Ein praktischer Leitfaden zu Auftragsverarbeitungsvertrag

Ob Website, SaaS-Produkt, CRM, Analysetool, E-Mail-Plattform oder Support-Desk: Sobald personenbezogene Daten im Spiel sind, muss ein Auftragsverarbeitungsvertrag DSGVO-konform regeln, wie der Anbieter sie im Auftrag verarbeitet.

Eine Datenverarbeitungsvereinbarung, üblicherweise DPA genannt, ist der Vertrag, der regelt, wie ein Anbieter personenbezogene Daten im Auftrag eines Kunden verarbeitet. Wenn Ihre Website, Ihr SaaS-Produkt, Ihr CRM, Ihr Analysetool, Ihre E-Mail-Plattform, Ihr Cloud-Anbieter oder Ihr Support-Desk personenbezogene Daten berührt, müssen Sie wissen, ob ein DPA erforderlich ist.

Unter GDPR steht die Kernregel in Artikel 28: Die Verarbeitung durch einen Auftragsverarbeiter muss durch einen Vertrag oder einen anderen Rechtsakt geregelt werden, der den Auftragsverarbeiter an den Verantwortlichen bindet und die wichtigsten Einzelheiten der Verarbeitung festlegt (GDPR Artikel 28).

Verantwortlicher, Auftragsverarbeiter oder Dritter?

Der erste Schritt ist die Rollenzuordnung.

Verantwortlicher: Entscheidet, warum und wie personenbezogene Daten verarbeitet werden. Ein Unternehmen, das eine Website betreibt und einen Analyseanbieter auswählt, ist häufig der Verantwortliche für seine Besucheranalysen.

Auftragsverarbeiter: Verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen und nach dessen Weisung. Ein datenschutzorientierter Analyseanbieter, ein E-Mail-Zustellungstool oder ein Cloud-Host kann ein Auftragsverarbeiter sein, wenn er Daten nur zur Bereitstellung des vertraglich vereinbarten Dienstes verwendet.

Unabhängiger Controller: Entscheidet über seine eigenen Zwecke. Bei einigen Werbeplattformen und Vereinbarungen zur Datenweitergabe kann es sich um unabhängige Controller-Rollen anstelle einer reinen Datenverarbeitung handeln.

Rollenbezeichnungen sollten der Realität entsprechen, nicht der Marketingsprache. Wenn ein Anbieter Kundendaten für eigene Werbung, Anreicherung oder kundenübergreifendes Profiling verwendet, beschreibt ein Standardprozessor DPA die Beziehung möglicherweise nicht genau.

Was ein GDPR DPA abdecken muss

Gemäß Artikel 28 muss der Vertrag Folgendes regeln:

• Gegenstand und Dauer der Verarbeitung.
• Art und Zweck der Verarbeitung.
• Art der personenbezogenen Daten.
• Kategorien der betroffenen Personen.
• Pflichten und Rechte des Verantwortlichen.
• Verarbeitung nur auf dokumentierte Weisung.
• Vertraulichkeitsverpflichtungen.
• Sicherheitsmaßnahmen.
• Regeln für Unterauftragsverarbeiter.
• Unterstützung bei den Rechten betroffener Personen.
• Unterstützung bei Sicherheits-, Sicherheitsverletzungs-, DPIA- und Beratungspflichten.
• Löschung oder Rückgabe personenbezogener Daten nach Beendigung der Dienstleistung.
• Informationen, die zum Nachweis der Einhaltung erforderlich sind.
• Audit- und Inspektionsrechte.

Praktisch gesehen sollte Ihnen der DPA die Antwort geben: Welche Daten erhält der Anbieter, warum, wo werden sie gespeichert, wer berührt sie sonst noch, wie werden sie geschützt und was passiert, wenn der Vertrag endet?

