Was ist eine Datenverarbeitungsvereinbarung (DPA)?​​ 

Wichtigste Erkenntnisse​​ 

• Was sind DPAs: Datenverarbeitungsvereinbarungen (DPAs) definieren, wie Verantwortliche und Verarbeiter mit personenbezogenen Daten umgehen, einschließlich Sicherheit, Vertraulichkeit und der Rolle jeder Partei.​​ 
• Wenn ein DPA erforderlich ist: Unternehmen benötigen eine DPA, wenn ein Drittanbieter personenbezogene Daten in ihrem Namen verarbeitet.​​ 
• Warum DPAs wichtig sind: DPAs helfen Unternehmen, Erwartungen an die Datenverarbeitungsbeziehung zu setzen.​​ 
• Compliance-Überlegungen: Globale Unternehmen müssen Datenschutzgesetze, einschließlich der Datenschutz-Grundverordnung, berücksichtigen, wenn sie Beziehungen zu Drittanbietern verwalten, die personenbezogene Daten verarbeiten​​ 

Wenn Ihr Unternehmen in neue Märkte expandiert, werden Sie wahrscheinlich mit einer wachsenden Zahl von Drittanbietern zusammenarbeiten, die Ihre Abläufe unterstützen. Diese Beziehungen beinhalten den Zugang zu persönlichen Daten, daher ist es wichtig zu verstehen:​​ 

• • wer Zugang zu diesen Informationen haben kann.​​ 
  • Wie Dritte sie verarbeiten​​ 
  • Welche Schutzmaßnahmen gibt es, um sie zu schützen​​ 

Eine Datenverarbeitungsvereinbarung (DPA) hilft dabei, Erwartungen zwischen Datenverantwortlichen und Prozessoren festzulegen. Dieser rechtliche und bindende Vertrag legt fest, wie die Parteien mit personenbezogenen Daten umgehen, einschließlich des Verarbeitungsumfangs, der Sicherheitsmaßnahmen und der Pflichten, denen jede Partei folgen muss.​​ 

Während viele DPAs mit der EU-Datenschutz-Grundverordnung (Datenschutz-Grundverordnung) in Verbindung bringen, können andere Datenschutzgesetze weltweit ähnliche Anforderungen zum Schutz und zur Verwaltung personenbezogener Daten enthalten. Zu verstehen, wann Sie einen DPA benötigen, kann Ihrem Unternehmen helfen, stärkere Datenschutzstrategien zu entwickeln und Ihre Datenschutzverpflichtungen in den Regionen, in denen Sie tätig sind, zu unterstützen. In diesem Leitfaden erfahren Sie, was eine DPA ist, was sie beinhaltet, wann Sie eine benötigen und mehr.​​ 

Was ist eine Datenverarbeitungsvereinbarung?​​ 

Ein DPA ist ein rechtlicher Vertrag zwischen Datenverantwortlichen und Datenverarbeitern, der festlegt, wie personenbezogene Daten behandelt werden. Sie erklärt die Verantwortlichkeiten jeder Partei, darunter:​​ 

• Die Arten personenbezogener Daten, auf die der Bearbeiter zugreifen kann: Ein DPA identifiziert die Informationen, die in der Verarbeitungsbeziehung beteiligt sind, und legt fest, wie der Bearbeiter diese verwenden darf.​​ 
• Die Sicherheitsmaßnahmen, die der Prozessor befolgen muss: Vereinbarungen können Anforderungen zum Schutz von Daten festlegen, wie Vertraulichkeitspraktiken, Zugangskontrollen und andere Schutzmaßnahmen.​​ 
• Die Aufgaben beider Parteien: Ein DPA legt klare Erwartungen für jede Partei während der gesamten Bearbeitungsbeziehung fest, einschließlich solcher in Bezug auf Sicherheit, Vertraulichkeit und Compliance.​​ 

Unternehmen nutzen DPAs, wenn sie mit Drittanbietern zusammenarbeiten, die personenbezogene Daten in ihrem Namen verarbeiten, verschiedene Geschäftsbetriebe unterstützen und Zugang zu personenbezogenen Daten benötigen. Beispiele sind:​​ 

