EU-Konformität 4 Min. Lesezeit
GDPR data processing agreement clauses requirements for small business: Praxisleitfaden für KMU
Kleine Unternehmen brauchen eine Auftragsverarbeitungsvereinbarung, die alle neun Regelungsbereiche des Art. 28 Abs. 3 GDPR abdeckt. Der Leitfaden zeigt Pflichtklauseln, Prüfschritte und die Dokumentation, die Aufsichtsbehörden tatsächlich verlangen.
Kleine und mittlere Unternehmen verarbeiten personenbezogene Daten in nahezu jedem Geschäftsprozess – von der Bewerberauswahl über den Kundensupport bis zur Rechnungsstellung. Sobald ein externer Dienstleister Zugriff auf diese Daten erhält, greift Art. 28 GDPR. Die Auftragsverarbeitungsvereinbarung (AVV) ist dann kein optionales Anhangdokument, sondern die zentrale Nachweisgrundlage gegenüber Aufsichtsbehörden.
Rechtlicher Rahmen: Art. 28 Abs. 3 GDPR als Mindeststandard
Art. 28 Abs. 3 GDPR benennt neun Regelungsbereiche, die eine AVV zwingend abdecken muss. Der Vertrag ist schriftlich zu schließen – die elektronische Form genügt – und muss den Auftragsverarbeiter an dokumentierte Weisungen des Verantwortlichen binden. Fehlt eine dieser Klauseln, ist die Vereinbarung unvollständig. Die Verarbeitung wird dadurch nicht automatisch unrechtmäßig, die Nachweisführung gegenüber der Aufsichtsbehörde aber deutlich erschwert.
Für kleine Unternehmen ist entscheidend, dass die AVV nicht nur den Dienstleister bindet, sondern auch interne Zuständigkeiten beschreibt: Wer erteilt Weisungen, wer prüft Subunternehmer, wer dokumentiert Änderungen? Ohne diese Zuordnung bleibt die Vereinbarung Papier und ist im Prüfungsfall kaum belastbar.
Ergänzend sind Art. 28 Abs. 2 und Abs. 4 GDPR (Subunternehmer), Art. 32 GDPR (Sicherheit der Verarbeitung), Art. 30 GDPR (Verzeichnis von Verarbeitungstätigkeiten) sowie Art. 33 GDPR (Meldung von Verletzungen binnen 72 Stunden) zu beachten. Verstöße gegen Art. 28 können nach Art. 83 Abs. 4 GDPR mit bis zu 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Pflichtklauseln im Detail
Einen breiteren Überblick über Formulierungen und Verhandlungspositionen bietet der Leitfaden zu GDPR-Auftragsverarbeitungsklauseln.
Die zehn Mindestinhalte einer AVV
- Gegenstand und Dauer: Art, Umfang und Zweck der Verarbeitung.
- Datenkategorien: Arten personenbezogener Daten und betroffener Personenkreise.
- Weisungsbindung: Verarbeitung ausschließlich auf dokumentierte Weisung.
- Vertraulichkeit: Verpflichtung aller eingesetzten Beschäftigten.
- Sicherheit: Technische und organisatorische Maßnahmen nach Art. 32 GDPR.
- Subunternehmer: Genehmigungsvorbehalt und Weitergabe identischer Pflichten.
- Betroffenenrechte: Unterstützung bei Auskunft, Berichtigung, Löschung und Übertragbarkeit.
- Datenschutz-Folgenabschätzung: Unterstützung nach Art. 35 GDPR.
- Beendigung: Löschung oder Rückgabe sämtlicher Datenkopien.
- Kontrolle: Audit- und Inspektionsrechte sowie Meldepflicht bei Verletzungen.
Jeder Punkt braucht eine konkrete, prüfbare Formulierung. Allgemeine Bekenntnisse zur „Einhaltung der GDPR“ genügen nicht; Aufsichtsbehörden verlangen nachvollziehbare Fristen, benannte Ansprechpartner und definierte Eskalationswege.
Erfolgt eine Übermittlung in Drittländer, tritt Kapitel V GDPR hinzu. Dann sind zusätzlich Angaben zu Angemessenheitsbeschluss, Standardvertragsklauseln oder Ausnahmen nach Art. 49 GDPR erforderlich – idealerweise im Hauptvertrag und nicht in einer separaten Anlage, die bei Änderungen übersehen wird.
GDPR data processing agreement clauses requirements for small business: Prüfung in sieben Schritten
- Verarbeitungsverzeichnis abgleichen. Welche Tätigkeiten sind nach Art. 30 GDPR erfasst?
- Rolle bestimmen. Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit nach Art. 26 GDPR?
- Dienstleisterliste erstellen. Auch SaaS-Tools, Hosting, Buchhaltung und externe IT.
- Mustervertrag prüfen. Jede der zehn Pflichtklauseln muss abgedeckt sein.
- Subunternehmerkette verfolgen. Genehmigungen und Informationspflichten dokumentieren.
- TOM dokumentieren. Maßnahmen müssen zum Risiko passen, nicht zum Vertragstext.
- Review-Zyklus festlegen. Jährliche Prüfung plus Anlassprüfung bei Dienstleisterwechsel.
Diese sieben Schritte lassen sich mit überschaubarem Aufwand intern abbilden. Kritisch ist weniger die juristische Feinformulierung als die Konsistenz zwischen Vertrag, Verzeichnis und gelebter Praxis. Weicht die tatsächliche Verarbeitung vom Vertragstext ab, ist die Abweichung zu dokumentieren oder der Vertrag anzupassen.
