クラウドサービスや外部委託を使えば、個人データは自社の外で処理されます。このとき、GDPR（EU一般データ保護規則）は、委託元（管理者）と委託先（処理者）の間でデータ処理契約（DPA、独語ではAVV）を結ぶこと を義務づけています。DPAを締結せずに個人データの処理を委託すると、それ自体がGDPR違反となり、制裁の対象になり得ます。日系企業のドイツ子会社でも、給与計算の委託、SaaSの利用、コールセンターの外注など、DPAが必要になる場面は数多くあります。
本ガイドでは、日系企業の法務・情報システム担当者向けに、DPAの位置づけ、必須記載事項、再委託の扱い、そして日本企業に有利な EUの十分性認定 までを整理します。GDPR全体の枠組みはGDPR完全ガイド、SaaS事業者向けの実務はSaaSのGDPR実務ガイドもあわせてご覧ください。
DPAとは：管理者と処理者の契約（GDPR第28条）
GDPRは、個人データを扱う主体を 管理者（Verantwortlicher） と、その指示で処理を行う 処理者（Auftragsverarbeiter） に区別します。委託元の企業が管理者、クラウド事業者や外注先が処理者にあたるのが典型です。GDPR第28条は、管理者が処理を委託する場合に、書面（電子的形式も可）でDPAを締結 することを求めています。これにより、委託先が勝手にデータを使わず、管理者の指示の範囲で適切に処理することを担保します。
管理者・処理者・共同管理者の区別
DPAを正しく結ぶには、まず 自社と相手の役割 を見極める必要があります。管理者（Verantwortlicher） は処理の目的・手段を決める主体、処理者（Auftragsverarbeiter） はその指示に従って処理する主体です。両者の関係には第28条のDPAが必要です。
一方、複数の事業者が 共同で目的・手段を決める 場合は、共同管理者（Joint Controller、第26条） となり、DPAではなく共同管理者間の取り決めが必要になります。役割を取り違えると、結ぶべき契約の種類を誤ります。たとえば、ベンダーが自社の目的でもデータを使う場合は、単なる処理者ではない可能性があり、慎重な判断が要ります。自社が管理者・処理者・共同管理者のいずれにあたるかを、データの流れごとに整理することが、適切な契約設計の前提になります。コンプライアンス体制全体の整え方はEUコンプライアンス体制ガイドも参考になります。
DPAが必要になる場面
DPAは、外部に個人データの処理を委ねるあらゆる場面で必要になります。代表例は次の通りです。
- クラウド・SaaSの利用：顧客データ・従業員データをクラウドに保管・処理する場合。
- 給与計算・人事の委託：従業員の個人データを外部に渡す場合。
- マーケティング・コールセンターの外注：顧客データを委託先が扱う場合。
- ITの保守・運用：保守業者が個人データにアクセスし得る場合。
「自社は個人データを扱っていない」と思っていても、従業員情報や取引先担当者の情報は個人データです。委託の有無を棚卸しすることが出発点です。
DPAの必須記載事項（第28条3項）
GDPR第28条3項は、DPAに含めるべき 最低限の内容 を定めています。主なものは次の通りです。
- 処理の対象・期間・性質・目的、個人データの種類、データ主体の categories。
- 管理者の指示 に基づいてのみ処理すること（文書化された指示）。
- 処理に関わる者の 守秘義務。
- 第32条に基づく 技術的・組織的措置（TOM） の実施。
- データ侵害（漏えい） が起きた際の、管理者への遅滞ない報告。
- 再委託（サブ処理者） を行う条件。
- データ主体の権利行使やセキュリティへの 管理者への協力。
- 契約終了時の データの削除または返却。
- 管理者による 監査 への協力。
これらが欠けたDPAは不十分とされ得ます。セキュリティ措置（TOM）の考え方はドイツ・EUのサイバーセキュリティ規制も参考になります。
再委託（Unterauftragsverarbeiter）の扱い
処理者がさらに別の事業者（再委託先、サブ処理者）を使う場合、DPAで 再委託の可否と条件 を定める必要があります。実務では、現在の再委託先を 一覧（附属書） として明示し、追加・変更時には管理者へ通知する仕組みを設けます。再委託先にも、元のDPAと同等の義務を 流し込む（flow-down） ことが求められます。クラウドサービスは多くの場合、データセンターや外部機能を再委託に使うため、その一覧と所在地の確認が重要です。
