Inhaltsverzeichnis
Verarbeitet ein Lieferant personenbezogene Daten in Ihrem Auftrag, kann eine Vereinbarung nach Artikel 28 DSGVO erforderlich sein. Bestimmen Sie zuerst Rollen und Verarbeitung. Ein unterschriebenes Muster mit leeren Anlagen ist keine belastbare Anbieterprüfung.
Rollen vor der Vertragswahl bestimmen
Nach den EDSA-Leitlinien folgen Verantwortlichkeit und Auftragsverarbeitung der tatsächlichen Entscheidung über Zwecke und Mittel. Ein Anbieter kann für eine Tätigkeit Auftragsverarbeiter und für eine andere Verantwortlicher sein. Vertragsbezeichnungen ändern diese Tatsachen nicht.
Trennen Sie etwa Lohnabrechnung, Kundensupport und eigene Abrechnungsdaten des Lieferanten. Fragen Sie ausdrücklich nach Datennutzung für dessen Produktentwicklung oder Werbung.
Rechtsgrundlage und Hinweise: EDPB: controller and processor guidelines
Operative Anlagen vollständig ausfüllen
Artikel 28 verlangt konkrete Angaben und Pflichten. Die pauschale Zusage beider Parteien, DSGVO-konform zu handeln, genügt nicht als praktische Leistungsbeschreibung.
- Verarbeitung, Dauer, Zwecke, Datenkategorien und betroffene Personen beschreiben.
- Weisungen und Genehmigung späterer Änderungen festlegen.
- Vertraulichkeit und konkrete technische und organisatorische Maßnahmen prüfen.
- Unterauftragsverarbeiter sowie Genehmigungs- und Änderungsmechanismus erfassen.
- Hilfe bei Betroffenenanfragen, Datenpannen und Folgenabschätzungen vereinbaren.
- Rückgabe oder Löschung samt Backup-Handhabung bei Vertragsende regeln.
- Angemessene Informationen und Prüfungsrechte zum Compliance-Nachweis vorsehen.
Rechtsgrundlage und Hinweise: EDPB: controller and processor guidelines
Drittlandtransfers getrennt prüfen
Die Kommission veröffentlicht unterschiedliche Standardklauseln für Auftragsverarbeitung und internationale Übermittlungen. Verwechseln Sie den Artikel-28-Vertrag nicht mit dem erforderlichen Mechanismus für eine Übermittlung außerhalb des EWR.
Untersuchen Sie Hosting, Supportzugriffe und nachgelagerte Anbieter. Die Rechnungsadresse des Lieferanten beantwortet diese Fragen nicht.
Rechtsgrundlage und Hinweise: European Commission: standard-clause questions and answers
Vereinbarung vor Unterzeichnung testen
Hypothetisches Beispiel: Ein Lohnanbieter verspricht sofortige vollständige Löschung bei Vertragsende, seine Leistungsbeschreibung sieht aber monatelange Backups vor. Verlangen Sie einen widerspruchsfreien Ablauf für Produktivdaten, Sicherungen, Zugriffsbeschränkungen und gesetzliche Aufbewahrung.
Halten Sie offene Punkte und Entscheidungen mit Verantwortlichen fest. Prüfen Sie erneut bei neuen Unterauftragsverarbeitern, Nutzungszwecken oder Supportstandorten. Ziel ist ein Vertrag, der zur gekauften Leistung passt und auch im Störungsfall umgesetzt werden kann.
Primärquellen und Geltungsbereich
Quellenabgleich: 26. September 2026. Dieser Leitfaden bezieht sich auf die Republik Zypern. Beispiele sind hypothetisch und keine Kundenfälle. Prüfen Sie vor einer Einreichung die aktuellen amtlichen Anforderungen.
Praktische Leitfäden zu diesem Thema
- Gemeinsame Verantwortliche in Zypern: Vereinbarung nach Artikel 26 DSGVO
Praxisleitfaden zur Prüfung gemeinsamer Verantwortlichkeit und zur Artikel-26-Vereinbarung: Rollen, Betroffenenrechte, Sicherheit, Meldungen und transparente Informationen.
Häufig gestellte Fragen
Ersetzt eine Geheimhaltungsvereinbarung Artikel 28?
Sind Artikel-28-Klauseln und Transfer-SCC identisch?
Mit KI-Unterstützung anhand der verlinkten Primärquellen erstellt. Eine individuelle fachliche Prüfung wird damit nicht behauptet. Allgemeine Informationen, keine Rechts- oder Steuerberatung. Redaktionelle Grundsätze
Sie brauchen eine massgeschneiderte Beratung?
Buchen Sie ein kostenloses 30-minütiges Gespräch. Zeno koordiniert unabhängige, in Zypern zugelassene Advokaten und ICPAC-zugelassene Wirtschaftsprüfer und sendet innerhalb von 24 Stunden einen schriftlichen Leistungsumfang.
Kostenloses Gespräch buchen