EU-Konformität 4 Min. Lesezeit
GDPR Data Processing Agreement Clauses Requirements Step by Step: A Practical Guide
Auftragsverarbeitungsverträge sind nach Artikel 28 GDPR verpflichtend und inhaltlich eng vorgegeben. Der Beitrag zeigt die acht Pflichtklauseln, einen belastbaren Prüfablauf und die Nachweise, die Auditoren tatsächlich anfordern.
Rechtlicher Rahmen: Artikel 28 GDPR verlangt einen schriftlichen Vertrag
Lässt ein Verantwortlicher personenbezogene Daten durch einen externen Dienstleister verarbeiten, ist ein Auftragsverarbeitungsvertrag (Data Processing Agreement, DPA) verpflichtend. Rechtsgrundlage ist Artikel 28 GDPR. Absatz 3 der Norm legt fest, welche Inhalte der Vertrag mindestens enthalten muss; Absatz 9 verlangt Schriftform, wobei die elektronische Form ausdrücklich genügt.
Die erste Prüffrage betrifft die Rollenverteilung. Wer über Zwecke und Mittel der Verarbeitung entscheidet, ist Verantwortlicher. Wer weisungsgebunden und ohne eigenes Interesse an den Daten verarbeitet, ist Auftragsverarbeiter. Zwischenformen wie die gemeinsame Verantwortlichkeit nach Artikel 26 GDPR oder Sonderkonstellationen bei öffentlichen Stellen erfordern eigene Regelungen. Die EDPB-Leitlinien 07/2020 liefern die Auslegungshilfe für diese Abgrenzung.
Praktische Folge: Der Vertrag muss die Weisungsbefugnis abbilden. Technische Details allein genügen nicht, weil der Verantwortliche die Kontrolle über Zweck und Umfang behalten muss. Der Vertrag ersetzt weder eine Datenschutz-Folgenabschätzung noch eine Einwilligung; er regelt ausschließlich das Verhältnis zwischen Verantwortlichem und Dienstleister.
Pflichtinhalte nach Artikel 28 Absatz 3 GDPR
Die Norm nennt acht verpflichtende Regelungspunkte. In der Vertragspraxis lassen sie sich zu folgenden Klauselgruppen bündeln:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie Kategorien personenbezogener Daten und betroffener Personen
- Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Übermittlungen in Drittländer
- Vertraulichkeitsverpflichtung aller Personen, die Zugang zu den Daten erhalten
- Technische und organisatorische Maßnahmen nach Artikel 32 GDPR
- Einbindung von Unterauftragsverarbeitern nur mit vorheriger Genehmigung
- Unterstützung des Verantwortlichen bei der Erfüllung von Betroffenenrechten
- Unterstützung bei Meldepflichten nach Artikel 33 und 34 GDPR sowie bei Datenschutz-Folgenabschätzungen nach Artikel 35 GDPR
- Löschung oder Rückgabe der Daten nach Vertragsende sowie Bereitstellung aller Informationen zum Nachweis der Compliance
Unterauftragsverhältnisse und Drittlandtransfers
Unterauftragsverarbeiter sind entweder namentlich im Vertrag zu benennen oder über ein Genehmigungsverfahren mit Informationspflicht zu regeln. Bei Übermittlungen in Drittländer treten Standardvertragsklauseln, Angemessenheitsbeschlüsse oder ergänzende Schutzmaßnahmen hinzu. Bewährt hat sich eine Anhangsstruktur: Hauptvertrag, Anlage zu technischen und organisatorischen Maßnahmen, Anlage zu Unterauftragsverarbeitern und Transferinstrumenten.
Ablauf: GDPR data processing agreement clauses requirements step by step
Die folgende Reihenfolge hat sich in Audits und Zertifizierungsprojekten bewährt. Sie strukturiert die GDPR data processing agreement clauses requirements step by step und verhindert Lücken in der Nachweisführung.
- Bestandsaufnahme: Das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 GDPR zeigt, welche Dienstleister personenbezogene Daten verarbeiten.
- Rollenklärung: Verantwortlicher, Auftragsverarbeiter oder gemeinsame Verantwortlichkeit bestimmen und dokumentieren.
- Klauselabgleich: Die acht Pflichtinhalte nach Artikel 28 Absatz 3 GDPR gegen den Vertragsentwurf stellen und Lücken markieren.
- Maßnahmen konkretisieren: Einen Katalog technischer und organisatorischer Maßnahmen erstellen, der zu Risiko und Datenkategorie passt.
- Unterauftrag und Transfer regeln: Genehmigungsweg, Informationsfristen und Transferinstrumente festlegen.
- Abschluss und Versionierung: Schriftform oder elektronische Form nutzen, Versionen und Freigaben nachvollziehbar ablegen.
- Überwachung: Jährliche Prüfung, Anpassung bei neuen Diensten, geänderten Rechtslagen oder Sicherheitsvorfällen.
Technische und organisatorische Maßnahmen nachweisbar dokumentieren
Ein DPA ist nur so belastbar wie die Nachweise dahinter. Wer ein Managementsystem nach ISO 9001 betreibt, kann die dortige Lenkung dokumentierter Information nutzen, um Vertragsversionen, Freigaben und Prüfprotokolle konsistent zu führen. Der Leitfaden zu den ISO 9001-Dokumentationsanforderungen beschreibt, wie Lenkung, Aufbewahrung und Änderungsverfolgung aufgebaut werden.
