Klauselbibliothek

Datenschutz-Klausel, erklärt

Eine Datenschutzklausel hält fest, wie personenbezogene Daten behandelt werden; ist eine Seite Auftragsverarbeiter nach der UK GDPR, verlangt Artikel 28(3) genannte Auftragsverarbeiter-Bedingungen.

Zuletzt aktualisiert 28. Oktober 2026

Was bewirkt eine Datenschutz-Klausel?

Verarbeitet ein Anbieter personenbezogene Daten für einen Kunden, der Verantwortlicher ist, besagt Artikel 28 der UK GDPR, dass die Verarbeitung durch einen Vertrag geregelt sein muss. Artikel 28(3) listet die Auftragsverarbeiter-Bedingungen auf, die dieser Vertrag enthalten muss. Dieselbe UK GDPR gilt in Schottland. Datenschutzgesetze einzelner US-Bundesstaaten sind ein anderes Regime. Wir setzen diese Bedingungen auf eine gemeinsame Seite.

Was muss ein Auftragsverarbeitungsvertrag nach Artikel 28 enthalten?

Der Vertrag muss bindend sein und Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und betroffener Personen sowie die Rechte des Verantwortlichen festlegen. Artikel 28(3) verlangt dann die Auftragsverarbeiter-Bedingungen in (a) bis (h): dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung, Löschung oder Rückgabe und Audit.

Wann ist eine Partei Auftragsverarbeiter statt Verantwortlicher?

Ein Verantwortlicher entscheidet über Zwecke und Mittel der Verarbeitung. Ein Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen. Ein Studio, das die Kundenliste eines Kunden speichert, um dessen E-Mails zu versenden, ist meist Auftragsverarbeiter. Ein Studio, das eine eigene Marketingliste aufbaut, ist Verantwortlicher dieser Liste. Benennen Sie die Rolle für jeden Datensatz, damit Artikel 28 nur dort gilt, wo er soll.

Darf der Auftragsverarbeiter Unterauftragsverarbeiter beauftragen?

Nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen. Bei einer allgemeinen Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Hinzufügungen oder Ersetzungen informieren, damit dieser widersprechen kann. Dieselben Datenschutzpflichten müssen weitergegeben werden. Der ursprüngliche Auftragsverarbeiter haftet gegenüber dem Verantwortlichen voll für den Unterauftragsverarbeiter. Schreiben Sie die Art der Genehmigung in die Klausel.

Was geschieht mit den Daten, wenn die Arbeit endet?

Artikel 28(3)(g) besagt, dass der Auftragsverarbeiter nach Ende der Leistungen nach Wahl des Verantwortlichen die personenbezogenen Daten löscht oder zurückgibt und Kopien löscht, sofern das nationale Recht keine Speicherung verlangt. Kombinieren Sie das mit Vertraulichkeit und einer Rückgabe-oder-Vernichtungs-Zeile für nicht personenbezogene vertrauliche Dateien. Nennen Sie, wie lange Protokolle aufbewahrt werden dürfen, wenn ein Gesetz das verlangt.

Beispielwortlaut

Beispiel · unser eigener Entwurf

Verarbeitet der Auftragnehmer personenbezogene Daten für den Auftraggeber als Auftragsverarbeiter, wird der Auftragnehmer: diese Daten nur auf dokumentierte Weisung des Auftraggebers verarbeiten; sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind; die nach Artikel 32 der UK GDPR erforderlichen Sicherheitsmaßnahmen ergreifen; ohne vorherige schriftliche Genehmigung des Auftraggebers keinen Unterauftragsverarbeiter beauftragen; den Auftraggeber bei Anträgen betroffener Personen und bei den Artikeln 32 bis 36 unterstützen; nach Wahl des Auftraggebers die Daten am Ende der Leistungen löschen oder zurückgeben, sofern das nationale Recht keine Speicherung verlangt; und die zum Nachweis der Einhaltung erforderlichen Informationen bereitstellen und Audits ermöglichen.

In klarer Sprache

Verarbeitet der Auftragnehmer personenbezogene Daten für den Auftraggeber, tut er nur, was der Auftraggeber dokumentiert hat, hält sie vertraulich, kümmert sich um die Sicherheit und zieht ohne schriftliche Freigabe keinen weiteren Auftragsverarbeiter hinzu. Er hilft bei Betroffenenrechten und Sicherheitspflichten, löscht oder gibt die Daten am Ende des Auftrags zurück, sofern das Gesetz keine Kopie verlangt, und lässt den Auftraggeber prüfen.