Warum Analytics-Anbieter überprüft werden müssen

Analytics-Anbieter können personenbezogene Daten auch dann verarbeiten, wenn die Berichte aggregiert sind. Zu den Daten können IP-Adressen, Cookie IDs, Geräteinformationen, URL-Pfade, Referrer, Kampagnenparameter, ungefährer Standort und mit dem Konto verknüpfte Ereignisse gehören.

Fragen Sie für jedes Analysetool:

• Ist der Anbieter ein Auftragsverarbeiter, Dienstleister oder unabhängiger Verantwortlicher?
• Kombiniert der Anbieter kundenübergreifende Daten?
• Werden Cookies oder dauerhafte Identifikatoren verwendet?
• Werden die Daten über die vertraglich vereinbarte Leistung hinaus für Werbung oder Produktverbesserung genutzt?
• Wo werden die Daten gehostet?
• Welche Unterauftragsverarbeiter sind beteiligt?
• Können Rohdaten gelöscht werden?
• Welche Aufbewahrungseinstellungen sind verfügbar?
• Stellt der Anbieter einen DPA bereit?

Privacy-First-Analysen reduzieren den Datenfußabdruck, es kann jedoch dennoch ein DPA erforderlich sein, wenn personenbezogene Daten verarbeitet werden.

Unterauftragsverarbeiter und internationale Übertragungen

Die meisten SaaS-Anbieter verlassen sich auf Unterauftragsverarbeiter: Cloud-Hosts, E-Mail-Anbieter, Support-Tools, Überwachungsdienste und Zahlungssysteme. In einem DPA sollte angegeben werden, ob Unterauftragsverarbeiter zugelassen sind, wie Kunden über Änderungen informiert werden und wie Einwände funktionieren.

Internationale Überweisungen erfordern gesonderte Aufmerksamkeit. Wenn personenbezogene Daten außerhalb des EWR oder UK übertragen werden, benötigen Teams möglicherweise Standardvertragsklauseln, Risikobewertungen für die Übertragung, ergänzende Maßnahmen oder einen anderen gültigen Übertragungsmechanismus. Der DPA allein reicht nicht immer aus.

Eine Checkliste für die Lieferantenbewertung

Bevor Sie ein Werkzeug genehmigen:

1. Identifizieren Sie, welche personenbezogenen Daten das Tool empfängt.
2. Bestätigen Sie die Lieferantenrolle.
3. Überprüfen Sie den DPA und die Unterprozessoren.
4. Überprüfen Sie die Hosting-Region und den Übertragungsmechanismus.
5. Überprüfen Sie die Sicherheitsdokumentation.
6. Legen Sie Aufbewahrungsgrenzen fest.
7. Deaktivieren Sie unnötige Datenfreigabe.
8. Bestätigen Sie die Lösch-/Export-Workflows.
9. Dokumentieren Sie den Geschäftszweck.
10. Fügen Sie das Tool bei Bedarf zur Datenschutzerklärung hinzu.

Häufige DPA-Fehler

• Einen DPA signieren, das Produkt jedoch niemals sicher konfigurieren.
• Ignorieren von Ereigniseigenschaften und URL-Parametern, die personenbezogene Daten enthalten.
• Angenommen, der DPA eines US-Anbieters löst das EU-Transferrisiko automatisch.
• Versäumnis, Unterauftragsverarbeiter zu überprüfen.
• Rohe Analysedaten für immer aufbewahren.
• Ermöglichen, dass Agenturen Tools außerhalb der Beschaffung hinzufügen.
• Behandlung aller Anbieter als Auftragsverarbeiter, wenn es sich bei einigen um unabhängige Verantwortliche handelt.

Ein DPA ist kein Papierkram, den man abheften muss. Es ist die Bedienungsanleitung für eine Datenbeziehung. Je mehr die Privatsphäre in Ihrem Stack an erster Stelle steht, desto einfacher ist es, diese Beziehung zu erklären, zu sichern und sauber zu beenden.