• PERSONALTECHNOLOGIE: PERSONAL-RESSOURCEN-Plattformen verarbeiten Informationen zu TEAM-Mitgliedern, Kandidaten und Belegschaftsmanagement-Aktivitäten.​​ 
• E-Mail-Management-Outsourcing: E-Mail-Anbieter können Kontaktinformationen und Mitteilungen verarbeiten.​​ 
• Finanzbuchhaltung: Buchhaltungsplattformen und Anbieter können auf Finanzunterlagen, Mitarbeiter und andere Geschäftsdaten zugreifen und gleichzeitig die Finanzabläufe unterstützen.​​ 
• Datenerhebung oder Digitalisierung: Externe Anbieter können dabei helfen, Daten zu sammeln, zu organisieren oder in zugänglichere digitale Formate umzuwandeln.​​ 
• Cloud-Speicherung: Cloud-Anbieter können persönliche Daten und Geschäftsbackups im Auftrag von Unternehmen speichern und müssen vereinbarte Sicherheitsanforderungen einhalten, um diese Informationen zu schützen.​​ 
• Lohnabrechnungsunterstützung: Lohnabrechnungsanbieter verarbeiten sensible Steuer- und Abfindung-Informationen, die zur Unterstützung von Zahlungs- und Mitarbeiteraktivitäten benötigt werden.​​ 
• Customer Relationship Management (CRM)-Plattformen: CRM-Anbieter können Kunde-Informationen verarbeiten, um Vertrieb, Service und Kommunikation zu unterstützen.​​ 

Ein DPA schafft ein gemeinsames Verständnis dafür, wie Bearbeitungsaktivitäten ablaufen werden. Sie kann den Umfang der Beziehung bestimmen, Sicherheitsanforderungen festlegen und klarstellen, wie jede Organisation mit ihren Datenschutzverpflichtungen umgehen sollte.​​ 

Warum sind DPAs wichtig?​​ 

Ein DPA hilft Unternehmen, besser zu verstehen, wie Parteien Daten teilen, und legt eine Verantwortlichkeit für deren Schutz fest. Indem Verantwortlichkeiten vor Beginn einer Beziehung zwischen Controller und Bearbeiter festgelegt werden, schaffen Unternehmen eine stärkere Grundlage für das Management von Datenschutzanforderungen und zur Verringerung von Unsicherheiten.​​  

Eine DPA kann Unternehmen helfen, bei ihrer Expansion über Grenzen hinweg effizienter zu arbeiten, indem sie einheitliche Erwartungen daran schaffen, wie Dritte mit personenbezogenen Daten umgehen. Anstatt die umfassenderen Datenschutz- und Compliance-Pflichten eines Unternehmens zu ersetzen, ist ein DPA ein Teil eines umfassenderen Ansatzes zum Schutz personenbezogener Daten.​​ 

Wie Datenschutz-Grundverordnung Datenverarbeitungsvereinbarungen beeinflusst​​ 

Die Datenschutz-Grundverordnung der EU legt großen Wert auf DPAs, indem sie spezifische Anforderungen an Vereinbarungen zwischen Datenverantwortlichen und Datenbearbeitern festlegt. Nach Artikel 28 der Datenschutzgrundverordnung müssen Verantwortliche mit Verarbeitern zusammenarbeiten, die ausreichende Garantien zum Schutz der Daten geben, und Verträge aufstellen, die Verantwortlichkeiten beider Parteien regeln.​​ 

Diese Anforderungen gelten, wenn die Datenschutz-Grundverordnung Bearbeitungstätigkeiten abdeckt. Obwohl die Datenschutz-Grundverordnung aus der EU stammt, kann sie auch in Situationen angewendet werden, in denen Unternehmen außerhalb der EU personenbezogene Daten von Personen in der Region verarbeiten.​​ 

Datenverarbeitungsvereinbarungen auf der globalen Bühne​​ 

Die Datenschutz-Grundverordnung gehört zu den weltweit am weitesten anerkannten Datenschutzrahmen. Unternehmen müssen ähnliche vertragliche Verpflichtungen berücksichtigen, wenn sie mit Drittanbietern zusammenarbeiten, die personenbezogene Daten verarbeiten, auch wenn diese nicht innerhalb der EU tätig sind. Datenschutzgesetze variieren je nach Land, und die Verpflichtungen einer Organisation hängen von folgenden ab:​​ 

