Data Processing Agreement (DPA)

Diese Begriffserklärung teilen
« Zurück zum Glossar Index

Ein Data Processing Agreement (DPA), auf Deutsch Auftragsverarbeitungsvertrag, ist ein rechtliches Dokument, das die Bedingungen und Verantwortlichkeiten regelt, unter denen personenbezogene Daten von einem Auftragsverarbeiter im Auftrag eines Datenverantwortlichen verarbeitet werden. Ein DPA ist notwendig, um sicherzustellen, dass die Verarbeitung von personenbezogenen Daten im Einklang mit den Datenschutzgesetzen steht, insbesondere mit der Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union.

Bedeutung und Zweck eines DPA:

Ein DPA dient dazu, die rechtlichen Anforderungen des Datenschutzes zu erfüllen und schützt sowohl den Datenverantwortlichen (meist ein Unternehmen oder eine Organisation, die personenbezogene Daten erhebt) als auch den Auftragsverarbeiter (z. B. ein Dienstleister, der Daten im Auftrag des Verantwortlichen verarbeitet). Es stellt sicher, dass personenbezogene Daten sicher und gemäß den gesetzlichen Vorgaben verarbeitet werden.

Wichtige Inhalte eines Data Processing Agreements:

  • Parteien des Vertrages:
  • Es wird detailliert beschrieben, zu welchen Zwecken personenbezogene Daten verarbeitet werden (z. B. zur Bereitstellung von Dienstleistungen, Marketingzwecken, etc.). Der Vertrag legt auch fest, welche Arten von Daten verarbeitet werden (z. B. Name, Adresse, E-Mail) und welche Kategorien von betroffenen Personen betroffen sind (z. B. Kunden, Mitarbeiter).
  • Der Vertrag legt die Dauer der Datenverarbeitung fest, die typischerweise die Dauer des Auftragsverhältnisses abdeckt.
  • Pflichten des Auftragsverarbeiters:
  • Der Auftragsverarbeiter muss sicherstellen, dass die personenbezogenen Daten nur im Einklang mit den Anweisungen des Datenverantwortlichen verarbeitet werden. Dies umfasst auch die Sicherstellung der Datenintegrität und -vertraulichkeit sowie die Einhaltung von Sicherheitsmaßnahmen.
  • Es kann auch festgelegt werden, dass der Auftragsverarbeiter keine Daten an Dritte weitergeben darf oder dass er bei Bedarf einen weiteren Sub-Auftragsverarbeiter hinzuziehen kann (mit Zustimmung des Datenverantwortlichen).
  • Technische und organisatorische Maßnahmen (TOM):
  • Der Auftragsverarbeiter muss geeignete Sicherheitsmaßnahmen treffen, um die personenbezogenen Daten vor Verlust, Missbrauch oder unbefugtem Zugriff zu schützen. Dies kann die Verschlüsselung von Daten, regelmäßige Sicherheitsaudits und den Einsatz von Firewalls und Zugriffskontrollen umfassen.
  • Unterauftragsverarbeiter:
  • Wenn der Auftragsverarbeiter einen Sub-Auftragsverarbeiter (z. B. einen weiteren Dienstleister) einsetzen möchte, um die Daten zu verarbeiten, muss er die Zustimmung des Datenverantwortlichen einholen. Der Vertrag regelt, wie die Daten auch beim Einsatz von Sub-Auftragsverarbeitern geschützt werden.
  • Rechte der betroffenen Personen:
  • Der DPA sollte auch festlegen, wie der Auftragsverarbeiter auf Anfragen von betroffenen Personen (z. B. zur Ausübung ihrer Rechte auf Auskunft, Berichtigung oder Löschung) reagieren wird.
  • Der Vertrag sollte Regelungen zur Haftung bei Verstößen gegen den Vertrag und die Datenschutzgesetze sowie mögliche Sanktionen oder Schadensersatzansprüche enthalten.
  • Ende der Datenverarbeitung:
  • Am Ende der Vertragsbeziehung muss der Auftragsverarbeiter die personenbezogenen Daten entweder löschen oder zurückgeben, je nach Wunsch des Datenverantwortlichen.

Warum ist ein DPA erforderlich?

Ein Data Processing Agreement ist vor allem erforderlich, um die Einhaltung der Datenschutzbestimmungen, wie sie in der DSGVO (Art. 28) festgelegt sind, sicherzustellen. Ohne ein gültiges DPA kann die Verarbeitung personenbezogener Daten zwischen einem Verantwortlichen und einem Auftragsverarbeiter als rechtswidrig angesehen werden. Ein solches Abkommen bietet sowohl den Verantwortlichen als auch den Verarbeitern rechtliche Sicherheit und schützt die Rechte der betroffenen Personen.

Beispiel für einen DPA:

Ein Beispiel für einen DPA ist der Vertrag zwischen einem E-Commerce-Unternehmen (Datenverantwortlicher) und einem Cloud-Dienstleister (Auftragsverarbeiter), der die Bestellungen und Kundeninformationen des Unternehmens speichert und verarbeitet. Der DPA regelt, wie der Cloud-Dienstleister diese Daten im Auftrag des E-Commerce-Unternehmens verarbeiten darf, welche Sicherheitsvorkehrungen getroffen werden müssen und wie er auf Anfragen von Kunden reagiert.

Fazit:

Ein Data Processing Agreement (DPA) ist ein wichtiges rechtliches Instrument, das die datenschutzrechtliche Verantwortung zwischen dem Datenverantwortlichen und dem Auftragsverarbeiter klar regelt. Es stellt sicher, dass personenbezogene Daten gemäß den geltenden Datenschutzgesetzen verarbeitet werden und schützt sowohl die betroffenen Personen als auch die beteiligten Unternehmen vor rechtlichen Konsequenzen.

Wir sind darum bemüht die angebotenen Informationen aktuell zu halten und diese in knapper und verständlicher Form darzustellen. Fehler und Irrtümer bleiben aber menschlich und darum vorbehalten. Bei Unstimmigkeiten zu einem Begriff, bitten wir darum dies per E-Mail mit uns zu diskutieren. Bitte nutze hierfür unsere E-Mail: info@jupiterexpress.de« Zurück zum Glossar Index