GDPR Data Processing Agreement Clauses Requirements Template: Leitfaden Für Verantwortliche

Rechtlicher Rahmen: Art. 28 GDPR verlangt einen schriftlichen Vertrag

Setzt ein Verantwortlicher Dienstleister ein, die personenbezogene Daten weisungsgebunden verarbeiten, ist ein Auftragsverarbeitungsvertrag zwingend. Rechtsgrundlage ist Art. 28 Abs. 3 GDPR. Der Vertrag muss schriftlich oder in einem vergleichbaren elektronischen Format vorliegen und Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Datenkategorien sowie die betroffenen Personenkreise festhalten (Art. 28 Abs. 3 Satz 1 GDPR).

Die Pflicht trifft den Verantwortlichen, nicht den Auftragnehmer. Fehlt eine der geforderten Klauseln, ist die Auftragsverarbeitung insgesamt rechtswidrig. Verstöße gegen die Pflichten aus Art. 28 GDPR können nach Art. 83 Abs. 4 GDPR mit bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden.

Abzugrenzen ist der AVV von der gemeinsamen Verantwortlichkeit nach Art. 26 GDPR und von einer reinen Auftragserteilung ohne Datenzugriff. Ein detaillierter Blick auf die Klauselsystematik findet sich im Leitfaden zu den GDPR Data Processing Agreement Clauses.

Pflichtinhalte nach Art. 28 Abs. 3 GDPR

Der Katalog der Pflichtklauseln umfasst acht Buchstaben (a bis h). Jede dieser Positionen muss im Vertrag ausdrücklich geregelt sein; eine Verlagerung in Nebenabreden oder allgemeine Geschäftsbedingungen genügt nicht.

Weisungsbindung, Vertraulichkeit und Sicherheit

Nach Art. 28 Abs. 3 Buchst. a GDPR darf der Auftragsverarbeiter personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten – einschließlich Übermittlungen in Drittländer. Buchst. b verlangt, dass sich alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichten. Buchst. c verweist auf die Sicherheit der Verarbeitung nach Art. 32 GDPR; die technischen und organisatorischen Maßnahmen gehören in einen Anhang und nicht in eine pauschale Absichtserklärung.

Unterauftragsverarbeiter, Betroffenenrechte, Löschung und Kontrolle

Buchst. d regelt die Einbeziehung weiterer Auftragsverarbeiter: entweder vorherige gesonderte Genehmigung oder allgemeine schriftliche Genehmigung mit Informationspflicht und Widerspruchsrecht. Buchst. e und f verpflichten zur Unterstützung bei Betroffenenanfragen nach Kapitel III sowie bei Meldepflichten und Datenschutz-Folgenabschätzung nach Art. 32 bis 36 GDPR. Buchst. g verlangt Löschung oder Rückgabe aller Daten nach Vertragsende, Buchst. h die Bereitstellung aller Informationen zum Nachweis der Compliance und die Ermöglichung von Prüfungen durch den Verantwortlichen.

Aufbau eines GDPR data processing agreement clauses requirements template

Ein belastbares GDPR data processing agreement clauses requirements template folgt einer festen Gliederung. Bewährt hat sich diese Reihenfolge:

1. Präambel und Parteien (Verantwortlicher, Auftragsverarbeiter, gegebenenfalls Unterauftragsverarbeiter)
2. Definitionen mit Verweis auf Art. 4 GDPR
3. Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenkategorien, Betroffenenkreise
4. Pflichten des Auftragsverarbeiters als Spiegelung der Buchst. a bis h
5. Unterauftragsverhältnisse inklusive Genehmigungsmechanik
6. Übermittlungen in Drittländer und einschlägige Garantien nach Kapitel V GDPR
7. Haftung, Freistellung, Laufzeit, Kündigung, Rückgabe und Löschung
8. Anhänge: TOM, Liste der Unterauftragsverarbeiter, Löschkonzept, Weisungsformular

Die Klauseln sollten Verantwortlichkeiten nicht duplizieren, sondern an einer Stelle regeln und im übrigen Text referenzieren. Redundante Doppelungen erzeugen Widersprüche, die im Streitfall regelmäßig gegen den Verantwortlichen ausgelegt werden.

Anhänge, technische Spezifikationen und Nachweisführung

Anhänge tragen den größten Teil des Nachweiswerts. Der TOM-Anhang sollte Maßnahmen nach Art. 32 Abs. 1 GDPR konkret benennen: Verschlüsselung, Pseudonymisierung, Zutritts-, Zugangs- und Zugriffskontrolle, Wiederherstellbarkeit sowie regelmäßige Überprüfung. Pauschale Formulierungen wie „angemessene Sicherheitsmaßnahmen“ genügen nicht. Ein GDPR data processing agreement clauses requirements template ohne versionierte Anhänge verliert seinen Nachweiswert vollständig.

Wo Prozesse dokumentiert werden, hilft ein Managementsystem nach ISO 9001: Die Struktur aus dokumentierten Verfahren, Lenkung von Aufzeichnungen und internen Audits lässt sich auf die AVV-Verwaltung übertragen; die Grundlagen beschreibt der Leitfaden zu den ISO 9001 Documentation Requirements. Werden in Anhängen technische Spezifikationen referenziert – etwa Prüfverfahren nach ASTM D4169 oder Werkstoffangaben zu ASTM A36 – müssen diese eindeutig zitiert und versioniert sein, damit Weisungen eindeutig bleiben.

Übermittlungen in Drittländer und Kapitel V GDPR

Jede Übermittlung außerhalb des EWR braucht eine Grundlage nach Kapitel V GDPR: Angemessenheitsbeschluss nach Art. 45, Standarddatenschutzklauseln nach Art. 46 Abs. 2 oder eine Ausnahme nach Art. 49. Der AVV sollte Anbieter und Standorte namentlich nennen und Änderungen anzeigen lassen. Bei Anbietern in den USA ist zusätzlich zu prüfen, ob ergänzende Maßnahmen erforderlich sind; das Ergebnis gehört dokumentiert.

Prüfpfade, Dokumentation und typische Fehler

Der Verantwortliche muss die Einhaltung nachweisen können. Dazu gehören das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 GDPR, der AVV selbst, die Anhänge, Prüfberichte und Nachweise über durchgeführte Audits. Häufige Fehler in der Praxis:

• Der AVV wird erst nach Vertragsbeginn geschlossen.
• Unterauftragsverarbeiter werden ohne Genehmigungsmechanik eingebunden.
• Der TOM-Anhang bleibt unverändert, obwohl sich die Verarbeitung geändert hat.
• Löschfristen fehlen oder widersprechen gesetzlichen Aufbewahrungspflichten.
• Weisungen werden mündlich erteilt und nicht dokumentiert.

Ein aktuelles GDPR data processing agreement clauses requirements template sollte diese Punkte als Prüfliste enthalten und mindestens einmal jährlich sowie bei jeder Änderung der Verarbeitung aktualisiert werden. Ergänzend lohnt der Blick auf benachbarte Dokumentationspflichten, etwa die technische Dokumentation im Rahmen der EU CE Marking Technical File, wenn Produkte mit Datenbezug betroffen sind.