DPA-Vorlage

Eine DPA-Vorlage ist eine vorgefertigte Vorlage für einen Datenverarbeitungsvertrag (Auftragsverarbeitungsvertrag), der die DSGVO-Verpflichtungen zwischen dem für die Verarbeitung Verantwortlichen und dem Auftragsverarbeiter festlegt. Das Dokument regelt, wer bei der Verarbeitung personenbezogener Daten wofür verantwortlich ist, welche Sicherheitsmaßnahmen gelten und was im Falle einer Datenverletzung geschieht. Für KMU, die mit externen Anbietern wie Hosting-Partnern, Marketing-Agenturen oder CRM-Systemen zusammenarbeiten, ist eine DPA-Vorlage eine praktische Grundlage, um Vereinbarungen schnell und rechtsgültig zu treffen, ohne jedes Mal juristischen Rat einholen zu müssen.

Wie eine DPA-Vorlage aufgebaut ist

Eine gute DPA-Vorlage enthält Standardklauseln, die mit Artikel 28 DSGVO übereinstimmen. Dieser besagt, dass ein Auftragsverarbeiter nur auf Anweisung des für die Verarbeitung Verantwortlichen handeln darf, angemessene Sicherheitsmaßnahmen ergreifen muss und personenbezogene Daten nicht ohne Schutzmaßnahmen in Länder außerhalb der EU übermitteln darf. Die Vorlage enthält in der Regel Ausfüllfelder für den Namen beider Parteien, die Kategorien der zu verarbeitenden personenbezogenen Daten, den Zweck der Verarbeitung und die Aufbewahrungsfrist. Sie regelt auch die Rechte der betroffenen Personen, Prüfungsrechte und die Haftung für Zwischenfälle. Indem Sie diese Elemente im Voraus strukturieren, müssen Sie nicht bei jedem neuen Lieferanten wieder bei Null anfangen.

Warum die DSGVO eine Auftragsverarbeitungsvereinbarung erfordert

Seit Mai 2018 schreibt die DSGVO vor, dass ein Datenverantwortlicher nur mit Auftragsverarbeitern arbeiten darf, die ausreichende Garantien bieten und dies vertraglich festlegen. Ohne eine schriftliche Vereinbarung riskieren Sie ein Bußgeld der Datenschutzbehörde, vor allem aber haben Sie keinen rechtlichen Rahmen für das Management von Sicherheit, Transparenz und den Umgang mit Vorfällen. In der Praxis stellen wir fest, dass KMUs oft erst dann eine DPA abschließen, wenn ein Buchhalter oder ISO-Auditor sie dazu auffordert. Eine DPA-Vorlage macht den Prozess zugänglicher, da Sie nicht jedes Mal für Standardsituationen wie E-Mail-Marketing oder Cloud-Speicherung Anwaltskosten aufbringen müssen.

Was eine DPA-Vorlage für KMU bringt

Met een DPA Template kun je sneller starten met nieuwe tools en leveranciers zonder compliance-risico. Je vult de specifieke gegevens in, stuurt het document naar de verwerker en hebt binnen enkele dagen een getekende overeenkomst. Dat versnelt projecten en voorkomt dat je weken wacht op juridische afstemming. Daarnaast biedt het template duidelijkheid naar klanten en toezichthouders: je kunt aantonen dat je de privacy-eisen serieus neemt en dat je leveranciers contractueel gebonden zijn aan dezelfde normen. Voor bedrijven die werken met gevoelige gegevens zoals gezondheidsdata of financiële informatie is een degelijk DPA Template onderdeel van een bredere AI Governance-aanpak of privacy-framework. De Autoriteit Persoonsgegevens biedt voorbeeldclausules op autoriteitpersoonsgegevens.nl die je als basis kunt gebruiken.

In der Praxis erweist sich eine DPA-Vorlage vor allem bei wiederkehrenden Kooperationen mit SaaS-Anbietern, Hosting-Partnern und Marketing-Agenturen als nützlich. Im Folgenden werden vier konkrete Situationen genannt, in denen eine Vorlage Zeit spart und Rechtssicherheit bietet, gefolgt von einem Entscheidungskriterium, wann eine Standardvorlage ausreicht und wann nicht.

