Data Processing Addendum
Definition: Ein Data Processing Addendum (DPA) ist eine vertragliche Ergänzung zwischen Verantwortlichem und Auftragsverarbeiter, die die Verarbeitung personenbezogener Daten im Sinne der DSGVO regelt. Es konkretisiert Pflichten, technische Schutzmaßnahmen und Weisungsbefugnis. Ohne ein solches Addendum fehlt SaaS-Anbietern die rechtliche Grundlage für die Datenverarbeitung im Kundenauftrag.
Was ist ein Data Processing Addendum?
Ein Data Processing Addendum (DPA) ist ein verbindlicher Vertragsbestandteil, der die Auftragsverarbeitung im Sinne der Datenschutzgrundverordnung (DSGVO) absichert. Es wird zwischen dem Verantwortlichen – häufig dem Kunden – und dem Auftragsverarbeiter – häufig dem SaaS-Anbieter – geschlossen. Das Addendum definiert Gegenstand, Dauer und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und Daten. Grundlage ist Art. 28 DSGVO, der die spezifischen Pflichten des Auftragsverarbeiters reguliert.
Stellen Sie sich das Addendum wie den Bauplan für ein Haus vor: Er legt fest, wer bauen darf, was gebaut wird und wie die Abnahme erfolgt. Entscheidend ist der Regelungsgehalt: Der Auftragsverarbeiter handelt ausschließlich auf dokumentierte Weisung. Er darf Daten nicht für eigene Zwecke nutzen. Zudem verpflichtet er sich, geeignete technische und organisatorische Maßnahmen umzusetzen. Diese Mechanismen senken die Reizschwelle für Vertragsverletzungen und schaffen klare Haftungsstrukturen.
Die zentralen Bestandteile eines DPA
Ein belastbares Addendum folgt einer klaren Ordnung. Die folgende Tabelle zeigt die wichtigsten Regelungsbereiche:
| Regelungsbereich | Typischer Inhalt |
|---|---|
| Gegenstand | Zweck, Art und Dauer der Verarbeitung |
| Weisungsgebundenheit | Pflicht zur Einhaltung dokumentierter Weisungen |
| Datenkategorien | Betroffene Personen und verarbeitete Datentypen |
| Sicherheitsmaßnahmen | Technische und organisatorische Schutzvorkehrungen |
| Unterauftragsverhältnisse | Genehmigungspflicht für Sub-Prozessoren |
| Betroffenenrechte | Unterstützung bei Auskunft, Löschung und Berichtigung |
| Haftung und Nachweise | Rechenschaftspflichten, Audits, Löschkonzepte |
Diese Bausteine erzeugen ein Governance-Fundament, das sowohl juristische als auch operative Risiken adressiert. Aus kommerzieller Sicht wirkt ein standardisiertes DPA wie ein Framing-Instrument: Es signalisiert Professionalität und reduziert Verkaufsbarrieren im Enterprise-Segment.
Warum ein DPA für SaaS-Wachstum unverzichtbar ist
Im B2B-Vertrieb werden Datenschutzanforderungen längst als Kaufkriterium behandelt. Viele Beschaffungsprozesse enthalten standardisierte Sicherheitsfragebögen. Fehlt ein DPA, drohen nicht nur rechtliche Konsequenzen, sondern in vielen Fällen auch verlorene Deals.
Ein fehlendes Data Processing Addendum kann in strukturierten Beschaffungen zum Ausschlusskriterium werden.
Für Anbieter empfiehlt sich ein abgestuftes Modell: Ein standardisiertes DPA für Self-Service-Abschlüsse, erweiterte Fassungen für Enterprise-Kunden. Diese Dynamik steigert die Abschlusswahrscheinlichkeit, ohne individuelle Rechtsabteilungen zu belasten.
Praktische Umsetzung im Vertriebsprozess
Das Addendum sollte nicht separat, sondern integriert in den Vertragsabschluss präsentiert werden. Vertriebsteams benötigen kurze Antwortmuster auf häufige Fragen: Welche Daten werden verarbeitet? Wo stehen die Server? Wie werden Unterauftragsverhältnisse kommuniziert?
Eine klare Kommunikation dieser Punkte erzeugt Vertrauen. Im Rahmen von RevOps-Modellen lässt sich der DPA-Status direkt im CRM abbilden. So bleibt nachvollziehbar, welche Accounts ihre Compliance-Anforderungen erfüllt haben.
« Back to Glossary Index