.png)
Was ist Datenverarbeitung?
Wenn dein Unternehmen Cloud-Software nutzt, um mit Kunden zu kommunizieren, verarbeitest du personenbezogene Daten. Ob E-Mail-Adresse, Chat-Verlauf oder Telefonnummer – diese Informationen unterliegen strengen Datenschutzgesetzen. Es ist entscheidend, dass du deine Verpflichtungen kennst, um die gesetzlichen Vorschriften einzuhalten und das Vertrauen deiner Kunden zu stärken. Eine Datenverarbeitungsvereinbarung (DPA) ist ein wichtiges rechtliches Instrument, das festlegt, wie mit diesen Daten umgegangen wird, und sicherstellt, dass sowohl dein Unternehmen als auch deine Dienstleister in Bezug auf Sicherheit und Datenschutz auf einer Linie sind.
Zusammenfassung
Eine Datenverarbeitungsvereinbarung (DPA) ist ein gesetzlich vorgeschriebener Vertrag zwischen einem Verantwortlichen (deinem Unternehmen) und einem Auftragsverarbeiter (einem Drittanbieter wie Trengo). Darin werden die konkreten Regeln, Sicherheitsmaßnahmen und Pflichten für die Verarbeitung personenbezogener Daten in Übereinstimmung mit Vorschriften wie der DSGVO festgelegt. Diese Vereinbarung ist für jedes Unternehmen, das externe Software zur Verwaltung von Kundendaten nutzt, unverzichtbar, da sie sicherstellt, dass die Daten verantwortungsbewusst und sicher behandelt werden.
TL;DR
- Eine DPA ist gemäß der DSGVO ein gesetzlich vorgeschriebener Vertrag, wenn ein Dritter personenbezogene Daten in deinem Auftrag verarbeitet.
- Dein Unternehmen ist der „Verantwortliche“, und der Softwareanbieter (wie Trengo) ist der „Auftragsverarbeiter“.
- In der Datenschutzerklärung wird genau beschrieben, welche Daten verarbeitet werden, wie und warum das geschieht und wie lange die Daten verarbeitet werden.
- Zu den wichtigsten Klauseln gehören Sicherheitsmaßnahmen, die Meldung von Datenschutzverletzungen und der Einsatz von Unterauftragsverarbeitern.
- Wenn man ohne Datenschutzvereinbarung arbeitet, kann das zu erheblichen Geldstrafen und Reputationsschäden führen.
- Seriöse Anbieter wie Trengo stellen ihre DPA leicht zugänglich zur Verfügung, um die Einhaltung der Vorschriften zu gewährleisten.
Bevor wir die Vereinbarung verstehen können, müssen wir zunächst den Begriff „Verarbeitung“ definieren. Im Zusammenhang mit Datenschutzgesetzen ist „Datenverarbeitung“ ein extrem weit gefasster Begriff. Er bezieht sich auf jeden Vorgang oder jede Reihe von Vorgängen, die an personenbezogenen Daten durchgeführt werden, unabhängig davon, ob dies automatisiert geschieht oder nicht. Dazu gehören Handlungen wie das Erheben, Erfassen, Organisieren, Strukturieren, Speichern, Anpassen, Abrufen, Verwenden, Offenlegen durch Übermittlung, Verbreiten oder anderweitiges Zugänglichmachen, Abgleichen, Verknüpfen, Einschränken, Löschen oder Vernichten von Daten. Für ein Unternehmen, das eine moderne Kundenservice-Plattform nutzt, deckt dies nahezu jede Interaktion ab. Praktische Beispiele für Datenverarbeitung sind: das Speichern des Namens und der E-Mail-Adresse eines Kunden in einem gemeinsamen Posteingang, das Protokollieren eines Chat-Verlaufs eines Website-Besuchers oder das Speichern einer Telefonnummer aus einer WhatsApp-Unterhaltung. Diese alltäglichen Aktivitäten sind allesamt Formen der Datenverarbeitung.
Was ist eine Datenverarbeitungsvereinbarung (DPA)?
