Ein Datenverarbeitungsvertrag kann auf den ersten Blick wie reine Routine wirken – mit bereits geklärten kommerziellen Bedingungen und Standardformulierungen. Es lohnt sich jedoch, genau darauf zu achten, wie ein externer Auftragsverarbeiter personenbezogene Daten in Ihrem Auftrag verarbeitet, was nach einer Verletzung des Schutzes personenbezogener Daten geschieht und wer haftet, wenn eine Sicherheitsmaßnahme versagt.

Je mehr Verträge Sie haben, desto höher ist das Risiko. Jeder neue Dienstleister, mit dem Sie personenbezogene Daten teilen, jede Verlängerung und jedes SaaS-Tool, das auf Mitarbeiter- oder Kundendaten zugreift, bringt einen eigenen Datenverarbeitungsvertrag (DPA) mit sich. Die meisten dieser Verträge sind im Sinne des Anbieters verfasst, wodurch die Pflichten zum Datenschutz und zur Datensicherheit, die Sie eigentlich schützen sollen, oft abgeschwächt werden.

Dies ist eine Checkliste für die Prüfung von DPAs, verfasst aus der Perspektive des Verantwortlichen, der einen Dienstleister beauftragt – also des Unternehmens, dessen personenbezogene Daten verarbeitet werden. Die Checkliste steht am Ende dieses Artikels als PDF zum Download bereit, damit Sie sie bei Ihrer nächsten DPA-Prüfung direkt einsetzen können.

Wenn Ihr Rechtsteam noch immer Stunden mit der manuellen Vertragsprüfung verbringt, testen Sie LEGALFLY. LEGALFLY verkürzt die Zeit für den Review um bis zu 87,5 % und macht aus einer zweistündigen Prüfung einen Vorgang von 15 Minuten – ohne dass Ihr Team die Kontrolle verliert. Buchen Sie eine Demo, um zu sehen, wie sich das Tool nahtlos in die bestehenden Arbeitsabläufe Ihrer Rechtsabteilung integriert.

Führen Sie in 15 Minuten einen Review eines Datenverarbeitungsvertrags mit LEGALFLY durch

Sie können LEGALFLY nutzen, um automatisch ein 21-Punkte-Playbook für Datenverarbeitungsverträge auf jeden DPA anzuwenden. Eine Prüfung, für die ein erfahrener Jurist sonst zwei Stunden benötigt, ist so in etwa 15 Minuten erledigt – und zwar jedes Mal auf dieselbe konsistente Weise, unabhängig davon, wer sie durchführt.

1. Öffnen Sie den DPA in Microsoft Word

Starten Sie das LEGALFLY-Add-in. Noch vor jeder KI-gestützten Verarbeitung anonymisiert LEGALFLY sensible Daten beim Import: Namen der Vertragsparteien, Unternehmen und Identifikatoren werden tokenisiert, und das Originaldokument bleibt stets unter Ihrer Kontrolle.

2. Wählen Sie das DPA-Playbook aus

Es enthält die 21 in diesem Artikel beschriebenen Review-Punkte, konfiguriert mit Ihren bevorzugten Rechtspositionen und Fallback-Formulierungen. Wählen Sie einfach die Variante, die zum jeweiligen Geschäft passt.

3. Starten Sie den Review

LEGALFLY liest den DPA Klausel für Klausel, wendet Ihre Risikoschwellen an und markiert jede Abweichung von Ihrer bevorzugten Rechtsposition.

4. Prüfen Sie die Änderungen im Änderungsmodus inklusive Begründung

Jede Bearbeitung wird als nachverfolgbare Änderung in Microsoft Word eingefügt, verknüpft mit der Playbook-Regel, die sie ausgelöst hat. Sie können jede Änderung annehmen, anpassen oder ablehnen.

5. Exportieren Sie das Dokument mit einem lückenlosen Audit-Trail

Das Dokument wird mit einem vollständigen Protokoll aller Änderungen, angewandten Regeln und erteilten Freigaben exportiert – bereit für die interne Governance oder ein externes Audit.

Für DPAs, die Sie in großer Zahl bearbeiten, können Sie den Review als automatisierten Workflow über das Agent Studio ausführen. Die Fachabteilungen erstellen die Anfrage direkt aus Slack, Microsoft Teams oder per E-Mail. LEGALFLY leitet das Ergebnis dann je nach Vertragstyp, Risikostufe oder Vertragspartner an den zuständigen Juristen weiter. Die endgültige Freigabe verbleibt stets bei Ihnen.

