kann eine Auftragsverarbeitungsvereinbarung auch mündlich oder per E-Mail vereinbart werden

Mündlich oder per E-Mail ist nicht ausreichend

Nein, eine mündliche Absprache oder ein loser E-Mail-Austausch genügt nicht als Auftragsverarbeitungsvertrag. Artikel 28 der DSGVO schreibt vor, dass die Absprachen zwischen einem Verantwortlichen und einem Auftragsverarbeiter in einem Vertrag oder einer anderen Rechtshandlung festgehalten werden müssen, die schriftlich erfolgt ist, wobei schriftlich auch elektronisch sein darf. Eine telefonische Zusage oder eine mündliche Absprache während eines Gesprächs fällt nicht darunter: Sie ist nicht in einer Weise festgehalten, die nachträglich überprüft werden kann.

Ein E-Mail-Austausch liegt irgendwo dazwischen. Einzelne E-Mails, in denen Parteien einige Absprachen über die Datenverarbeitung erwähnen, sind für sich genommen normalerweise kein vollständiger Auftragsverarbeitungsvertrag, da die DSGVO Anforderungen an den Inhalt stellt, die in einem solchen E-Mail-Austausch typischerweise nicht vollständig enthalten sind. Ein schriftliches oder elektronisches Dokument, das diesen Inhalt tatsächlich vollständig regelt — und das auch per E-Mail ausgetauscht und vereinbart wurde — kann als Auftragsverarbeitungsvertrag gelten. Es geht also nicht um das Medium an sich, sondern um die Frage, ob alle erforderlichen Bestandteile enthalten sind und ob festgehalten ist, dass beide Parteien damit einverstanden sind. Was genau darin enthalten sein muss, ist beschrieben auf was muss in einen Verarbeitungsvertrag.

Woraus sich das aus Artikel 28 DSGVO ergibt

Artikel 28 Absatz 3 der DSGVO bestimmt, dass die Verarbeitung durch einen Auftragsverarbeiter durch einen Vertrag oder eine andere Rechtshandlung geregelt wird, die die Parteien bindet, und dass dieser schriftlich festgehalten werden muss, einschließlich in elektronischer Form. Diese Anforderung gilt überall in der EU auf die gleiche Weise, da die DSGVO eine Verordnung ist, die unmittelbar wirkt; es gibt auf diesem Punkt keinen Raum für eine abweichende nationale Ausgestaltung. Wer unsicher ist, ob eine bestehende Absprache mit einem Dienstleister diese Anforderung erfüllt, kann dies überprüfen über die Kontrolle auf oder ob die verwendete Software die DSGVO erfüllt; für Hintergrund über die Folgen des Fehlens eines solchen Vertrags gibt es die Seite über was ohne Auftragsverarbeitungsvertrag mit einem Dienstleister geschieht. Für den offiziellen Text des Artikels selbst ist die Fundstelle die DSGVO auf EUR-Lex, und für Erläuterungen des niederländischen Aufsichtsrats ist die Autoriteit Persoonsgegevens die zuständige Quelle.