Worauf sollten Sie achten?

PunktAchten Sie aufFordern Sie
RollenEin Auftragsverarbeiter-Anhang, der an einen Deal angeflanscht wird, in dem beide Seiten Verantwortliche sind.Ein Satz, der die Rolle für jeden Datensatz benennt.
Weisungen„Verarbeiten, soweit für die Leistungen nötig“ ohne dokumentierte Weisungen.Ein Anhang mit Gegenstand, Dauer, Datenarten und betroffenen Personen.
UnterauftragsverarbeiterFreie Hand, jeden zu beauftragen, oder Schweigen.Vorherige schriftliche Genehmigung, Weitergabe der Pflichten und fortdauernde Haftung.
Ende des AuftragsKeine Lösch-oder-Rückgabe-Zeile.Die Wahl des Verantwortlichen, mit Ausnahme für gesetzliche Aufbewahrung.
ObergrenzeEine unbegrenzte Datenfreistellung bei kleinem Honorar oder eine Obergrenze, die eine Panne verschluckt.Eine benannte Position gegenüber Haftungsobergrenze und Freistellung.

Welche Verträge enthalten sie?

Lex nimmt diese Klausel unter anderem auf in:

  • Dienstleistungsvertrag ()
  • Vertrag zur Website-Erstellung
  • Beratungsvertrag

Was sagt das Gesetz?

  • Die Verarbeitung durch einen Auftragsverarbeiter muss auf der Grundlage eines Vertrags erfolgen, der den Auftragsverarbeiter bindet und Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festlegt, einschließlich der in Artikel 28(3)(a)–(h) aufgeführten Auftragsverarbeiter-Bedingungen.

    Quelle: UK GDPR, Article 28(3)Geprüft 28. Oktober 2026Anwaltsprüfung ausstehend

Rahmenvertrag über Dienstleistungen (MSA) mit dieser Klausel entwerfen

Kostenlos für die andere Seite

Lex entwirft ihn in klarer Sprache neben dem juristischen Wortlaut. Teilen Sie einen Link; beide Seiten einigen sich und unterschreiben.

Häufig gestellte Fragen

Was bedeutet eine Datenschutzklausel?

Sie hält fest, wie personenbezogene Daten unter dem Vertrag behandelt werden. Verarbeitet eine Partei personenbezogene Daten für die andere als Auftragsverarbeiter nach der UK GDPR, verlangt Artikel 28, dass diese Verarbeitung durch einen Vertrag mit genannten Auftragsverarbeiter-Bedingungen geregelt ist.

Was muss ein Auftragsverarbeitungsvertrag nach Artikel 28 der UK GDPR enthalten?

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten von Daten und betroffenen Personen sowie die Auftragsverarbeiter-Bedingungen in Artikel 28(3)(a)–(h), darunter dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung, Löschung oder Rückgabe und Audit.

Wann ist ein Anbieter Auftragsverarbeiter?

Wenn er personenbezogene Daten im Auftrag des Kunden verarbeitet, statt selbst über Zwecke und Mittel zu entscheiden. Die Klausel sollte die Rolle für jeden Datensatz benennen. Artikel 28 gilt für Auftragsverarbeiter-Beziehungen.

Darf ein Auftragsverarbeiter Unterauftragsverarbeiter einsetzen?

Nur mit vorheriger gesonderter oder allgemeiner schriftlicher Genehmigung des Verantwortlichen. Dieselben Pflichten müssen weitergegeben werden, und der ursprüngliche Auftragsverarbeiter haftet gegenüber dem Verantwortlichen voll für den Unterauftragsverarbeiter.

Was geschieht mit personenbezogenen Daten, wenn der Vertrag endet?

Nach Wahl des Verantwortlichen löscht oder gibt der Auftragsverarbeiter sie zurück und löscht Kopien, sofern das nationale Recht keine Speicherung verlangt. Schreiben Sie diese Wahl in die Klausel.

Quellen

Verwandt

Der juristische Wortlaut ist maßgeblichZuletzt geprüft 28. Oktober 2026Anwaltsprüfung ausstehend