Überzeugen Sie sich selbst, warum LEGALFLY zu den führenden Softwarelösungen für die automatisierte Vertragsprüfung gehört.

Ausführliche Checkliste für die Prüfung von Datenverarbeitungsverträgen: Alles, was Sie vor der Unterzeichnung prüfen müssen

Laden Sie die Checkliste hier herunter.

Die Unterzeichnung eines DPA ohne sorgfältige Prüfung setzt Sie behördlichen Sanktionen, nicht einbringlichen Verlusten nach einer Datenschutzverletzung und Verpflichtungen aus, denen Sie so nie zugestimmt hätten. Inhouse-Juristen sollten sich auf die folgenden sieben Bereiche konzentrieren. Gehen Sie diese der Reihe nach durch; die ersten Punkte setzen den Rahmen für den Rest.

Gemäß der Datenschutz-Grundverordnung muss die Beziehung zwischen einem Verantwortlichen und einem Auftragsverarbeiter durch einen schriftlichen Vertrag geregelt werden, sobald personenbezogene Daten weitergegeben werden. Artikel 28 legt den zwingenden Inhalt fest: ein rechtsverbindlicher Vertrag, der wie jede kommerzielle Vereinbarung rechtlich bindend ist und den Gegenstand, die Dauer, die Art und den Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt. Die DSGVO dient dem Schutz identifizierbarer natürlicher Personen. Ein DSGVO-Datenverarbeitungsvertrag, der diese Elemente auslässt, ist formal fehlerhaft, unabhängig davon, wie die Parteien in der Praxis agieren.

Diese Pflicht gilt über die Europäische Union hinaus. Gleichwertige Regelungen unter anderen Datenschutzgesetzen finden sich im UK Data Protection Act, dem California Consumer Privacy Act und dem California Privacy Rights Act. Jeder dieser Gesetze verlangt einen schriftlichen Vertrag, der den Dienstleister oder externen Auftragsverarbeiter bei der Handhabung personenbezogener Daten bindet. 

Da sich Datenschutzgesetze über verschiedene Regionen hinweg häufen, überschneiden sich die anwendbaren Vorschriften, und ein einziger DPA muss sie alle erfüllen.

Ihr Review hat zwei Aufgaben: die gesetzlichen Mindestanforderungen zu erfüllen und die verhandelbaren Klauseln zugunsten von Positionen zu verschieben, die personenbezogene Daten und Ihre Organisation schützen.

Bestätigen Sie genau, was verarbeitet wird und warum

Artikel 28 verlangt, dass der DPA die Grundlagen der Verarbeitung festhält. Diese Beschreibungen begrenzen, was der Auftragsverarbeiter mit Ihren Daten tun darf. Formulieren Sie daher jede ungenaue Passage präziser.

Gegenstand und Dauer

Achten Sie darauf, dass der DPA den Gegenstand der Verarbeitung genau beschreibt und die Dauer der Verarbeitung an die Laufzeit des Hauptvertrags koppelt. Eine unbefristete Dauer ermöglicht es, dass die Verarbeitung die eigentliche Dienstleistung überdauert.

Art und Zweck

Beschränken Sie den Zweck strikt auf die Erbringung der vertraglich vereinbarten Dienstleistungen. Vermeiden Sie Formulierungen wie „und damit verbundene Zwecke“, die es dem Auftragsverarbeiter erlauben, Ihre Daten für eigene geschäftliche Zwecke zu nutzen.

Arten personenbezogener Daten und Kategorien betroffener Personen

Verlangen Sie eine detaillierte Aufstellung der verarbeiteten Datenarten und der Kategorien betroffener Personen. Die Angabe „Kontaktdaten“ sagt nichts darüber aus, ob sensible Daten oder Mitarbeiterdaten betroffen sind. Bei bestimmten Dienstleistungen entscheidet genau diese Unterscheidung darüber, welche Pflichten anwendbar sind.

Legen Sie genau fest, wie der Auftragsverarbeiter mit Ihren Daten verfährt

Der Auftragsverarbeiter darf ausschließlich auf Ihre Weisung hin handeln, und nur autorisierte Personen dürfen Zugriff auf die Daten erhalten.