• • wo sie operiert​​ 
  • dessen Daten verarbeitet werden​​ 
  • Welche Dienstleistungen es erbringt​​ 

Zu wissen, wann Ihr Unternehmen eine DPA benötigt, kann Ihnen helfen, klarere Prozesse zum Schutz personenbezogener Daten zu schaffen und Ihre Datenschutzanforderungen zu unterstützen, egal wo Sie tätig sind.​​ 

Wann ist eine Datenverarbeitungsvereinbarung erforderlich?​​ 

DPAs sind notwendig, wann immer eine Organisation personenbezogene Daten im Auftrag einer anderen verarbeitet. Nach der Datenschutz-Grundverordnung benötigen Unternehmen eine DPA, wenn die Weitergabe personenbezogener Daten eine Beziehung zwischen Verantwortlichem und Bearbeiter begründet. In diesen Situationen hilft die Vereinbarung dabei, Folgendes zu definieren:​​ 

• • Wie ein Anbieter die Informationen nutzen kann​​ 
  • Welche Schutzmaßnahmen gelten​​ 
  • Wie beide Parteien die Vereinbarung angehen sollten.​​ 

Einige häufige Beispiele, bei denen Unternehmen eine DPA benötigen, sind:​​ 

• • Ein Lohnabrechnungsanbieter​​ 
  • eine PERSONALPLATTFORM​​ 
  • Cloud-Speicher​​ 
  • andere Technologieanbieter, die Mitarbeiter-, Kunden- oder Geschäftsdaten verarbeiten können.​​ 

Das DPA legt klare Erwartungen fest, bevor die Bearbeitung beginnt.​​ 

Wann ist eine Datenverarbeitungsvereinbarung nicht erforderlich?​​  

Nicht jede Beziehung, die personenbezogene Daten betrifft, benötigt eine DPA. Häufige Szenarien sind:​​ 

• Unabhängige Controller: Unabhängige Dritte können feststellen, wie und warum sie personenbezogene Daten verarbeiten. Das bedeutet, dass sie unter eigenen Datenschutzpflichten agieren und nicht als Verarbeiter fungieren.​​ 
• Professionelle Dienstleister: Bestimmte Anbieter, einschließlich derjenigen, die rechtliche, buchhalterische und finanzielle Beratungsdienste anbieten, haben je nach Art ihres Geschäfts getrennte Vertraulichkeits- und Datenschutzpflichten.​​ 
• Begrenzte Datenzugriffsbeziehungen: Ein Anbieter kann zufällig auf Daten zugreifen, ohne sie im Auftrag einer anderen Organisation zu verarbeiten.​​ 
• Öffentliche Behörden und Regulierungsbehörden: Unternehmen, die Daten aus eigener rechtlicher Kraft verarbeiten, dürfen nicht als Verarbeiter agieren und benötigen keinen DPA.​​ 

Wenn Sie entscheiden, ob Sie eine DPA benötigen, beachten Sie:​​ 

• • der den Zweck der Verarbeitung bestimmt​​ 
  • wer auf die Informationen zugreift​​ 
  • Welche Rolle jede Organisation in der Beziehung spielt​​ 

Verständnis der Rollen in einem Datenverarbeitungsvertrag​​ 

Bei einer DPA spielen zwei Parteien unterschiedliche Rollen: der Datenverantwortliche und der Datenverarbeiter. Das Verständnis des Unterschieds zwischen ihnen kann Ihnen helfen, die Pflichten jeder Partei zu bestimmen, wenn persönliche Daten zwischen zwei Unternehmen übertragen werden.​​ 

Was ist ein Datencontroller?​​ 

Ein Datencontroller ist eine Organisation, die bestimmt, warum und wie Daten verarbeitet werden. Es ist die Partei, die entscheidet:​​ 

• • Welche Informationen es sammelt​​ 
  • Warum es es sammelt​​ 
  • wie der Prozessor die Daten in seinem Auftrag nutzen kann​​ 

Angenommen, Ihr Unternehmen handelt als Datenverantwortlicher, wenn es persönliche Informationen von Kunden, TEAM-Mitgliedern oder anderen Parteien sammelt, um Geschäftsaktivitäten zu unterstützen. Wenn Sie mit einem Drittanbieter zusammenarbeiten, um diese Informationen zu verarbeiten, stellt Ihr Unternehmen fest, warum der Anbieter sie verarbeitet.​​ 