国際データ移転：日本はEU十分性認定の対象
日系企業にとって極めて重要なのが、EUから日本への個人データ移転 の扱いです。原則として、EU域外への個人データ移転には追加の保護措置（標準契約条項＝SCC等）が必要ですが、日本はEUの十分性認定（adequacy decision）を受けている ため、認定の対象範囲のデータについては、SCCなしでEU→日本への移転が可能 です。
この十分性認定は2019年に 相互（EU・日本双方向） で発効し、2023年の最初の見直しでも良好と評価され、以降の見直しは概ね4年ごととされています。日本の個人情報保護委員会（PPC）が定める「補完的ルール（Supplementary Rules）」が、GDPRと日本の個人情報保護法（APPI）の差を埋めています。つまり、日本本社とEU子会社の間のデータ移転は、追加契約の負担が相対的に軽い——これは日系企業の大きな利点です。ただし、認定の 対象範囲や補完的ルールの遵守 には注意が必要で、第三国を経由する移転などでは別途の検討が要ります。国際的なデータ保護当局の情報は、ドイツ連邦データ保護監督機関（BfDI）でも確認できます。
日系企業の実務上の注意
- DPAの締結漏れ：SaaSやツールを導入する際、DPAの締結を忘れない。多くの事業者は標準DPAを用意しています。
- TOMの確認：委託先のセキュリティ水準（第32条）を実質的に確認する。
- 再委託先の把握：クラウドの再委託先・データ所在地を確認する。
- 十分性の射程：日本への移転でも、対象範囲・補完的ルールを確認する。
- 記録の整備：処理活動の記録（第30条）とDPAを整合させる。
よくある落とし穴
- ツール導入時にDPAを締結せず、委託が違法状態になる
- 標準DPAを読まずに署名し、再委託や所在地を把握しない
- 「日本は十分性認定だから何でも自由」と過信する
- TOM（セキュリティ措置）を形式的にしか確認しない
- 契約終了時のデータ削除・返却を取り決めていない
よくある質問（FAQ）
Q. DPAは必ず必要ですか。 A. 個人データの処理を外部に委託する場合は必要です。GDPR第28条が義務づけています。
Q. SaaSを使うだけでも必要ですか。 A. 個人データを処理するSaaSなら必要です。多くの事業者が標準DPAを提供しています。
Q. 日本への移転にSCCは必要ですか。 A. 十分性認定の対象範囲なら、原則としてSCCなしで移転できます。範囲と補完的ルールは要確認です。
Q. 再委託先はどう管理しますか。 A. DPAで可否と条件を定め、一覧で把握し、同等の義務を流し込みます。
Q. DPAは紙でないとだめですか。 A. 書面が必要ですが、電子的形式でも有効です。
実務チェックリスト
- 個人データの外部委託を棚卸しし、DPAの要否を確認したか
- 各委託でDPA（第28条3項の必須内容）を締結したか
- 委託先のTOM（第32条）を実質的に確認したか
- 再委託先の一覧・所在地を把握したか
- 日本への移転で十分性認定の射程・補完的ルールを確認したか
- 契約終了時のデータ削除・返却を定めたか
- 処理活動の記録（第30条）とDPAを整合させたか
まとめ
データ処理契約（DPA／AVV）は、個人データの外部委託に必須の契約 であり、GDPR第28条が必須内容を定めています。日系企業にとっては、日本がEUの十分性認定を受けている ことで、EU→日本のデータ移転の負担が軽い点が大きな利点です。一方で、DPAの締結漏れや再委託先の把握不足は、見落とされやすい落とし穴です。委託の棚卸しから始め、必須内容を満たすDPAを整えることが、データ保護コンプライアンスの土台になります。
TSM合同会社では、日系企業のドイツ・EUにおけるデータ保護対応、DPAの整備、国際データ移転の検討を支援しています。データ処理契約にお悩みの場合は、お気軽にご相談ください（法規制の初期整理・専門家連携サービスの詳細はこちら）。
本記事は2026年6月26日時点の情報に基づく一般的な解説であり、個別の法務助言に代わるものではありません。具体的な判断は最新の法令と専門家への確認のうえで行ってください。