Für Produkte mit digitalen Komponenten greift zusätzlich das Produktrecht. Die technische Dokumentation für die CE-Kennzeichnung folgt einer eigenen Struktur; Datenschutznachweise lassen sich dort als Teil der technischen Akte führen. Wo Material- oder Prüfnormen relevant sind, etwa bei Prüfprotokollen in der Fertigung, gelten Messgrößen wie die Zugfestigkeitsanforderungen nach ASTM A36 als Beispiel für nachweisfähige Parameter.
Eine ausführliche Klauselübersicht mit Formulierungsvorschlägen bietet der Praxisleitfaden zu den GDPR-Auftragsverarbeitungsklauseln.
Typische Fehler und Prüfpfade
Vier Fehler treten regelmäßig auf: fehlende Weisungsbindung, unbestimmte Beschreibungen der Maßnahmen, ungeregelte Unterauftragsverhältnisse und pauschale Verweise auf „angemessene Sicherheit“ ohne Bezug zu Artikel 32 GDPR. Ebenso häufig fehlen Fristen für die Unterstützung bei Betroffenenanfragen.
Ein weiterer Prüfpunkt ist die Vertraulichkeitsverpflichtung: Sie muss alle Personen erfassen, die Zugang erhalten, also auch Aushilfen, externe Administratoren und Wartungspersonal. Prüfer achten auf Konsistenz zwischen Vertrag, Verarbeitungsverzeichnis und gelebter Praxis. Wer die GDPR data processing agreement clauses requirements step by step abarbeitet, erkennt Abweichungen früh. Ein zusätzlicher Kontrollpunkt ist die Rückgabe oder Löschung der Daten: Fristen, Formate und Löschprotokolle sollten konkret benannt sein, nicht nur abstrakt vereinbart.
Zusammenfassung
Ein wirksamer Auftragsverarbeitungsvertrag verbindet drei Ebenen: die Pflichtklauseln nach Artikel 28 Absatz 3 GDPR, konkrete technische und organisatorische Maßnahmen und eine nachvollziehbare Dokumentation. Die Prüfung erfolgt am besten in fester Reihenfolge und wird jährlich wiederholt. Änderungen an Diensten, Rechtslage oder Sicherheitslage lösen eine erneute Prüfung aus.
Wichtige Fakten
Maschinenlesbare Aussagen aus den oben genannten Quellen. Jeder Fakt behält in allen sechs Sprachfassungen dieselbe Kennung.
Article 28(3)
Article 28(3) of the GDPR lists the minimum clauses required in a data processing agreement.
Fakten-ID:
GDPR_article_28_3Controller-processor relationship
A DPA is required when a processor handles personal data on behalf of a controller.
Fakten-ID:
dpa_triggerArticle 28(2)
Sub-processors require prior specific or general written authorization under Article 28(2).
Fakten-ID:
sub_processor_rule72 hours
Controllers must notify supervisory authorities of a personal data breach within 72 hours under Article 33.
Fakten-ID:
breach_notification_deadlineArticle 32
Security measures must be appropriate to the risk under Article 32.
Fakten-ID:
security_standardChapter V
International transfers outside the EEA require a Chapter V mechanism such as SCCs or an adequacy decision.
Fakten-ID:
transfer_mechanismArticle 28(9)
The DPA must be in writing, including electronic form, under Article 28(9).
Fakten-ID:
dpa_form
Häufig gestellte Fragen
Ist ein Auftragsverarbeitungsvertrag nach GDPR immer verpflichtend?
Ja, sobald ein Dienstleister personenbezogene Daten im Auftrag und weisungsgebunden verarbeitet, verlangt Artikel 28 Absatz 3 GDPR einen Vertrag mit den dort genannten Mindestinhalten. Ausnahmen bestehen nur, wenn der Dienstleister als eigenständiger Verantwortlicher handelt.
Reicht eine elektronische Vereinbarung als Schriftform aus?
Artikel 28 Absatz 9 GDPR lässt die elektronische Form ausdrücklich zu. Entscheidend ist, dass der Vertragstext nachweisbar festgehalten, versioniert und beiden Parteien zugänglich ist.
Wie viele Pflichtklauseln nennt Artikel 28 Absatz 3 GDPR?
Die Norm führt acht Regelungspunkte auf, von Gegenstand und Dauer der Verarbeitung über Weisungsbindung, Vertraulichkeit und Maßnahmen nach Artikel 32 GDPR bis zu Löschung, Rückgabe und Nachweispflichten.
Müssen Unterauftragsverarbeiter namentlich genannt werden?
Entweder werden sie konkret benannt oder es wird ein Genehmigungsverfahren mit vorheriger Information und Widerspruchsmöglichkeit vereinbart. In beiden Fällen müssen die Pflichten aus dem Hauptvertrag weitergereicht werden.
Wie oft sollte ein bestehender Vertrag überprüft werden?
Eine jährliche Prüfung ist Standard. Zusätzlicher Anlass besteht bei neuen Diensten, geänderten Unterauftragsverhältnissen, Transfers in Drittländer, Sicherheitsvorfällen oder Änderungen der Rechtslage.
Quellen und Lizenzierung
Jede Aussage in diesem Artikel lässt sich auf die unten genannten Quellen zurückführen. Die Links führen direkt zum Herausgeber.
