Der Auftragsverarbeitungsvertrag ist das DSGVO-Dokument, das ein Softwareunternehmen am häufigsten unterzeichnet und am seltensten liest. Jeder Kunde, der personenbezogene Daten in das Produkt gibt, ist Verantwortlicher, und Artikel 28 Absatz 3 sagt, dass seine Verarbeitung durch Sie auf Grundlage eines Vertrags mit festem Inhalt erfolgt: Gegenstand und Dauer, Art und Zweck, die Art der personenbezogenen Daten und die Kategorien betroffener Personen, die Pflichten und Rechte des Verantwortlichen, und acht Zusagen des Auftragsverarbeiters. Der Wortlaut unterscheidet sich von Kunde zu Kunde; die acht Bedingungen nicht. Dieser Artikel liest sie aus Sicht des Anbieters und gibt Ihnen die Checkliste, die sie verfolgt, Vertrag für Vertrag.

Vor den acht Bedingungen: wer unterzeichnet, und was Artikel 28 zuerst verlangt

Artikel 28 Absatz 1 lässt einen Verantwortlichen nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. Dieser Satz ist der Grund, warum der Sicherheitsfragebogen des Kunden vor dem Vertrag eintrifft: die Garantien sind das, wonach der Fragebogen fragt, und ein ISO-27001-Zertifikat mit einem Geltungsbereich, der das Produkt abdeckt, ist die kürzeste Antwort darauf.

Artikel 28 Absatz 2 ist die Regel für Unterauftragsverarbeiter. Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch; bei einer allgemeinen Genehmigung informiert der Auftragsverarbeiter den Verantwortlichen über jede beabsichtigte Änderung und gibt ihm die Möglichkeit, Einspruch zu erheben. Für ein SaaS-Unternehmen ist das die Liste der Unterauftragsverarbeiter auf der Website und die Ankündigungsfrist im Vertrag, und dort beginnen die meisten Verhandlungen. Artikel 28 Absatz 4 verlangt dann, dass dieselben Datenschutzpflichten vertraglich an jeden Unterauftragsverarbeiter weitergegeben werden, und macht den ersten Auftragsverarbeiter gegenüber dem Verantwortlichen voll haftbar für die Leistung des Unterauftragsverarbeiters.

Artikel 28 Absatz 7 erlaubte der Kommission, Standardvertragsklauseln für den Vertrag selbst festzulegen; sie tat es am 4. Juni 2021, und ein Anbieter kann sie anbieten, statt selbst zu formulieren. Artikel 28 Absatz 10 ist die Falle am Rand: ein Auftragsverarbeiter, der die Zwecke und Mittel einer Verarbeitung bestimmt, gilt für diese als Verantwortlicher, ein Anbieter, der Kundendaten für seine eigene Produktanalytik auswertet, hat für diese Nutzung also die Rolle des Auftragsverarbeiters verlassen.

Die acht Bedingungen von Artikel 28 Absatz 3, aus Sicht des Anbieters

(a) Dokumentierte Weisung. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Verantwortlichen, Übermittlungen in ein Drittland eingeschlossen, sofern nicht das Recht der Union oder der Mitgliedstaaten etwas anderes verlangt; dann informiert er den Verantwortlichen vorher. Für ein SaaS sind die Weisungen der Vertrag, das Bestellformular und die Konfiguration des Produkts; die Bedingung ist der Grund, warum die Admin-Einstellungen des Kunden ein Rechtsdokument sind.

(b) Vertraulichkeit. Die zur Verarbeitung befugten Personen haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht. Arbeitsverträge und Vereinbarungen mit Dienstleistern sind der Nachweis, und die Onboarding-Aufzeichnung ist der Ort, an dem ein Auditor nachsieht.

(c) Sicherheit. Der Auftragsverarbeiter ergreift alle nach Artikel 32 erforderlichen Maßnahmen: Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die Wiederherstellbarkeit und die regelmäßige Überprüfung. Das ISO-27001-System ist die Antwort auf diese Bedingung, und der Kunde wird nach dem Geltungsbereich des Zertifikats fragen, nicht nur nach seiner Existenz.

(d) Unterauftragsverarbeiter. Die Bedingungen von Artikel 28 Absatz 2 und 4 werden eingehalten: Genehmigung, Ankündigung, Weitergabe. Die Liste der Unterauftragsverarbeiter ist eine Bedingung des Vertrags, und die Ankündigungsfrist ist die Verhandlung.