Dokumentierte Weisungen

Verpflichten Sie den Auftragsverarbeiter dazu, ausschließlich auf Ihre schriftlichen Weisungen hin zu handeln. Diese dokumentierten Weisungen müssen auch für internationale Datentransfers gelten. Sie können elektronisch oder auf anderem Wege erteilt werden, aber die Pflicht zu ihrer Einhaltung muss als verbindliche Klausel im Vertrag verankert sein.

Vertraulichkeit des Personals

Verlangen Sie, dass alle zur Verarbeitung personenbezogener Daten berechtigten Personen einer strengen Vertraulichkeitspflicht unterliegen, und stellen Sie sicher, dass diese Daten niemals über den dokumentierten Zweck hinaus verwendet werden. Andernfalls bewegen sich Ihre Daten unkontrolliert durch Mitarbeiter- und Subunternehmernetzwerke, was die Nachweiskette für eine rechtmäßige Verarbeitung gegenüber einer Aufsichtsbehörde abreißt.

Prüfen Sie die Sicherheitsmaßnahmen und die Meldung von Datenschutzverletzungen auf Herz und Nieren

Hier wird die sichere Verarbeitung konkret: Es geht um die Sicherheitsgarantien, zu denen sich der Auftragsverarbeiter verpflichtet, und darum, wie schnell er Sie im Falle eines Vorfalls informiert.

Technische und organisatorische Maßnahmen

Verlangen Sie dem Risiko angemessene technische und organisatorische Maßnahmen: Zugriffskontrollen, Zugangsbeschränkungen, Verschlüsselung, Passwortschutz und die umfassenderen Anforderungen an die Informationssicherheit, die Sie von einem professionellen Dienstleister erwarten. Verpflichten Sie den Auftragsverarbeiter, angemessene Schritte zu deren Einhaltung zu unternehmen, und lesen Sie jeden Sicherheitsanhang, auf den verwiesen wird, sorgfältig durch. Eine leere Zusage über einen „Branchenstandard“ ohne konkrete Details ist wertlos.

Meldung von Datenschutzverletzungen

Bestehen Sie auf der unverzüglichen Meldung jeder Verletzung des Schutzes personenbezogener Daten, mit einer strikten Höchstgrenze von beispielsweise 48 Stunden. Verspätet behandelte Datenpannen werden schnell zu Ihrem eigenen Compliance-Problem. Legen Sie auch den Inhalt fest: die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen, die wahrscheinlichen Folgen und die ergriffenen Abhilfemaßnahmen.

Sie benötigen diese relevanten Informationen, um Ihren eigenen Meldepflichten nachzukommen und betroffene Personen zu informieren, sofern dies gesetzlich vorgeschrieben ist.

Hören Sie auf, DPAs Zeile für Zeile manuell zu lesen. LEGALFLY wendet Ihr Playbook auf jeden Datenverarbeitungsvertrag an und liefert Ihnen nachverfolgbare Änderungen in Microsoft Word – jeweils verknüpft mit der entsprechenden Regel. Buchen Sie eine Demo, um das Tool mit Ihren eigenen Verträgen zu testen.

Behalten Sie die Kontrolle über Sub-Auftragsverarbeiter

Dass ein Auftragsverarbeiter weitere Dienstleister hinzuzieht, ist üblich. Jede weitere Ebene der Unterauftragsverarbeitung verlängert jedoch die Kette der Verantwortlichkeit für Ihre Daten.

Genehmigung von Sub-Auftragsverarbeitern

Legen Sie genau fest, wie neue Sub-Auftragsverarbeiter genehmigt werden. Die sicherste Position erfordert eine vorherige gesonderte schriftliche Genehmigung für jeden einzelnen Dienstleister. Ein praktikabler Kompromiss ist eine allgemeine schriftliche Genehmigung mit angemessener Ankündigungsfrist und einem echten Widerspruchsrecht.

Lehnen Sie Klauseln ab, die es dem Auftragsverarbeiter ermöglichen, Sub-Auftragsverarbeiter nach eigenem Ermessen hinzuzufügen. Setzen Sie bei einer allgemeinen Genehmigung eine Ankündigungsfrist fest, die lang genug ist, um eine echte Due-Diligence-Prüfung des neuen Dienstleisters durchzuführen.