Eine Datenverarbeitungsvereinbarung (DPA) ist ein rechtsverbindlicher Vertrag zwischen einem Verantwortlichen und einem Auftragsverarbeiter, der die Verarbeitung personenbezogener Daten regelt. Ihr Hauptzweck besteht darin, sicherzustellen, dass der Auftragsverarbeiter seinen gesetzlichen Verpflichtungen gemäß den Datenschutzgesetzen nachkommt und die Daten ausschließlich gemäß den Anweisungen des Verantwortlichen verarbeitet. Diese Vereinbarung ist nicht nur eine Formalität, sondern ein entscheidender Bestandteil der Einhaltung der Datenschutzbestimmungen. Im Zusammenhang mit der Nutzung eines Dienstes wie Trengo sind die Rollen klar verteilt:
- Verantwortlicher: Das ist dein Unternehmen. Du legst den Zweck und die Mittel der Verarbeitung personenbezogener Daten fest. Du entscheidest beispielsweise, die E-Mail-Adressen deiner Kunden zu erfassen, um Support anzubieten und Bestellaktualisierungen zu versenden.
- Datenverarbeiter: Das ist der von dir genutzte Drittanbieter, zum Beispiel Trengo. Trengo verarbeitet die Kundendaten in deinem Auftrag und gemäß deinen Anweisungen, um seine Dienste bereitzustellen, wie zum Beispiel die Verwaltung deines Omnichannel-Posteingangs oder den Einsatz eines KI-Chatbots.
Die DPA festigt diese Beziehung und stellt sicher, dass Trengo die Daten deiner Kunden mit höchster Sicherheit und unter vollständiger Einhaltung der gesetzlichen Vorschriften verarbeitet.
Verantwortlicher vs. Auftragsverarbeiter: So verstehst du deine Rolle
Es ist entscheidend, den Unterschied zwischen einem für die Datenverarbeitung Verantwortlichen und einem Auftragsverarbeiter zu verstehen. Stell dir das wie den Bau eines Hauses vor: Der für die Datenverarbeitung Verantwortliche ist der Architekt, der die Baupläne entwirft und entscheidet, wie das Haus aussehen und welchem Zweck es dienen soll. Der Auftragsverarbeiter ist der Bauunternehmer, der das Haus streng nach den Plänen des Architekten errichtet. Der Architekt (Verantwortlicher) trägt letztendlich die Verantwortung für das Endergebnis, auch wenn der Bauunternehmer (Auftragsverarbeiter) die praktische Arbeit erledigt. Ebenso bleibt dein Unternehmen als Verantwortlicher letztendlich für den Schutz der personenbezogenen Daten deiner Kunden verantwortlich. Deshalb ist die Wahl eines konformen und vertrauenswürdigen Auftragsverarbeiters so wichtig. Eine solide Datenschutzvereinbarung (DPA) zeigt, dass dein gewählter Partner diese Verantwortung ernst nimmt und über die notwendigen Maßnahmen verfügt, um die Daten zu schützen, die er in deinem Auftrag verarbeitet.
Der Zweck einer Datenschutzvereinbarung: Warum sie mehr ist als nur eine Formalität
Eine DPA erfüllt mehrere wichtige Zwecke, die über die bloße Erfüllung gesetzlicher Vorgaben hinausgehen. Sie sorgt für Klarheit und Transparenz zwischen dir und deinem Dienstleister. Sie dokumentiert die Datenverarbeitungsaktivitäten offiziell und stellt sicher, dass jeder seine Rollen, Verantwortlichkeiten und Grenzen versteht. Noch wichtiger ist, dass es ein Bekenntnis zu Sicherheit und Compliance darstellt. Die Vereinbarung legt die technischen und organisatorischen Sicherheitsmaßnahmen fest, die der Auftragsverarbeiter umsetzen muss, um die Daten vor unbefugtem Zugriff, Verlust oder Zerstörung zu schützen. Sie beschreibt Verfahren für den Umgang mit Datenschutzverletzungen, die Unterstützung bei Anfragen zu den Rechten betroffener Personen und die Wahrung der Vertraulichkeit. Für deine Kunden ist eine DPA ein Zeichen dafür, dass du und deine Partner euch für den Schutz ihrer Privatsphäre einsetzen – ein Grundpfeiler für den Aufbau und die Aufrechterhaltung von Vertrauen in einer digitalen Welt.
