Nachweisführung im Regelbetrieb erheblich. Wie sich Dokumentationspflichten systematisch aufbauen lassen, beschreibt der Leitfaden zu den ISO 9001-Dokumentationsanforderungen.

Bei Herstellern, die Produkte mit digitalen Komponenten in Verkehr bringen, treten produktspezifische Pflichten hinzu. Die technische Dokumentation für die CE-Kennzeichnung ist von der Datenschutzdokumentation getrennt zu führen, auch wenn beide im selben Produktordner liegen; Einzelheiten dazu finden sich im Leitfaden zur technischen Datei für die CE-Kennzeichnung.

Häufige Fehler in der Praxis

Die meisten Beanstandungen betreffen nicht das Fehlen eines Vertrags, sondern dessen Substanz. Wer GDPR data processing agreement clauses requirements common mistakes systematisch auswertet, stößt immer wieder auf dieselben Muster.

Fehler bei Subunternehmern und Drittlandtransfers

Häufig fehlt der Genehmigungsvorbehalt, oder die Weitergabe der Pflichten an Unterauftragnehmer ist nicht dokumentiert. Bei Übermittlungen in Drittländer werden Standardvertragsklauseln unvollständig oder mit falschem Modul eingebunden, ein Transfer Impact Assessment fehlt, oder die Übermittlung wird im Hauptvertrag gar nicht erwähnt. Auch die Kette Verantwortlicher – Auftragsverarbeiter – Unterauftragnehmer wird oft nur zweistufig abgebildet.

Fehler bei Löschung, Audit und Weisungen

Löschfristen bleiben unbestimmt („nach Vertragsende“), Auditrechte werden auf angekündigte Termine beschränkt, Weisungen mündlich erteilt und nicht protokolliert. Ebenso problematisch: Vertraulichkeitsverpflichtungen ohne Bezug zu konkreten Personen, fehlende Meldefristen bei Datenschutzverletzungen und Anlagen, die auf veraltete Maßnahmenkataloge verweisen.

Fehler in der Vertragsverwaltung

Ein AVV in Allgemeinen Geschäftsbedingungen oder in einer Datenschutzerklärung erfüllt die Anforderungen nicht. Fehlt ein Vertragsinventar, bleiben Altverträge nach Anbieterwechseln ungeprüft. Auch die Verknüpfung mit Lieferantenprüfungen ist oft unklar: Qualitätsnachweise – etwa zu Werkstoffen nach ASTM A36 – und Datenschutznachweise landen in denselben Ordnern, ohne dass Zuständigkeiten definiert sind. Ein Beispiel für die Trennung technischer und vertraglicher Nachweise liefert der Überblick zu den Anforderungen an die ASTM A36-Zugfestigkeit.

Prüfroutine für Compliance-Verantwortliche

Eine belastbare Prüfung folgt einem festen Ablauf:

1. Inventar aller Dienstleister mit Datenzugriff erstellen und nach Risiko klassifizieren.
2. Vorhandene Vereinbarungen gegen den Katalog des Art. 28 Abs. 3 GDPR abgleichen.
3. Anlagen zu technischen und organisatorischen Maßnahmen auf Konkretheit prüfen.
4. Subunternehmerketten und Drittlandtransfers gesondert bewerten.
5. Meldewege, Löschroutinen und Auditrechte praktisch testen.
6. Änderungen versionieren und Verantwortlichkeiten namentlich benennen.

Bewährt hat sich ein Mustervertrag mit verbindlichen Anlagen, der nur noch anbieterspezifisch ergänzt wird. Eine ausführliche Klauselübersicht bietet der Leitfaden zu den GDPR-Klauseln für Auftragsverarbeitungsverträge.

Fazit

Ein AVV ist nur so wirksam wie seine konkrete Ausgestaltung. Entscheidend sind vollständige Pflichtklauseln, nachvollziehbare Maßnahmen, klare Subunternehmerregelungen und gelebte Prüfroutinen. Wer GDPR data processing agreement clauses requirements common mistakes als wiederkehrende Prüfliste nutzt, erkennt Lücken, bevor sie in einer Aufsichtsmaßnahme sichtbar werden.