Auftragsverarbeitungsverträge nach DSGVO: die Klauseln, die wirklich tragen

Warum der Auftragsverarbeitungsvertrag existiert

Nach der DSGVO entscheidet der Verantwortliche, warum und wie personenbezogene Daten verarbeitet werden; der Auftragsverarbeiter handelt auf dessen dokumentierte Weisung. Artikel 28 verlangt einen schriftlichen Vertrag, sobald ein Auftragsverarbeiter personenbezogene Daten berührt, und legt fest, was dieser Vertrag enthalten muss.

Diese Liste ist eine Untergrenze, keine Vorlage. Ein unterschriebener Vertrag, der alle zehn Punkte als Textbaustein auflistet und die Anlagen leer lässt, ist funktional überhaupt kein Vertrag.

Der zwingende Inhalt

Artikel 28 Absatz 3 verlangt Angaben zu Gegenstand, Dauer, Art und Zweck der Verarbeitung, zur Art der personenbezogenen Daten und zu den Kategorien betroffener Personen sowie zu Pflichten und Rechten des Verantwortlichen. Hinzu kommen zehn konkrete Pflichten des Auftragsverarbeiters:

1. Nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, auch bei Übermittlungen in Drittländer.
2. Zur Verarbeitung befugte Personen vertraulichkeitsverpflichten.
3. Die Sicherheitsmaßnahmen nach Artikel 32 ergreifen.
4. Die Bedingungen für die Einbeziehung weiterer Auftragsverarbeiter einhalten.
5. Den Verantwortlichen bei Anträgen Betroffener unterstützen.
6. Bei Meldepflichten, Sicherheit und Folgenabschätzungen unterstützen.
7. Personenbezogene Daten nach Vertragsende löschen oder zurückgeben.
8. Alle Informationen zum Nachweis der Konformität bereitstellen.
9. Überprüfungen und Audits zulassen und dazu beitragen.
10. Den Verantwortlichen vor der Verarbeitung über entgegenstehende rechtliche Anforderungen informieren.

Fehlt einer dieser Punkte, ist der Vertrag schon formal unvollständig. Vollständigkeit ist jedoch der leichte Test; die schwerere Frage ist, ob die Klauseln betrieblich zutreffen.

Die Anlagen tragen die Last

Drei Anlagen leisten die eigentliche Arbeit. Die Beschreibung der Verarbeitung muss die Verarbeitung wirklich beschreiben und nicht die Präambel wiederholen. Die technischen und organisatorischen Maßnahmen müssen konkrete Schutzmaßnahmen auflisten, weil dies das Dokument ist, das eine prüfende Person mit der Realität vergleicht. Die Liste der Unterauftragsverarbeiter muss aktuell und vollständig sein, denn ein Auftragsverarbeiter darf ohne Genehmigung keinen neuen Unterauftragsverarbeiter einbeziehen und muss dem Verantwortlichen die Möglichkeit zum Widerspruch geben.

Das Fehlermuster ist konstant: Die Maßnahmenanlage nennt „Verschlüsselung bei Speicherung und Übertragung“, während ein Backup-Speicher unverschlüsselt liegt, oder die Unterauftragsliste ist zwei Jahre alt, weil niemand sie verantwortet. Beides liest sich als Nachlässigkeit, nicht als Vorsatz, und beides ist vollständig vermeidbar.

Unterauftragsverarbeiter und internationale Übermittlungen

Ein Auftragsverarbeiter, der einen Unterauftragsverarbeiter einbezieht, muss ihm dieselben Datenschutzpflichten vertraglich auferlegen. Die Genehmigung kann konkret oder allgemein sein; ist sie allgemein, muss der Verantwortliche widersprechen können, und der Auftragsverarbeiter muss geplante Änderungen rechtzeitig mitteilen, damit der Widerspruch etwas bedeutet.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums brauchen eine eigene Rechtsgrundlage — einen Angemessenheitsbeschluss oder geeignete Garantien wie die Standardvertragsklauseln von 2021. Ein Auftragsverarbeitungsvertrag allein genehmigt keine Übermittlung. Sitzen Unterauftragsverarbeiter in Drittländern, gehört der Übermittlungsmechanismus in dieselbe Architektur wie die Verarbeitung selbst, nicht nachträglich angeflanscht.

Den Vertrag real machen

Drei Praktiken unterscheiden einen funktionierenden Vertrag von einem abgelegten. Erstens: die Unterauftragsliste versionieren, mit benanntem Verantwortlichen und Prüfdatum. Zweitens: jeden Eintrag der Maßnahmenanlage an eine benannte Kontrolle binden, die in Ihrer Sicherheitsdokumentation vorkommt, damit beide vergleichbar sind. Drittens: jährlich prüfen, ob die Anlage noch beschreibt, was geschieht — denn der Wert eines Auftragsverarbeitungsvertrags liegt nicht in der Unterschrift, sondern darin, ob eine lesende Person Ihren Betrieb wiedererkennt.