Typische Lücken und Haftungsfolgen
In der Beratungspraxis wiederholen sich dieselben Schwachstellen: fehlende Subunternehmerlisten, pauschale TOM-Verweise ohne Anlage, unklare Löschfristen nach Vertragsende und Audit-Rechte, die faktisch nicht ausgeübt werden können. Besonders häufig fehlt die Pflicht des Auftragsverarbeiters, den Verantwortlichen unverzüglich über Verletzungen zu informieren – die 72-Stunden-Frist des Art. 33 GDPR läuft beim Verantwortlichen, nicht beim Dienstleister.
Haftungsrechtlich gilt: Der Verantwortliche bleibt nach Art. 24 GDPR für die Rechtmäßigkeit der Verarbeitung verantwortlich. Eine lückenhafte AVV schützt ihn nicht. Umgekehrt haftet der Auftragsverarbeiter nach Art. 28 Abs. 10 GDPR für Schäden, die aus einer weisungswidrigen Verarbeitung entstehen. Bei mehrstufigen Ketten empfiehlt sich eine klare Regelung, wer bei einem Vorfall zuerst informiert und wer die Meldung nach Art. 33 GDPR auslöst.
Schnittstellen zu ISO 9001, CE und Lieferketten
Datenschutzanforderungen stehen selten isoliert. Wer ein Managementsystem nach ISO 9001 betreibt, kann die dort geforderte Lenkung dokumentierter Information auf AVV, TOM-Anlagen und Subunternehmerlisten übertragen. Für Produkte mit CE-Kennzeichnung kommt die technische Dokumentation hinzu; der Aufbau eines CE-Technical-File zeigt, wie Nachweise versioniert und aufbewahrt werden. In beiden Fällen gilt derselbe Grundsatz: Ein Dokument, das im Prüfungsfall nicht auffindbar ist, existiert nicht.
Dokumentation und Nachweisführung
Die Anforderungen an GDPR data processing agreement clauses requirements for small business enden nicht mit der Unterschrift. Erforderlich sind ein aktuelles Verzeichnis der Dienstleister, Vertragsversionen mit Änderungshistorie, Nachweise über durchgeführte Kontrollen und ein Verfahren für den Fall, dass ein Dienstleister die Zusammenarbeit beendet oder insolvent wird. Empfehlenswert ist ein zentrales Register, das Verarbeitungstätigkeit, Dienstleister, Vertragsdatum, Subunternehmer, Drittlandbezug und nächsten Prüftermin in einer Zeile zusammenführt.
Kleine Unternehmen profitieren davon, Mustertexte nicht ungeprüft zu übernehmen. Standardklauseln decken typische Konstellationen ab, nicht aber Sonderkonstellationen wie gemeinsame Verantwortlichkeit, Übermittlungen nach Kapitel V GDPR oder besondere Kategorien nach Art. 9 GDPR. Wer diese Fälle früh erkennt und separat regelt, vermeidet Nachverhandlungen unter Zeitdruck.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 28.3 GDPR
El artículo 28.3 GDPR enumera las cláusulas mínimas que debe incluir un contrato de encargo del tratamiento.
Fakten-ID:
GDPR_article_28_3_clauses72 hours
El responsable debe notificar a la autoridad de control en un plazo máximo de 72 horas desde que tenga conocimiento de una brecha.
Fakten-ID:
breach_notification_hoursArticle 28.2 GDPR
El encargado no puede subcontratar sin autorización previa por escrito del responsable.
Fakten-ID:
subprocessor_authorization250 employees
La exención del registro de actividades para organizaciones con menos de 250 empleados no es absoluta.
Fakten-ID:
record_processing_thresholdChapter V GDPR
Las transferencias internacionales se regulan en el Capítulo V GDPR y requieren un mecanismo válido.
Fakten-ID:
international_transfer_chapterAnnual review
Se recomienda revisar los DPA al menos una vez al año o cuando cambie el proveedor, el servicio o la normativa.
Fakten-ID:
dpa_review_frequency
Häufig gestellte Fragen
Ab wann braucht ein kleines Unternehmen eine Auftragsverarbeitungsvereinbarung?
Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet – etwa Hosting, Lohnbuchhaltung, IT-Support oder ein SaaS-Tool. Art. 28 Abs. 3 GDPR verlangt dann einen schriftlichen Vertrag mit den neun Pflichtinhalten. Die Unternehmensgröße ist kein Kriterium.
Reicht ein Standardvertrag des Dienstleisters aus?
Nur, wenn er alle Pflichtklauseln nach Art. 28 Abs. 3 GDPR abdeckt und zur konkreten Verarbeitung passt. Pauschale Verweise auf eine Website oder eine TOM-Anlage ohne Bezug zur eigenen Verarbeitungstätigkeit sind regelmäßig nicht ausreichend.
Muss jeder Subunternehmer einzeln genehmigt werden?
Art. 28 Abs. 2 GDPR erlaubt eine allgemeine schriftliche Genehmigung mit Informationspflicht und Widerspruchsrecht. Der Auftragsverarbeiter muss Subunternehmer benennen und ihnen dieselben Pflichten auferlegen. Eine Liste im Vertrag oder als Anlage ist praktikabel.
Wie lange muss die AVV aufbewahrt werden?
Eine feste Frist nennt die GDPR nicht. Aus der Rechenschaftspflicht nach Art. 5 Abs. 2 und Art. 24 GDPR folgt, dass Verträge solange nachweisbar bleiben müssen, wie die Verarbeitung andauert und Verjährungs- oder Aufbewahrungsfristen reichen.
Was passiert bei einer fehlenden oder lückenhaften AVV?
Es liegt ein Verstoß gegen Art. 28 GDPR vor, der nach Art. 83 Abs. 4 GDPR mit bis zu 10 000 000 EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden kann. Zusätzlich entfällt ein wesentlicher Nachweis für die Rechtmäßigkeit der Verarbeitung.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