Was ist ein Datenprozessor?​​ 

Ein Prozessor ist die Organisation, die persönliche Daten im Namen des Verantwortlichen verarbeitet. Sie bestimmt nicht den Zweck der Verarbeitung oder wie die Daten über die Anweisungen des Verantwortlichen hinaus verwendet werden. Sie muss den spezifischen Anweisungen des Controllers zur Verarbeitung folgen.​​ 

Ein Datenprozessor kann Folgendes umfassen:​​  

• • Technologieanbieter​​ 
  • Cloud-Service-Unternehmen​​ 
  • Gehaltsabrechnungsplattformen​​ 
  • Andere Anbieter, die persönliche Daten bei der Erbringung einer Dienstleistung verarbeiten​​ 

Ihre Arbeit besteht darin, explizite Bearbeitungsanweisungen zu befolgen und dabei angemessene Schutzmaßnahmen zu gewährleisten.​​ 

Was beinhaltet eine Datenverarbeitungsvereinbarung?​​ 

Ein DPA definiert klar, wie Unternehmen mit personenbezogenen Daten umgehen, wenn ein Verantwortlicher mit einem Bearbeiter zusammenarbeitet. Die genauen Details können je nach geltenden Datenschutzgesetzen variieren. Die meisten DPAs befassen sich mit zentralen Bereichen der Datenverarbeitung, Sicherheitsmaßnahmen und Parteiverantwortlichkeiten.​​ 

1. Details zu Datenverarbeitungsaktivitäten​​ 

DPAs helfen beiden Parteien zu verstehen, welche Informationen Teil der Vereinbarung sind und wie Bearbeiter sie nutzen können. Die Vereinbarung erklärt den Umfang der Verarbeitungsbeziehung und legt fest, was der Bearbeiter mit den betreffenden Daten tun darf.​​ 

Zu den Details gehören:​​ 

• • Arten von personenbezogenen Daten, die verarbeitet werden können​​ 
  • Die Kategorien der Personen, deren Informationen verarbeitet werden​​ 
  • Zweck und Art der Verarbeitungsaktivitäten​​ 
  • Die Gesamtdauer der Verarbeitungsbeziehung​​ 
  • Klare Anweisungen, wie der Prozessor die Daten verwenden kann​​ 
  • Anforderungen für die Rückgabe oder Löschung personenbezogener Daten nach Ende der Beziehung.​​ 

Die Dokumentation dieser Details hilft Unternehmen, Erwartungen zu etablieren, bevor die Bearbeitung beginnt. Die Parteien können die Details als Bezugspunkt während der Beziehung nutzen.​​ 

2. Rechte, Pflichten und Bearbeitungsanweisungen​​ 

Vereinbarungen müssen festlegen, was jede Partei bei der Verarbeitung personenbezogener Daten tun muss. Controller geben Anweisungen, denen Prozessoren folgen müssen. Prozessoren müssen vereinbarte Verarbeitungsaktivitäten durchführen. Ein DPA muss festlegen, dass der Controller, nicht der Prozessor, die Kontrolle über die Daten und deren Geschehnisse behält.​​ 

DPAs können Folgendes behandeln:​​  

• • Die Anweisungen des Controllers, wie der Prozessor Daten verwenden muss​​ 
  • Die Aufgaben des Prozessors bei der Durchführung von Verarbeitungsaktivitäten​​ 
  • Der Kontrolleur hat das Recht, Informationen über Aktivitäten einzuholen​​ 
  • Die Pflichten jeder Partei bezogen sich auf Datenschutz, Sicherheit und Einhaltung​​ 

Wenn ein DPA richtig vorbereitet ist, kann er beiden Parteien helfen, ihre jeweiligen Verpflichtungen zu verstehen und Verwirrungen zu vermeiden.​​ 

3. Vertraulichkeit und Sicherheit​​ 

Bestimmungen zur Vertraulichkeit und Sicherheitsmaßnahmen können Erwartungen zum Schutz personenbezogener Daten setzen. Ein DPA muss festlegen, welche Maßnahmen ein Prozessor anwenden wird.​​ 