So überprüfen Sie eine Analyse DPA

Vergleichen Sie bei Analyseanbietern den DPA mit der tatsächlichen Ereignisnutzlast. Ein Vertrag kann vorsehen, dass der Prozessor den Anweisungen folgt, aber die Implementierung kann dennoch vollständige URLs, Kennungen, IP Adressen, Suchbegriffe oder Anzeigenklick-IDs senden. Die Artikel 28 Auftragsverarbeiteranforderungen des GDPR bilden die Grundlage: dokumentierte Anweisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiterkontrollen, Unterstützung bei Rechten, Löschung oder Rückgabe, Prüfungen und klare Haftungsgrenzen.

Stellen Sie fünf praktische Fragen. Kann der Anbieter Daten für sein eigenes Produkt, Benchmarking, Werbung oder KI-Schulungen verwenden? Wo werden die Daten gehostet und welche Unterauftragsverarbeiter können darauf zugreifen? Wie schnell können Daten nach der Kündigung gelöscht werden? Fallen für Support- und Engineering-Protokolle dieselben Bedingungen? Entspricht DPA dem öffentlichen Datenschutzhinweis und der Sicherheitsseite? Wenn die Antwort von einem Verkaufsversprechen abhängt, nehmen Sie es in den Vertrag auf oder reduzieren Sie die gesendeten Daten. Ein Anbieter von datenschutzorientierten Analysen sollte diese Überprüfung kürzer gestalten, da der Dienst auf begrenzten, zweckspezifischen Daten und nicht auf breiten Verhaltensprofilen basiert.

DPA Überprüfungscheckliste

Vergleichen Sie DPA mit der tatsächlichen Analysenutzlast. Der Vertrag sollte dokumentierte Anweisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, internationale Übermittlungen, Unterstützung bei Rechten, Löschung oder Rückgabe, Prüfungsrechte und Benachrichtigung über Vorfälle umfassen. Diese Klauseln sind jedoch nur hilfreich, wenn bei der Umsetzung unnötige personenbezogene Daten vermieden werden.

Testen Sie vor dem Signieren, ob vollständige URLs, Abfragezeichenfolgen, IP-Adressen, IDs, Formularwerte oder Kampagnenparameter personenbezogene Daten offenlegen könnten. Wenn ein Anbieter Daten für Werbung, Benchmarking, KI-Schulungen oder damit zusammenhängende Produktverbesserungen wiederverwenden kann, klären Sie die Rolle und die Grenzen schriftlich oder reduzieren Sie die Menge der gesendeten Daten.

Häufig gestellte Fragen

Was ist eine Datenverarbeitungsvereinbarung?

Ein DPA ist der Vertrag, der regelt, wie ein Anbieter personenbezogene Daten im Auftrag eines Kunden verarbeitet. Er existiert, weil Artikel 28 der GDPR verlangt, dass die Verarbeitung durch einen Auftragsverarbeiter durch einen Vertrag oder ein anderes Rechtsinstrument geregelt wird, das den Auftragsverarbeiter an den Verantwortlichen bindet. Jede Website, jedes SaaS-Produkt, CRM, Analytics-Tool, jede E-Mail-Plattform, jeder Cloud-Anbieter oder Support-Desk, der personenbezogene Daten verarbeitet, braucht einen.

Wer gilt als Verantwortlicher und wer als Auftragsverarbeiter?

Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden, etwa ein Unternehmen, das für seine Website einen Analytics-Anbieter auswählt. Ein Auftragsverarbeiter verarbeitet diese Daten nach den Weisungen des Verantwortlichen und nur, um den beauftragten Dienst zu erbringen.

Wann wird ein Anbieter zum eigenständigen Verantwortlichen statt zum Auftragsverarbeiter?