Warum eine DPA eine unverzichtbare gesetzliche Vorschrift ist
Für jedes Unternehmen, das in Regionen mit modernen Datenschutzgesetzen tätig ist oder dort Kunden bedient, ist eine Datenschutzvereinbarung (DPA) kein optionales Extra. Nach Vorschriften wie der Datenschutz-Grundverordnung (DSGVO) ist eine DPA eine zwingende gesetzliche Anforderung, sobald ein Verantwortlicher einen Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten beauftragt. Dies ist ausdrücklich in Artikel 28 der DSGVO festgelegt, der einen verbindlichen Vertrag zwischen den beiden Parteien vorschreibt. Die Risiken einer Nichteinhaltung sind gravierend und können verheerende Auswirkungen auf ein Unternehmen haben. Die Aufsichtsbehörden können bei Verstößen hohe Geldbußen verhängen, die gemäß DSGVO bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens betragen können – je nachdem, welcher Betrag höher ist. Abgesehen von den finanziellen Strafen kann der Reputationsschaden durch einen Verstoß gegen den Datenschutz sogar noch kostspieliger sein und zu einem Verlust des Kundenvertrauens führen, das nur schwer wiederherzustellen ist.
Wann brauchst du eine Datenverarbeitungsvereinbarung?
Du benötigst eine Datenverarbeitungsvereinbarung, sobald du einem externen Dienstleister Zugriff auf die personenbezogenen Daten deiner Kunden, Mitarbeiter oder Nutzer gewährst. Die Kernaussage ist einfach: Wenn du ein externes Tool nutzt, um personenbezogene Kundendaten zu speichern, zu verwalten oder damit zu arbeiten, brauchst du eine Datenverarbeitungsvereinbarung. Das gilt für eine Vielzahl gängiger Unternehmenssoftware. Hier sind einige konkrete Beispiele aus der Praxis, in denen eine Datenverarbeitungsvereinbarung erforderlich ist:
- Wenn du eine Plattform für gemeinsame Posteingänge wie Trengo nutzt, um Kunden-E-Mails und Support-Tickets zu verwalten.
- Wenn du die WhatsApp Business API über einen Anbieter integrierst, um Kundenchats und -anfragen zu bearbeiten.
- Wenn du auf deiner Website ein Live-Chat-Tool nutzt, um mit Besuchern in Echtzeit zu kommunizieren.
- Wenn du eine cloudbasierte CRM-, Helpdesk-, Marketing-Automatisierungs- oder Kommunikationssoftware nutzt, in der Kundendaten gespeichert werden.
- Wenn du Analysetools nutzt, die Nutzerdaten verarbeiten, oder Cloud-Hosting-Anbieter, die deine Datenbanken speichern.
Was sollte eine Datenverarbeitungsvereinbarung enthalten? Eine Checkliste mit den wichtigsten Klauseln
Eine umfassende Datenverarbeitungsvereinbarung (DPA) ist detailliert und konkret. Zwar gibt es Vorlagen, doch ist es entscheidend, sicherzustellen, dass deine Vereinbarung alle gesetzlich vorgeschriebenen Klauseln enthält. Hier ist eine Checkliste der wesentlichen Bestandteile, die jede DPA gemäß Vorschriften wie der DSGVO enthalten sollte.
Gegenstand, Dauer, Art und Zweck der Verarbeitung
Diese Klausel bildet die Grundlage der Vereinbarung. Sie muss das „Was, Wie lange, Wie und Warum“ der Datenverarbeitung klar beschreiben. Sie legt fest, welche Daten verarbeitet werden, wie lange der Vertrag läuft, welche Arten von Verarbeitungsvorgängen der Auftragsverarbeiter durchführen wird (z. B. Speicherung, Abruf) und was der übergeordnete Zweck ist (z. B. die Erbringung von Kundendienstleistungen).
Arten von personenbezogenen Daten und Kategorien von betroffenen Personen
In der Datenschutzerklärung muss genau angegeben werden, welche Art von personenbezogenen Daten verarbeitet werden. Dazu können Kontaktdaten (Namen, E-Mail-Adressen, Telefonnummern), Kommunikationsdaten (Chat-Protokolle, E-Mail-Inhalte) oder technische Daten (IP-Adressen) gehören. Außerdem müssen die Kategorien von Personen genannt werden, deren Daten verarbeitet werden, wie zum Beispiel Kunden, Website-Besucher oder Mitarbeiter.