Je nach den beteiligten Dienstleistungen können relevante Maßnahmen Folgendes umfassen:​​ 

• • Umsetzung von Vertraulichkeitsvereinbarungen für Personen, die auf die Daten zugreifen​​ 
  • Strenge Zugriffskontrollen, die einschränken, wer die Informationen einsehen kann​​ 
  • Datenverschlüsselung und Pseudonymisierungspraktiken​​ 
  • Prozesse, die Datenverfügbarkeit, Resilienz und Wiederherstellung unterstützen​​ 
  • Routinemäßige Überprüfungen und Sicherheitstests​​ 

Die spezifischen Maßnahmen, die in einer DPA enthalten sind, sollten die Art der betreffenden Informationen und das mit der Bearbeitung verbundenen Risiken widerspiegeln.​​ 

4. Anforderungen an Subprozessoren​​ 

Einige Prozessoren arbeiten mit anderen Anbietern zusammen, um ihre Dienstleistungen zu unterstützen. Diese Unternehmen, die als Subprozessoren bekannt sind, müssen möglicherweise zusätzliche Anforderungen erfüllen. Ein DPA muss Anweisungen zur Verwaltung dieser Beziehungen enthalten und alle zusätzlichen Regeln abdecken, die gelten, wenn eine andere Organisation personenbezogene Daten verarbeitet.​​ 

Subprozessor-Bestimmungen umfassen:​​ 

• • Ob Prozessoren eine Genehmigung benötigen, bevor sie mit Subprozessoren zusammenarbeiten​​ 
  • Verpflichtungen, die für Subprozessoren gelten, wenn sie Daten verarbeiten​​ 
  • Wie Prozessoren die Einhaltung von Subprozessoren überwachen​​ 
  • Wie Prozessoren Änderungen an Subprozessoren kommunizieren​​ 

Klare Anforderungen an Subprozessoren geben den Controllern mehr Einblick darin, wie persönliche Daten über ein breiteres Netzwerk von Dienstleistern hinweg transportiert werden.​​ 

Unterstützung für Datenschutz- und Compliance-Verpflichtungen​​ 

Abschließend muss ein DPA erklären, wie ein Bearbeiter die Datenschutzpflichten eines Verantwortlichen unterstützen kann. Prozessoraktivitäten, die sich auf Unterstützung konzentrieren, könnten gehören:​​ 

• • Unterstützung bei Datenschutz-Folgenabschätzungen​​  
  • Unterstützung von Antworten auf Anfragen von Betroffenen​​ 
  • Bereitstellung von Informationen, die für Compliance-Überprüfungen und Audits benötigt werden​​ 
  • Unterstützung bei der Breach Response​​ 
  • Führen von Aufzeichnungen über Bearbeitungsaktivitäten, wann immer dies anwendbar ist.​​ 

Die frühzeitige Definition dieser Details kann Unternehmen helfen, schneller und effektiver zu reagieren, falls Datenschutz- oder Sicherheitsbedenken auftreten.​​ 

Was geschieht nach einer Datenschutzverletzung im Rahmen einer Datenschutzvereinbarung?​​ 

Wenn eine Datenschutzpanne wahrscheinlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, müssen die beteiligten Unternehmen konkrete, sofortige Maßnahmen ergreifen. Unternehmen müssen die zuständige Aufsichtsbehörde innerhalb 72 Stunden nach Kenntnis der Verletzung benachrichtigen.​​ 

Wenn die Sicherheitslücke ein hohes Risiko darstellt, müssen Unternehmen auch diese Personen benachrichtigen. Wenn das Unternehmen bereits effektive technische und organisatorische Risikominderungsprotokolle hat, ist eine Benachrichtigung nicht erforderlich.​​ 

Angenommen, ein Unternehmen nutzt einen Drittanbieter, um Kunde-Informationen zu speichern. Wenn der Anbieter (Prozessor) einen Sicherheitsvorfall erlebt, der personenbezogene Daten offenlegt, muss der Anbieter das Unternehmen (den Verantwortlichen) informieren, damit die Organisation die Sicherheitslücke bewerten und die entsprechenden nächsten Schritte festlegen kann.​​  