Zusammenarbeit mit Cloud-Hosting- und SaaS-Plattformen

Wenn Ihre Website bei einem Hoster wie z. B. WordPress-Hosting läuft oder Sie CRM-Daten in einem Cloud-Tool speichern, verarbeitet dieser Anbieter personenbezogene Daten in Ihrem Namen. Denken Sie an IP-Adressen, Kontaktdaten oder Anmeldedaten. Eine DPA-Vorlage regelt dann, wer für Backups, Verschlüsselung und Zugriffskontrolle verantwortlich ist. Im Falle eines Datenlecks wissen Sie genau, innerhalb welcher Zeitspanne der Anbieter Sie informieren muss und welche Maßnahmen er ergreifen muss. Für einen Webshop mit 500 Kunden oder einen B2B-Dienstleister mit 1.200 Leads in einem CRM-System ist dies eine grundlegende Hygieneanforderung. Ohne DPA laufen Sie Gefahr, dass die Behörde für personenbezogene Daten Sie für die Unzulänglichkeiten des Lieferanten haftbar macht.

E-Mail-Marketing und Marketingautomatisierung

Tools zoals ActiveCampaign, Mailchimp of HubSpot verwerken e-mailadressen, klikgedrag en profieldata. Als verwerkingsverantwoordelijke blijf jij verantwoordelijk voor rechtmatige verwerking, ook al stuurt de tool de e-mails. Een DPA Template legt vast dat de leverancier geen data mag gebruiken voor eigen doeleinden, dat hij persoonsgegevens verwijdert na beëindiging van het contract en dat hij subverwerkers alleen inzet met jouw toestemming. In de praktijk merken we dat MKB-bedrijven dit vaak over het hoofd zien totdat een klant een verzoek indient op basis van artikel 15 AVG en blijkt dat de marketingtool geen duidelijke afspraken heeft over gegevensuitwisseling. Een vooraf getekend DPA voorkomt die verwarring.

Zusammenarbeit mit Webdesignern und Entwicklungsagenturen

Wenn Sie eine externe Agentur mit Webdesigner, Wartung oder Webentwicklung beauftragen, erhält diese Agentur oft Zugang zu Ihrer Datenbank, Ihren Analysekonten oder Nutzerdaten. Selbst wenn die Agentur nur technische Arbeiten durchführt, verarbeitet sie personenbezogene Daten, sobald sie Zugriff auf Logdateien oder Kontaktformulare hat. Eine DPA-Vorlage stellt sicher, dass die Agentur keine Daten in ihre eigenen Systeme kopiert, dass die Zugriffsrechte nach der Übergabe widerrufen werden und dass die Agentur Sie im Falle eines Sicherheitsvorfalls unverzüglich informiert. Für Unternehmen, die mit mehreren Freiberuflern oder Agenturen zusammenarbeiten, erspart eine Standard-DPA wochenlangen E-Mail-Verkehr und rechtliche Abstimmungen.

Einsatz von KI-Tools und Automatisierungsplattformen

Plattformen wie n8n, Zapier oder Make verbinden verschiedene Systeme, die häufig personenbezogene Daten wie Namen, E-Mail-Adressen oder Kaufhistorie verarbeiten. Wenn Sie einen KI-Agenten einsetzen, der Kundenfragen beantwortet oder Bestellungen bearbeitet, verarbeitet dieser Agent personenbezogene Daten in Ihrem Namen. Eine DPA-Vorlage definiert, welche Daten das KI-Tool verwenden darf, wie lange die Daten aufbewahrt werden und ob der Anbieter die Daten für das Modelltraining verwenden darf. Besonders in sensiblen Bereichen wie dem Gesundheitswesen, Finanzdienstleistungen oder der Rechtsberatung ist dies eine harte Anforderung. Ohne DPA riskieren Sie, dass Kundendaten versehentlich in den Trainingsdaten eines KI-Modells landen.

Wann eine DPA-Vorlage die richtige Wahl ist und wann nicht

Eine Standard-DPA-Vorlage reicht für die meisten KMU-Situationen aus, wenn Sie mit seriösen SaaS-Anbietern oder Agenturen innerhalb der EU zusammenarbeiten. Sie eignet sich gut für geringe bis mittlere Risiken und Standardverarbeitungen wie E-Mail-Marketing, Hosting oder CRM. Eine Vorlage reicht nicht aus, wenn Sie besondere personenbezogene Daten wie Gesundheitsdaten oder strafrechtliche Daten verarbeiten oder wenn Sie Daten ohne Angemessenheitsbeschluss in Länder außerhalb der EU übermitteln. In diesen Fällen sind individuelle Anpassungen erforderlich, z. B. mit zusätzlichen Klauseln zur Verschlüsselung, Pseudonymisierung oder Standardvertragsklauseln. Auch bei komplexen Unterverarbeitungsketten oder bei Lieferanten, die ihrerseits Dutzende von Unterauftragnehmern einsetzen, erfordert eine Datenschutzbehörde eine rechtliche Prüfung.