Datenverarbeitungsvereinbarung (DPA)
ist der vorgeschriebene Vertrag (Artikel 28 der DSGVO) zwischen einem Verantwortlichen und jedem Auftragsverarbeiter, der personenbezogene Daten in dessen Auftrag verarbeitet – Lohnbuchhaltungsbüros, EORs, Plattformen für Sozialleistungen. Darin sind Anweisungen, Sicherheitsmaßnahmen, die Weitergabe an Unterauftragsverarbeiter, die Meldung von Datenschutzverletzungen, Prüfungsrechte sowie die Löschung der Daten nach Beendigung der Dienstleistung geregelt.
Eine DPA eines Anbieters schnell durchlesen
- Anweisungen und Umfang: Verarbeitung ausschließlich gemäß dokumentierten Anweisungen; die aufgeführten Zwecke entsprechen der Dienstleistung.
- Unterauftragsverarbeiter: aktuelle Liste, Benachrichtigung über Änderungen und Widerspruchsverfahren – in Lohnabrechnungsketten gibt es immer Unterauftragsverarbeiter.
- Datenübermittlungen: Benannte Mechanismen (Angemessenheit, Standardvertragsklauseln) mit Angabe des Ziellandes.
- Sicherheit und Datenschutzverletzungen: Konkrete Maßnahmen und Meldefristen, mit denen Sie Ihrer 72-Stunden-Meldepflicht nachkommen können.
- Austritt: Rückgabe oder Löschung mit Bestätigung – die Klausel, die jeder braucht, die aber niemand prüft, bis ein Anbieter aus dem Vertrag ausscheidet.
Häufig gestellte Fragen
Brauchen wir eine Datenschutzvereinbarung (DPA) mit einem „ EOR “?
Ja, was die Verarbeitung betrifft, die das „ EOR “ auf Ihre Anweisung hin durchführt – wobei zu beachten ist: Bei der Erfüllung seiner eigenen Arbeitgeberpflichten (Lohnmeldungen, Sozialversicherung) fungiert das „ EOR “ eigenständig als Verantwortlicher. Gute Verträge mit dem „ EOR “ trennen diese Rollen ausdrücklich voneinander; fehlende Datenverarbeitungsvereinbarungen (DPAs) sind ein typischer Befund bei Lieferantenprüfungen.
Wer unterzeichnet DPA innerhalb einer Unternehmensgruppe?
Jeder Controller, der mit dem Prozessor interagiert – praktisch gelöst durch einen Gruppen-Master-DPA mit Beitrittsmöglichkeit für Partner. Die Übersicht darüber, wer die Daten welcher Mitarbeiter verwaltet (Heimatarbeitgeber vs. Gastarbeitgeber vs. gemeinsam verwaltet), sollte vorliegen, bevor der Signaturblock erstellt wird.