Je nach Umständen muss das Unternehmen Aufsichtsbehörden, betroffene Personen oder beides benachrichtigen. Die Antwort kann von Faktoren abhängen wie:​​ 

• • Beteiligte Informationen​​ 
  • Anzahl der Betroffenen​​ 
  • bereits bestehende Schutzmaßnahmen​​ 

Welche Risiken bestehen darin, die DPA-Anforderungen nicht zu erfüllen?​​ 

1. Wenn Datenschutzgesetze von Unternehmen verlangen, eine Datenverarbeitungsvereinbarung zu haben, kann das Nichteinrichten einer solchen Compliance Risiken verursachen. Nach Datenschutz-Grundverordnung können Verantwortliche und Verarbeiter Strafen beantragen, wenn sie Datenschutzverpflichtungen nicht erfüllen, einschließlich Anforderungen im Zusammenhang mit Vereinbarungen zwischen Verantwortlichen und Bearbeitern.​​ 
2. Wenn eine Datenpanne eintritt und die Regulierungsbehörden feststellen, dass eine Organisation nicht konform war, können sie Durchsetzungsmaßnahmen ergreifen. Mögliche Maßnahmen können umfassen:​​ 
   
   • • Eine formelle Verwarnung oder Rüge​​ 
     • Vorübergehende oder dauerhafte Beschränkungen der Datenverarbeitung​​ 
     • Verwaltungsstrafen von bis zu 20 Millionen Euro oder 4% des gesamten jährlichen weltweiten Umsatzes des Unternehmens, je nachdem, welcher Wert höher ist,​​ 
3. Die spezifischen Konsequenzen hängen von der Art der Verletzung, den Auswirkungen auf die betroffenen Personen und der Reaktion der Organisation ab. In jedem Fall kann Nichteinhaltung operative und reputationsbezogene Herausforderungen schaffen.​​ 

Das Management von DPAs über mehrere Anbieter, Jurisdiktionen und interne Teams hinweg kann für wachsende Unternehmen zusätzliche administrative Herausforderungen schaffen.​​ 

Ohne klare Aufsicht haben viele Schwierigkeiten, Lücken in ihren Datenschutzpraktiken zu erkennen und schnell zu reagieren, wenn Datenschutzprobleme auftreten.​​ 

Die Etablierung eines strukturierten Ansatzes bei Datenverarbeitungsvereinbarungen kann Unternehmen helfen, die Sichtbarkeit zu verbessern, konsistent zu bleiben und verantwortungsvolles Wachstum über Grenzen hinweg zu unterstützen.​​ 

Globale Teams mit G-P aufbauen​​ 

Wenn Sie international Teams aufbauen, ist Datenschutz ein wichtiger Aspekt. Arbeiten Sie mit G-P zusammen, um Ihre grenzüberschreitenden Beschäftigungsbedürfnisse zu unterstützen. Unsere Global Beschäftigungsplattform™ (Globale Beschäftigungsplattform) unterstützt Unternehmen dabei, Fachkräfte weltweit einzustellen, einzuarbeiten, zu managen und zu bezahlen, während sie die Beschäftigungsanforderungen erfüllen.​​  

Die richtigen Prozesse und das richtige Fachwissen können Ihrer Organisation helfen, Datenschutzaspekte zu bewältigen, während Sie wachsen. Als globaler Employer of Record hilft G-P Ihnen, Talente in 180+ Ländern zu aktivieren und zu bezahlen, ohne lokale Unternehmen einzurichten. Wir nehmen Datenschutz ernst und unterstützen Unternehmen wie Ihres dabei, international Arbeitsprozesse zu unterstützen und lokale Arbeitsanforderungen zu managen.​​ 

Bei G-P helfen wir Ihnen, Ihre Einstellungsprozesse zu optimieren, indem wir Technologie mit menschlicher Expertise kombinieren. Mit unserer Global Employment Platform™ (Globale Beschäftigungsplattform) können Sie Ihre neuen TEAM-Mitglieder effizienter aktivieren und einarbeiten, was Zeit spart und Ihren Ansatz für Wachstum vereinfacht.​​ 

Fordern Sie noch heute ein Angebot an oder kontaktieren Sie uns , um zu erfahren, wie G-P Ihre globale Einstellungsstrategie unterstützen kann.​​ 

FAQ – Häufig gestellte Fragen​​