(e) Unterstützung bei den Rechten der betroffenen Personen. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III. In der Praxis: die Export-, Lösch- und Berichtigungsfunktionen des Produkts und ein Support-Prozess für die Anträge, die das Produkt nicht selbst erledigen kann.

(f) Unterstützung bei den Artikeln 32 bis 36. Sicherheit, Meldung von Verletzungen, Folgenabschätzungen und vorherige Konsultation: der Auftragsverarbeiter unterstützt, unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. Der Teil zu Verletzungen ist die Frist, die der Kunde laufen lässt: Ihre Meldung an den Verantwortlichen nach Artikel 33 Absatz 2 startet seine 72 Stunden, und der Vertrag legt meist fest, wie schnell Sie sie senden.

(g) Löschung oder Rückgabe. Nach Abschluss der Erbringung der Dienstleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern nicht das Recht der Union oder der Mitgliedstaaten eine Speicherung verlangt. Die Exportfunktion, der Löschplan und die Aufbewahrung der Backups sind die drei Dinge, an denen die Bedingung hängt.

(h) Informationen und Überprüfungen. Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 erforderlich sind, und ermöglicht und trägt zu Überprüfungen bei, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Der zweite Unterabsatz von Artikel 28 Absatz 3 fügt die Pflicht hinzu, die die meisten Verträge vergessen: der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die Verordnung oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Ein Anbieter, der eine rechtswidrige Weisung annimmt, ohne es zu sagen, teilt die Haftung dafür.

Haftung und Bußgeld

Artikel 82 Absatz 2 macht einen Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden nur haftbar, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Verantwortlichen oder gegen diese Weisungen gehandelt hat, und Artikel 82 Absatz 4 macht an derselben Verarbeitung beteiligte Verantwortliche und Auftragsverarbeiter gegenüber der betroffenen Person gesamtschuldnerisch haftbar. Artikel 83 Absatz 4 Buchstabe a setzt die Bußgeldobergrenze für die Pflichten der Auftragsverarbeiter nach Artikel 28 auf EUR 10 Millionen oder 2 % des weltweiten Jahresumsatzes. Die acht Bedingungen sind das, was die Anwälte des Kunden bepreisen, wenn sie den Nachtrag schicken.

Neben den Bedingungen: die DORA-Klauseln, die ein Bankkunde schickt

Ist der Kunde eine Bank, ein Versicherer, eine Wertpapierfirma, ein Zahlungs- oder E-Geld-Institut, ein Anbieter von Krypto-Dienstleistungen oder ein Fondsverwalter, trägt derselbe Nachtrag die Vertragsklauseln nach DORA Artikel 30, in Kraft seit dem 17. Januar 2025. Die beiden Sätze überschneiden sich Bedingung für Bedingung: die DSGVO-Weisung in (a) steht neben der DORA-Leistungsbeschreibung in 30(2)(a); die Sicherheit in (c) neben 30(2)(c); die Bedingungen für Unterauftragsverarbeiter in (d) neben den Bedingungen für die Unterauftragsvergabe, die 30(2)(a) verlangt; die Unterstützung in (f) neben der Unterstützung bei Vorfällen in 30(2)(f); die Löschung oder Rückgabe in (g) neben Zugang, Wiederherstellung und Rückgabe in 30(2)(d); die Überprüfungen in (h) neben den Zugangs-, Inspektions- und Prüfungsrechten in 30(3)(e). Nur die Rechte der betroffenen Personen in (e) haben kein DORA-Gegenstück. Die Checkliste zitiert die DORA-Klausel neben jeder Bedingung, wenn Sie angeben, dass der Kunde ein Finanzunternehmen ist, und geht mit demselben Kundennamen in die DORA-Checkliste weiter, damit die Verhandlung einmal gelesen wird statt zweimal.

Es aufschreiben

Öffnen Sie den Nachtrag des Kunden neben der Checkliste, markieren Sie jede Bedingung als vereinbart, in Verhandlung oder fehlend, und notieren Sie die Klauselnummer und den Wortlaut. Das Ergebnis ist ein Dokument je Kunde zum Kopieren oder Herunterladen, und die Liste der offenen Bedingungen ist die Tagesordnung für das nächste Gespräch. Bewahren Sie es neben dem Verzeichnis der Verarbeitungstätigkeiten auf, das der Vertrag beschreibt: die Kategorien von Verarbeitungen im Verzeichnis des Auftragsverarbeiters sind die, die der Gegenstand des Vertrags nennt, und ein Kunde, der beides liest, erwartet, dass sie übereinstimmen.