kann ich eine bereits unterzeichnete Auftragsverarbeitungsvereinbarung noch ändern

Ja, Änderungen sind möglich, solange beide Parteien zustimmen

Eine unterzeichnete Datenverarbeitungsvereinbarung ist kein Dokument, das nach der Unterzeichnung bis zum Ende der Zusammenarbeit festgelegt ist. Wie bei jedem anderen Vertrag gilt: Parteien können gemeinsam beschließen, etwas anzupassen: einen neuen Auftragsverarbeiter hinzufügen, eine Aufbewahrungsfrist ändern oder Vereinbarungen verschärfen, weil sich etwas in der Zusammenarbeit geändert hat. Solange beide Parteien der Anpassung zustimmen, steht einer Überprüfung der Vereinbarung nichts im Wege.

Was dabei zählt, ist, dass die Vereinbarung weiterhin den Anforderungen von Artikel 28 der DSGVO genügt. Wenn sich die Art und Weise ändert, wie ein Anbieter Daten verarbeitet, kommt eine neue Partei hinzu, die als Auftragsverarbeiter fungiert, oder der Zweck der Verarbeitung ändert sich, dann ist das oft genau der Moment, in dem was in eine Datenverarbeitungsvereinbarung gehört wieder relevant wird: Der vorhandene Text deckt die neue Situation möglicherweise nicht mehr ab. Eine Änderung kann mit einer Ergänzung, einem neuen Anhang oder durch erneute Unterzeichnung der gesamten Vereinbarung dokumentiert werden — die Form ist weniger wichtig als die Tatsache, dass beide Parteien schriftlich festhalten, was vereinbart wurde.

Worauf dies zurückgeht: Artikel 28 DSGVO

Artikel 28 der DSGVO schreibt vor, welche Themen eine Datenverarbeitungsvereinbarung enthalten muss, legt aber nirgends fest, dass ein einmal unterzeichneter Text nicht mehr geändert werden darf. Die Richtlinien des Europäischen Datenschutzausschusses betonen vor allem, dass der Inhalt der Vereinbarung die Praxis der Verarbeitung widerspiegeln muss — ändert sich diese Praxis, ist es logisch, dass die Vereinbarung angepasst wird. Eine Vereinbarung, die überhaupt nicht aufgestellt wurde, birgt ein anderes Risiko als eine Vereinbarung, die aktualisiert wird; welche Folgen dies haben kann, ist beschrieben unter was passiert, wenn es keine Datenverarbeitungsvereinbarung mit einem Anbieter gibt. Auch eine Änderung, die nur per E-Mail vereinbart wurde, wirft übrigens dieselbe Frage auf wie beim ersten Vertrag: ob das ausreicht, ist beschrieben unter ob eine Datenverarbeitungsvereinbarung auch mündlich oder per E-Mail vereinbart werden kann.