Haftung für Sub-Auftragsverarbeiter

Nehmen Sie den Auftragsverarbeiter für alle Handlungen und Unterlassungen seiner Sub-Auftragsverarbeiter Ihnen gegenüber voll in die Haftung. Wenn Sie diese Haftung begrenzen oder ausschließen, verbleiben Fehler auf einer nachgelagerten Ebene letztlich bei Ihnen, ohne dass Sie Regress nehmen können.

Überprüfen Sie die Unterstützungspflichten des Auftragsverarbeiters

Wenn eine betroffene Person ihre Rechte geltend macht oder Sie eine Datenschutz-Folgenabschätzung durchführen, liegen die benötigten Informationen meist beim Auftragsverarbeiter.

Betroffenenrechte

Verlangen Sie eine unverzügliche und angemessene Unterstützung bei Anfragen zur Wahrnehmung von Betroffenenrechten und schließen Sie Gebühren aus, die eine routinemäßige Anfrage in eine zähe Verhandlung verwandeln würden.

DSFA und Konsultationen mit Aufsichtsbehörden

Verlangen Sie dieselbe Unterstützung bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit einer Aufsichtsbehörde. Diese Pflichten sind unerlässlich, damit Sie Ihren Verpflichtungen als Verantwortlicher nach dem Datenschutzrecht nachkommen können.

Ein Auftragsverarbeiter, der Unterstützung nur gegen hohe Gebühren oder mit großer Verzögerung anbietet, beeinträchtigt Ihre Fähigkeit, rechtzeitig zu reagieren.

Prüfen Sie internationale Datentransfers genau

Sobald personenbezogene Daten den Europäischen Wirtschaftsraum verlassen, benötigt die Vereinbarung eine gültige Rechtsgrundlage für den Transfer, andernfalls ist die Übermittlung rechtswidrig.

Transfermechanismus

Stellen Sie sicher, dass der DPA die aktuelle Version eines gültigen Mechanismus enthält, wie beispielsweise die neuesten Standardvertragsklauseln. Beschränken Sie jede solche Übermittlung in ein Drittland auf einen anerkannten Mechanismus.

Datenfluss-Mapping

Erfassen Sie genau, wohin Ihre Daten fließen. Befinden sich der Auftragsverarbeiter oder seine Sub-Auftragsverarbeiter außerhalb der Europäischen Union, nützt ein rein formeller Mechanismus auf dem Papier wenig, wenn die tatsächlichen Datenströme unklar sind.

Die meisten Teams verkürzen die Zeit für die Prüfung von DPAs bereits wenige Wochen nach der Einführung von LEGALFLY drastisch. Buchen Sie eine Demo, um zu sehen, wie es sich in Ihre Workflows einfügt.

Regeln Sie Vertragsende, Audit und Haftung rechtssicher

Die letzte Gruppe von Klauseln regelt, was Sie während der Laufzeit überprüfen können und was nach Beendigung des Vertrags mit Ihren Daten geschieht.

Audit-Rechte

Sichern Sie sich das Recht, die Einhaltung der Pflichten durch den Auftragsverarbeiter durch eigene oder von Ihnen beauftragte Audits zu überprüfen – über ein jährliches Zertifikat hinaus.

Stellen Sie sicher, dass der Auftragsverarbeiter Audits zulassen und alle Informationen bereitstellen muss, die zum Nachweis der Compliance erforderlich sind.

Rückgabe und Löschung von Daten

Behalten Sie sich bei Vertragsbeendigung das Wahlrecht vor, ob alle verarbeiteten personenbezogenen Daten zurückgegeben oder gelöscht werden sollen, wobei verbleibende Kopien im gesetzlich zulässigen Rahmen zu löschen sind.

Haftungsgrenzen und Ausnahmen

Prüfen Sie genau, wen die Haftungsbegrenzung schützt. Drängen Sie auf eine ausreichend hohe und wechselseitige Haftungsgrenze zwischen den Parteien sowie auf Ausnahmen, die Verletzungen des Datenschutzes und der Vertraulichkeit von der allgemeinen Haftungsbegrenzung ausnehmen. Nur so können Sie im Falle einer Datenschutzverletzung den tatsächlichen Schaden geltend machen.