Pflichten des Auftragsverarbeiters
Dies ist ein wichtiger Abschnitt, in dem die Pflichten des Auftragsverarbeiters dargelegt werden. Eine zentrale Verpflichtung besteht darin, dass der Auftragsverarbeiter ausschließlich nach den dokumentierten Anweisungen des Verantwortlichen handeln darf. Er darf die Daten nicht für eigene Zwecke nutzen. Diese Klausel stellt sicher, dass du als Verantwortlicher die Kontrolle über deine Daten behältst.
Vertraulichkeits- und Sicherheitsmaßnahmen
Der Auftragsverarbeiter muss sich verpflichten, die Vertraulichkeit der personenbezogenen Daten zu gewährleisten. In der Datenschutzvereinbarung sollten die konkreten technischen und organisatorischen Sicherheitsmaßnahmen detailliert aufgeführt werden, die der Auftragsverarbeiter zum Schutz der Daten ergriffen hat. Dazu gehören Sicherheitsvorkehrungen wie die Verschlüsselung von Daten während der Übertragung und im Ruhezustand, Zugriffskontrollen, regelmäßige Sicherheitstests und Mitarbeiterschulungen. Hier zeigt ein zuverlässiger Partner wie Trengo sein Engagement für strenge Sicherheitsstandards.
Einsatz von Unterauftragsverarbeitern
Diese Klausel regelt, ob der Auftragsverarbeiter andere Unternehmen (Unterauftragsverarbeiter) beauftragen darf, um ihn bei der Datenverarbeitung zu unterstützen. Ist dies der Fall, muss der Auftragsverarbeiter zuvor die schriftliche Genehmigung des Verantwortlichen einholen. Außerdem muss der Hauptauftragsverarbeiter mit seinen Unterauftragsverarbeitern eine Datenverarbeitungsvereinbarung (DPA) abschließen, die denselben Datenschutzverpflichtungen unterliegt, um sicherzustellen, dass die Sicherheitskette nicht unterbrochen wird.
Rechte der betroffenen Person
Einzelpersonen haben Rechte in Bezug auf ihre Daten, wie zum Beispiel das Recht auf Auskunft, Berichtigung oder Löschung. In der Datenschutzvereinbarung muss dargelegt werden, wie der Auftragsverarbeiter den Verantwortlichen dabei unterstützt, diese Anfragen der betroffenen Personen zügig und effektiv zu bearbeiten.
Meldungen über Datenschutzverletzungen
Im Falle einer Datenschutzverletzung kommt es auf jede Minute an. Die Datenschutzbehörde muss den Auftragsverarbeiter verpflichten, den Verantwortlichen „unverzüglich“ zu benachrichtigen, sobald er von der Verletzung Kenntnis erlangt hat. So kann der Verantwortliche seinen eigenen gesetzlichen Verpflichtungen nachkommen, die Verletzung den Aufsichtsbehörden und gegebenenfalls den betroffenen Personen zu melden.
Löschung oder Rückgabe von Daten
Die Vereinbarung braucht einen klaren Ausstiegsplan. Diese Klausel legt fest, was mit den personenbezogenen Daten nach Vertragsende geschieht. Der Auftragsverarbeiter muss verpflichtet sein, entweder alle personenbezogenen Daten zu löschen oder sie an den Verantwortlichen zurückzugeben und zudem vorhandene Kopien zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
So schließt du eine Datenverarbeitungsvereinbarung (DPA) mit deinen Dienstleistern ab
Die Umsetzung einer Datenverarbeitungsvereinbarung sollte bei jedem seriösen SaaS-Anbieter ein unkomplizierter Vorgang sein. Diese Anbieter kennen ihre rechtlichen Verpflichtungen und gestalten den Prozess für ihre Kunden in der Regel reibungslos. Die Datenverarbeitungsvereinbarung wird oft als Anhang oder Zusatzvereinbarung zu den Hauptnutzungsbedingungen präsentiert. In vielen Fällen ist sie automatisch in den Bedingungen enthalten, denen du bei der Anmeldung zustimmst. Bei anderen Diensten musst du die DPA möglicherweise anfordern, die du dann prüfen und elektronisch unterzeichnen kannst. Es ist entscheidend, deine Vereinbarungen mit allen deinen Softwareanbietern zu überprüfen, um sicherzustellen, dass eine DPA vorliegt. Seriöse Plattformen wie Trengo machen dir das leicht: Sie stellen allen Kunden eine klare und umfassende DPA zur Verfügung, damit du vom ersten Tag an alle Vorschriften einhältst.
