Muss ich eine Auftragsverarbeitungsvereinbarung unterzeichnen, die mein Kunde schickt?

Unterzeichnen ist keine Verpflichtung, Überprüfung schon

Nein, es gibt keine gesetzliche Verpflichtung, eine Auftragsverarbeitungsvereinbarung zu unterzeichnen, nur weil ein Kunde sie einreicht. Eine Auftragsverarbeitungsvereinbarung ist eine Vereinbarung zwischen zwei Parteien, und wie bei jeder Vereinbarung gilt: Sie prüfen zunächst, was darin steht, bevor Sie unterschreiben. Der Kunde, der die Vereinbarung einsendet, bestimmt nicht automatisch den Inhalt — dieser Inhalt muss bestimmte Anforderungen erfüllen, und das ist etwas anderes als "muss ich dieses Dokument akzeptieren".

Was jedoch relevant ist: Wenn Sie als Auftragsverarbeiter Personendaten im Auftrag dieses Kunden verarbeiten, schreibt die DSGVO vor, dass eine Auftragsverarbeitungsvereinbarung vorhanden sein muss, mit einer Reihe verbindlicher Bestandteile. Es geht also nicht darum, ob Sie unterschreiben, sondern ob der Text, den Sie erhalten, diese Bestandteile abdeckt und mit dem übereinstimmt, was in der Praxis geschieht. Ein Konzept, das zu breit formuliert ist, Dinge regelt, die nicht mit der tatsächlichen Dienstleistung übereinstimmen, oder Bestandteile fehlen, ist ein Grund, Anpassungen vorzunehmen oder eine eigene Version vorzuschlagen — nicht, um einfach zu unterschreiben.

Was Artikel 28 DSGVO hierzu regelt

Artikel 28 der DSGVO bestimmt, dass die Verarbeitung durch einen Auftragsverarbeiter durch eine Vereinbarung oder eine andere Rechtshandlung geregelt sein muss, und zählt auf, welche Themen darin behandelt werden müssen — unter anderem der Gegenstand und die Dauer der Verarbeitung, die Art und der Zweck, die Art der Personendaten und die Kategorien betroffener Personen, sowie die Pflichten und Rechte des für die Verarbeitung Verantwortlichen. Dieser Artikel sagt nichts darüber, wer das Dokument erstellt oder einreicht; er sagt nur, was darin stehen muss. Den vollständigen Text finden Sie in der Verordnung selbst, und bei Zweifeln an einem konkreten Text kann die Wissensdatenbank der Autoriteit Persoonsgegevens als Hintergrund dienen — obwohl diese Behörde nicht für die Bewertung einzelner Verträge zuständig ist.