Auftragsverarbeitungsvertrag: Abschluss per E-Mail zulässig?

Wie schließt man eigentlich einen Auftragsverarbeitungsvertrag mit Kunden? Müssen wir den Auftragsverarbeitungsvertrag schriftlich schließen? Genügt es den Auftragsverarbeitungsvertrag per E-Mail zu versenden? 

Diese Fragen erreichen mich häufig in meinem Kanzleialltag. Ich möchte daher kurz zusammenfassen, in welcher Form Auftragsverarbeitungsverträge zu schließen sind. 

Gemäß Art. 28 Absatz 9 DSGVO sind Auftragsverarbeitungsverträge "schriftlich" abzufassen, wobei gemäß Halbsatz 2 auch "elektronische Formate" ausreichend sind. Es stellt sich also die Frage, was genau unter "schriftlich" und "elektronischem Format" als Ersatz für die Schriftform verstanden wird. 

Problem: „Schriftform“ nach deutschem Recht vs. „Schriftform“ nach europäischem Recht

In Deutschland bedeutet "Schriftform" beim Abschluss von Rechtsgeschäften, dass die Urkunde vom Aussteller eigenhändig (!) durch Namensunterschrift oder notariell beglaubigten Handzeichens unterzeichnet werden muss. Ersetzt werden kann die Schriftform ausschließlich mittels "qualifizierter elektronischer Signatur", § 126a BGB, d.h. der Aussteller einer Urkunde muss seinen Namen hinzufügen und das elektronische Dokument mit einer qualifizierten elektronischen Signatur versehen, die er zuvor über einen Zertifikatanbieter erworben hat. Weder fortgeschrittene noch einfache elektronische Signaturen genügen um dem Schriftformerfordernis nach deutschem Recht gerecht zu werden. Ist für ein Rechtsgeschäft also Schriftform vorgeschrieben, kann das Rechtsgeschäft nicht per Telefax oder E-Mail geschlossen werden.

Es herrscht jedoch Einigkeit darüber, dass der europäische Gesetzgeber beim Schriftformerfordernis nicht das Verständnis der deutschen Norm des § 126a BGB zugrunde gelegt hat und daher keine qualifizierte elektronische Signatur als Ersatz zur Schriftform fordert. Abgestellt werden muss insoweit u.a. auf den Sinn und Zweck des Art. 28 DSGVO. Mit der dort angeordneten Schriftform soll lediglich sichergestellt werden, dass die Beteiligten die Möglichkeit haben, sich dauerhaft und zuverlässig über den Inhalt des AVV oder einer einseitigen Verpflichtungserklärung zu informieren. Diese Anforderungen werden jedoch auch durch die sog. Textform im Sinne des § 126b BGB erfüllt. Bei der Textform handelt es sich um eine unterschriftslose Erklärung, die auf einem dauerhaften Datenträger (eine Download-Möglichkeit kann genügen) abgegeben wird und gegen nachträgliche Änderungen geschützt ist. 

Das Europäische Parlament hat auf eine Anfrage mitgeteilt, dass eine qualifizierte, elektronische Signatur für einen AVV nicht erforderlich ist, wenn auf elektronischem Wege ein derartiger Vertrag geschlossen werden soll.

Fazit:

Der Abschluss eines AVV bedarf nach herrschender Meinung keiner qualifizierten elektronischen Signatur, es genügt vielmehr Textform, d.h. ein elektronisches Format, das auf einem dauerhaften Datenträger abgegeben wird und gegen nachträgliche Änderungen geschützt ist (bspw. schreibgeschütztes PDF). Diese Meinung vertritt jedenfalls das Bayerische Landesamt für Datenschutzaufsicht.

Haben Sie Fragen aus dem Bereich des Datenschutzrechts? Dann stehe ich Ihnen als Fachanwältin für IT-Recht und zertifizierte Datenschutzbeauftragte (TÜV Nord) gerne zur Verfügung.