Eine Datenverarbeitungsvereinbarung ist ein gesetzlich vorgeschriebener Vertrag, der dein Unternehmen schützt, die Daten deiner Kunden sichert und als Eckpfeiler des modernen Datenschutzes dient. Sie verwandelt eine gesetzliche Anforderung in eine Chance, dein Engagement für Sicherheit unter Beweis zu stellen und dauerhaftes Vertrauen aufzubauen. Die Einhaltung der Vorschriften bei all deinen Softwareanbietern ist nicht nur eine bewährte Praxis, sondern unerlässlich für nachhaltiges Wachstum. Die Einhaltung der Vorschriften muss nicht kompliziert sein. Mit der sicheren Plattform von Trengo und der umfassenden DPA kannst du deine Kundenkommunikation vertrauensvoll vereinheitlichen. Erfahre, wie Trengo deine Daten schützt.
Häufig gestellte Fragen
Die DSGVO ist das Gesetz, während eine Datenverarbeitungsvereinbarung (DPA) ein durch dieses Gesetz vorgeschriebener Vertrag ist. Die Datenschutz-Grundverordnung (DSGVO) ist eine umfassende Datenschutzverordnung, die die Regeln für den Umgang mit personenbezogenen Daten festlegt. Eine Datenverarbeitungsvereinbarung (DPA) ist das spezifische, rechtsverbindliche Dokument, das zwei Parteien (ein Verantwortlicher und ein Auftragsverarbeiter) unterzeichnen, um darzulegen, wie sie diese Regeln während ihrer Zusammenarbeit einhalten werden.
Eine Geheimhaltungsvereinbarung (NDA) schützt vertrauliche Informationen, während eine Datenschutzvereinbarung (DPA) die rechtmäßige Verarbeitung personenbezogener Daten regelt. Eine NDA zielt darauf ab, die Weitergabe von geschützten Geschäftsinformationen zu verhindern (Geheimhaltung). Eine DPA ist speziell darauf ausgelegt, die Anforderungen des Datenschutzrechts zu erfüllen (Einhaltung und Schutz). Eine DPA enthält zwar Vertraulichkeitsklauseln, ihr Hauptzweck besteht jedoch darin, Datenverarbeitungsaktivitäten zu regeln, was einen viel umfassenderen Anwendungsbereich hat als nur die Verhinderung der Offenlegung.
Ja, in der Praxis werden die Begriffe synonym verwendet. Ein „Nachtrag“ ist ein Dokument, das einem bestehenden Hauptvertrag – wie beispielsweise den Nutzungsbedingungen – beigefügt wird. Ob er nun „Datenverarbeitungsvereinbarung“ oder „Nachtrag zur Datenverarbeitung“ heißt – er erfüllt dieselbe rechtliche Funktion, nämlich die Festlegung der Bedingungen für die Verarbeitung personenbezogener Daten zwischen einem Verantwortlichen und einem Auftragsverarbeiter.
Die Verarbeitung von Daten ohne eine erforderliche Datenschutzvereinbarung stellt einen direkten Verstoß gegen Vorschriften wie die DSGVO dar. Dies kann schwerwiegende Folgen nach sich ziehen, darunter erhebliche Geldbußen, rechtliche Schritte seitens der betroffenen Personen und die Aussetzung der Datenverarbeitungsaktivitäten. Außerdem entsteht dadurch ein enormes Haftungsrisiko für dein Unternehmen, da es keinen rechtlichen Rahmen gibt, der regelt, wie dein Dienstleister mit den sensiblen Daten deiner Kunden umgeht, und das Vertrauen deiner Kunden wird dadurch erheblich beeinträchtigt.