Betrachten Sie eine zu niedrige oder rein einseitig zugunsten des Auftragsverarbeiters formulierte Haftungsgrenze als klaren Verhandlungspunkt.

Anwendbares Recht und Gerichtsstand

Legen Sie ein anwendbares Recht und einen Gerichtsstand fest, die für Sie vorteilhaft sind. Ein pauschaler Verweis auf den Sitz des Anbieters sollte kritisch hinterfragt und nachverhandelt werden.

Sichern Sie eine konsistente Prüfung von Datenverarbeitungsverträgen in Ihrem gesamten Team

Die folgende Checkliste ist eine praxiserprobte Version der DPA-Prüfliste, die LEGALFLY in über 110 Jurisdiktionen anwendet. Nutzen Sie sie, um Ihre bevorzugten Positionen festzulegen und sie zum Standard für Ihr Team zu machen.

LEGALFLY bietet Ihnen über 120 vorgefertigte Playbooks, mehr als 500 verifizierte rechtliche Quellen sowie ISO 27001- und SOC 2 Typ II-Zertifizierungen. So können Sie direkt von dieser Checkliste zu einer automatisierten Prüfung übergehen, ohne alles selbst aufbauen zu müssen.

Laden Sie die Checkliste herunter.

Wenn neue Gesetze in Kraft treten, funktioniert derselbe Standard auch umgekehrt: Der Multi-Review-Agent von LEGALFLY scannt Ihr gesamtes Vertragsportfolio und markiert Verträge, die nicht mehr richtlinienkonform sind, während der Legal Radar regulatorische Änderungen in verschiedenen Ländern überwacht und Sie warnt, wenn sich Anforderungen für Ihre DPAs ändern.

Ihre Verträge liegen in Ihrem Dokumentenarchiv – LEGALFLY übernimmt die Prüfung.

Buchen Sie eine Demo von LEGALFLY. Wir führen Sie gerne anhand von für Ihr Portfolio relevanten Vertragstypen durch das Playbook für Datenverarbeitungsverträge.

Häufig gestellte Fragen (FAQ)

Was ist ein Datenverarbeitungsvertrag?

Ein Datenverarbeitungsvertrag oder DPA (Data Processing Agreement) ist ein rechtsverbindlicher Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter. Er regelt, wie der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Artikel 28 der Datenschutz-Grundverordnung schreibt einen solchen Vertrag immer dann vor, wenn ein Auftragsverarbeiter personenbezogene Daten für einen Verantwortlichen verarbeitet. Gleichwertige Regeln gelten unter dem UK Data Protection Act, dem California Consumer Privacy Act und dem California Privacy Rights Act.

Was muss ein DPA enthalten, um der DSGVO zu entsprechen?

Ein konformer DSGVO-Datenverarbeitungsvertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und Kategorien betroffener Personen fest. Zudem enthält er verbindliche Klauseln zu dokumentierten Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, der Genehmigung von Sub-Auftragsverarbeitern, der Unterstützung bei Betroffenenrechten, der Meldung von Datenschutzverletzungen, internationalen Datentransfers sowie der Löschung oder Rückgabe von Daten bei Vertragsbeendigung.

Wer trägt die Verantwortung – der Verantwortliche oder der Auftragsverarbeiter?

Beide Parteien unterzeichnen den Vertrag, aber der Verantwortliche trägt die primäre Verantwortung dafür, dass ein rechtskonformer Vertrag geschlossen wird und der Auftragsverarbeiter hinreichende Garantien bietet. Der Auftragsverarbeiter darf Daten ausschließlich auf dokumentierte Weisung verarbeiten und muss die vereinbarten Sicherheits- und Unterstützungspflichten erfüllen. In einer direkten Geschäftsbeziehung sollte der Verantwortliche die Prüfung leiten und die Vorlage des Auftragsverarbeiters überall dort nachverhandeln, wo sie unzureichend ist.

Wie lange dauert der Review eines DPA?

Ein sorgfältiger manueller Review eines DPA nimmt etwa zwei Stunden in Anspruch. Mit einer Playbook-gestützten Prüfung in LEGALFLY dauert dieser Vorgang nur noch rund 15 Minuten – jede markierte Klausel ist direkt mit der zugrundeliegenden Regel verknüpft, inklusive eines vollständigen Audit-Trails für Ihre Governance.