Data Processing Agreement (DPA)
Definition: Ein Data Processing Agreement (DPA) ist ein rechtsverbindlicher Vertrag zwischen Verantwortlichem und Auftragsverarbeiter. Er regelt die rechtmäßige Verarbeitung personenbezogener Daten gemäß Art. 28 DSGVO. Der DPA definiert Weisungsgebundenheit, technisch-organisatorische Maßnahmen, Unterauftragsverhältnisse und Haftungsfragen. Ohne wirksamen DPA ist die Datenverarbeitung regelmäßig rechtswidrig.
Funktion und Rechtsgrundlage im Datenschutzregime
Ein Data Processing Agreement (DPA) ist kein bloßes Dokument, sondern das zentrale Compliance-Gate für jede Auftragsverarbeitung. Die Datenschutz-Grundverordnung (DSGVO) verlangt in Art. 28 Abs. 3 einen schriftlichen Vertrag, sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Das betrifft SaaS-Anbieter, Cloud-Hoster, aber auch Marketing-Agenturen oder Lohnabrechner.
Der Vertrag zementiert die Rollenverteilung: Der Verantwortliche bestimmt Zweck und Mittel der Verarbeitung. Der Auftragsverarbeiter handelt strikt weisungsgebunden. Diese Hierarchie ist fundamental. Fehlt der DPA, drohen Bußgelder von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Die Vertragsfreiheit endet dort, wo die gesetzlichen Pflichten beginnen.
Ein DPA ist die operative Übersetzung des Prinzips „Datenhoheit bleibt beim Verantwortlichen“ in justiziable Pflichten.
Kernbestandteile und praktische Umsetzung
Ein wirksamer DPA muss bestimmte Mindestinhalte abdecken. Die Praxis hat daraus standardisierte Bausteine entwickelt, die sich in nahezu jedem Vertragswerk wiederfinden:
| Vertragsbestandteil | Regulatorische Anforderung | Typische Umsetzung |
|---|---|---|
| Gegenstand & Dauer | Art. 28 Abs. 3 lit. a | Konkrete Beschreibung der Verarbeitungstätigkeiten |
| Art & Zweck | Art. 28 Abs. 3 lit. a | Auflistung der Datenkategorien und betroffenen Personen |
| Weisungsrecht | Art. 28 Abs. 3 lit. b | Formale Weisungskette inkl. Dokumentationspflicht |
| TOMs | Art. 32 DSGVO | Technisch-organisatorische Maßnahmen im Anhang |
| Unterauftragsverhältnisse | Art. 28 Abs. 2 | Genehmigungspflichtige Sub-Processor-Liste |
| Betroffenenrechte | Art. 28 Abs. 3 lit. e | Unterstützungspflicht bei Auskunft, Löschung, Berichtigung |
| Löschung & Rückgabe | Art. 28 Abs. 3 lit. g | Fristen und Verfahren nach Vertragsende |
| Auditrechte | Art. 28 Abs. 3 lit. h | Vor-Ort-Prüfung oder Zertifikatsnachweis |
Die Praxis zeigt: Die bloße Existenz eines DPA genügt nicht. Entscheidend ist die operative Durchsetzung. Viele Unternehmen scheitern an der Dokumentation tatsächlich ergriffener Maßnahmen. Ein DPA ohne Nachweis der Umsetzung ist im Auditfall wertlos.
Abgrenzung zu verwandten Rechtsinstrumenten
Der DPA steht in einem Geflecht aus verwandten Begriffen, die häufig verwechselt werden. Die Abgrenzung ist für die Compliance-Praxis entscheidend:
- AVV (Auftragsverarbeitungsvertrag): Der deutsche Begriff für den DPA. Inhaltlich identisch, rein sprachliche Differenz.
- SCC (Standard Contractual Clauses): Standardvertragsklauseln der EU-Kommission für Drittlandtransfers. Sie ergänzen den DPA, ersetzen ihn aber nicht.
- Joint Controllership: Liegt vor, wenn zwei Parteien gemeinsam über Zweck und Mittel entscheiden. Hier greift Art. 26 DSGVO, nicht Art. 28.
- NDA (Non-Disclosure Agreement): Regelt Vertraulichkeit, nicht die Verarbeitung personenbezogener Daten. Ein NDA kann einen DPA niemals ersetzen.
Die Schnittstelle zur IT-Compliance ist besonders relevant. Ein DPA referenziert technisch-organisatorische Maßnahmen, die wiederum in ISO-27001-Zertifizierungen oder SOC-2-Berichten nachgewiesen werden. Im B2B-SaaS-Kontext ist der DPA oft das entscheidende Kriterium im Procurement-Prozess. Ohne unterschriebenen DPA kein Vertragsabschluss.
Internationale Datenübermittlungen und Drittlandtransfers
Die Übermittlung personenbezogener Daten in Drittländer verschärft die Anforderungen erheblich. Seit dem Schrems-II-Urteil reicht ein DPA allein nicht mehr aus. Zusätzlich müssen geeignete Garantien nach Art. 46 DSGVO bestehen. Dazu zählen SCCs, Angemessenheitsbeschlüsse oder verbindliche interne Datenschutzvorschriften (BCRs).
Die Praxis verlangt eine zweistufige Prüfung: Erstens die vertragliche Absicherung durch DPA und SCCs. Zweitens eine Transfer Impact Assessment (TIA), die die Rechtslage im Empfängerland bewertet. Fehlt diese Analyse, ist der Transfer auch mit unterschriebenem DPA rechtswidrig.
Der DPA ist notwendige, aber nicht hinreichende Bedingung für rechtmäßige Drittlandtransfers. Die Bewertung des Empfängerlandes entscheidet.
Operative Risiken und Haftungsfragen
Die Haftungsverteilung folgt der Rollenlogik. Der Verantwortliche haftet für die Rechtmäßigkeit der Verarbeitung. Der Auftragsverarbeiter haftet für Pflichtverletzungen, die er selbst zu verantworten hat. Art. 82 DSGPO normiert die Schadensersatzhaftung. In der Praxis zeigt sich: Der Auftragsverarbeiter haftet oft gesamtschuldnerisch, kann aber beim Verantwortlichen Regress nehmen.
Typische Compliance-Lücken in der Unternehmenspraxis sind:
- Veraltete DPA, die nicht an aktuelle Verarbeitungstätigkeiten angepasst wurden
- Fehlende Dokumentation von Unterauftragsverhältnissen
- Unklare Regelungen zur Löschung nach Vertragsende
- Fehlende Nachweise über durchgeführte Audits
Die Vertragspraxis entwickelt sich zunehmend in Richtung dynamischer DPA-Modelle. Diese verweisen auf Online-Portale, in denen Sub-Processor-Änderungen transparent dokumentiert werden. Das erhöht die Compliance-Qualität, erfordert aber ein aktives Vertragsmanagement. Ein statischer DPA, der einmal unterschrieben und nie wieder geprüft wird, ist ein Compliance-Risiko mit hoher Schadenswahrscheinlichkeit.
« Back to Glossary Index