Ein Anbieter wird zum eigenständigen Verantwortlichen, wenn er eigene Zwecke für die Daten festlegt, etwa Werbung, Anreicherung oder kundenübergreifendes Profiling. Manche Werbeplattformen und Datenaustausch-Vereinbarungen fallen in diese Kategorie statt in die eines klassischen Auftragsverarbeiters.

Was muss ein GDPR-konformer DPA enthalten?

Artikel 28 verlangt, dass der Vertrag Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der Daten und die Kategorien betroffener Personen abdeckt. Er muss außerdem die Verarbeitung auf dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Rechten und Sicherheitsvorfällen, Löschung oder Rückgabe der Daten sowie Prüfungsrechte regeln.

Brauchen Analytics-Tools auch bei aggregierten Berichten einen DPA?

Ja, Analytics-Anbieter können personenbezogene Daten verarbeiten, selbst wenn die erstellten Berichte aggregiert sind. Dazu können IP-Adressen, Cookie-IDs, Geräteinformationen, URL-Pfade, Referrer, Kampagnenparameter, ungefähre Standorte und kontogebundene Ereignisse gehören, weshalb weiterhin ein DPA nötig sein kann.

Was sollte ein DPA zu Unterauftragsverarbeitern regeln?

Der DPA sollte festlegen, ob Unterauftragsverarbeiter erlaubt sind, wie Kunden über neue oder geänderte Unterauftragsverarbeiter informiert werden und wie ein Widerspruch funktioniert. Die meisten SaaS-Anbieter setzen auf Unterauftragsverarbeiter wie Cloud-Hosts, E-Mail-Anbieter, Support-Tools, Monitoring-Dienste und Zahlungsanbieter.

Deckt ein unterschriebener DPA internationale Datenübertragungen allein ab?

Nicht immer. Wenn personenbezogene Daten den EWR oder das Vereinigte Königreich verlassen, brauchen Teams neben dem DPA oft noch Standardvertragsklauseln, eine Transferfolgenabschätzung, zusätzliche Maßnahmen oder einen anderen gültigen Übertragungsmechanismus.

Was gehört auf eine Checkliste zur Anbieterprüfung, bevor ein Tool freigegeben wird?

Ermitteln Sie, welche personenbezogenen Daten das Tool erhält, bestätigen Sie die Rolle des Anbieters und prüfen Sie den DPA samt Unterauftragsverarbeitern. Prüfen Sie anschließend Hosting-Region und Übertragungsmechanismus, die Sicherheitsdokumentation, legen Sie Aufbewahrungsfristen fest und bestätigen Sie Lösch- und Exportprozesse, bevor Sie das Tool bei Bedarf in die Datenschutzerklärung aufnehmen.

Was sind die häufigsten Fehler bei DPAs?

Häufige Fehler sind, einen DPA zu unterschreiben und das Produkt nie sicher zu konfigurieren, sowie Event-Eigenschaften und URL-Parameter mit personenbezogenen Daten zu ignorieren. Ein weiterer Fehler ist die Annahme, der DPA eines US-Anbieters löse das EU-Transferrisiko automatisch. Teams überspringen auch die Prüfung von Unterauftragsverarbeitern, bewahren rohe Analytics-Daten dauerhaft auf oder lassen Agenturen Tools außerhalb der Beschaffung hinzufügen. Manche behandeln jeden Anbieter als Auftragsverarbeiter, obwohl einige tatsächlich eigenständige Verantwortliche sind.

Wie prüft man, ob ein Analytics-DPA zu den tatsächlich gesendeten Daten passt?

Vergleichen Sie den DPA mit der tatsächlichen Event-Payload statt nur mit dem Vertragstext. Testen Sie, ob vollständige URLs, Query-Strings, IP-Adressen, IDs, Formularwerte oder Kampagnenparameter personenbezogene Daten offenlegen könnten, und prüfen Sie, ob der Anbieter Daten über den beauftragten Dienst hinaus für Werbung, Benchmarking oder KI-Training nutzen kann.