Zum Inhalt springen
MARCODES
Abstrakte Formen aus Mattglas: zwei Blöcke, verbunden durch eine Brücke mit einem Tor in der Mitte

Auftragsverarbeitungsvertrag: was bei Web-Dienstleistern hineingehört

Einen Auftragsverarbeitungsvertrag brauchen Sie mit jedem Hoster, jeder Agentur und jedem Wartungsdienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet oder darauf zugreifen kann. Hinein gehören die acht Pflichten aus Artikel 28 Absatz 3 DSGVO, die Liste der Unterauftragnehmer, die technischen Maßnahmen und eine Regel für das Vertragsende.

8 min Lesezeit Beratung und Digitalisierung

Ein Kontaktformular, ein Kundenkonto im Shop, eine Newsletter-Liste, die Protokolle des Webservers mit IP-Adressen: Auch eine kleine Website verarbeitet personenbezogene Daten. Sobald ein Dienstleister diese Daten speichert, sichert oder bei der Arbeit an der Anwendung sehen kann, verarbeitet er sie in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag, der schriftlich oder in einem elektronischen Format vorliegen muss (Abs. 9); ein online abgeschlossener AVV genügt also.

Ob für alle Dienste einer Website ein Vertrag vorliegt, gehört zur jährlichen Prüfliste zum Datenschutz auf der Website. Hier geht es um den nächsten Schritt: was in einem solchen Vertrag stehen muss und woran Sie bei Hoster, Agentur und Wartung erkennen, ob er mehr ist als ein abgeschriebener Gesetzestext.

Wann ein AVV nötig ist

Die Datenschutzkonferenz (DSK) nennt in ihrem Kurzpapier Nr. 13 typische Fälle der Auftragsverarbeitung. Für Webprojekte passen vor allem drei: Cloud- und Hosting-Dienste, die Betreuung von Kontaktformularen und Nutzeranfragen zu Webseiten sowie die ausgelagerte Sicherung von Backups. Für Wartung und Fernwartung schreibt die DSK, dass ein Vertrag nötig ist, wenn der Dienstleister im Rahmen der Arbeit auf personenbezogene Daten zugreifen muss oder kann; die Möglichkeit des Zugriffs genügt.

Für Web-Dienstleister heißt das:

  • Hoster und Server-Betreuung: AVV nötig, weil Datenbank, Dateien und Protokolle auf seinen Systemen liegen.

  • Agentur mit Zugang zum CMS oder zum Server: AVV nötig, sobald dort Formulareinträge, Kundenkonten oder Bestellungen liegen.

  • Agentur, die nur Entwürfe und Testdaten sieht: kein AVV nötig, solange sie keinen Zugriff auf echte Daten hat. Das ändert sich mit dem ersten Zugang zum Live-System.

  • Steuerberater oder Rechtsanwalt: nach der DSK im Normalfall keine Auftragsverarbeiter, sondern eigenständig Verantwortliche.

Nutzt ein Dienstleister die Daten für eigene Zwecke, etwa für eigene Werbung, gilt er nach Art. 28 Abs. 10 insoweit selbst als Verantwortlicher, mit allen Pflichten.

Fehlt der Vertrag, ist das ein eigener Verstoß. Art. 83 Abs. 4 lit. a DSGVO sieht für Verstöße gegen die Pflichten unter anderem aus Art. 25 bis 39 Geldbußen bis 10 Millionen Euro oder bis 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Nach dem Kurzpapier kann die Buße den Auftraggeber und den Dienstleister treffen. Dazu kommt die Haftung gegenüber Betroffenen nach Art. 82.

Pflichtinhalte nach Art. 28 Abs. 3 DSGVO

Der Vertrag beschreibt zuerst den Rahmen: Gegenstand und Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen sowie Ihre Pflichten und Rechte als Verantwortlicher. Für eine Website stehen dort zum Beispiel Kontaktanfragen von Interessenten, Kundenkonten mit Bestellhistorie und Zugriffsprotokolle. Danach folgen die acht Pflichten des Dienstleisters, jede mit einer Prüffrage für Ihr Webprojekt:

  1. Lit. a, Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer. Prüfen Sie, wer bei Ihnen Weisungen geben darf und wo sie festgehalten werden, etwa im Ticketsystem. Bindet der Entwickler einen Fehlertracking-Dienst mit Sitz außerhalb der EU ein, braucht es dafür Ihre dokumentierte Weisung.

  2. Lit. b, Vertraulichkeit. Alle Personen mit Zugriff sind zur Verschwiegenheit verpflichtet, auch freie Entwickler, die die Agentur hinzuzieht.

  3. Lit. c, Maßnahmen nach Art. 32. Sie gehören als Anlage in den Vertrag, mehr dazu im übernächsten Abschnitt.

  4. Lit. d, Bedingungen für weitere Auftragsverarbeiter. Die Regeln aus Abs. 2 und 4, siehe nächster Abschnitt.

  5. Lit. e, Unterstützung bei Betroffenenrechten. Verlangt jemand Auskunft oder Löschung, muss der Dienstleister helfen. Fragen Sie, wie schnell er zum Beispiel alle Formulareinträge zu einer E-Mail-Adresse exportieren oder löschen kann.

  6. Lit. f, Unterstützung bei den Pflichten aus Art. 32 bis 36. Dazu zählt die Meldung von Datenpannen. Nach Art. 33 Abs. 2 meldet der Dienstleister eine Verletzung unverzüglich; Sie selbst haben gegenüber der Aufsichtsbehörde 72 Stunden. Eine vertragliche Frist in Stunden schafft Klarheit, wie viel davon für Sie übrig bleibt.

  7. Lit. g, Löschen oder Rückgabe nach Ende der Leistung, nach Ihrer Wahl. Ausführlich im letzten Abschnitt.

  8. Lit. h, Nachweise und Überprüfungen. Der Dienstleister stellt die nötigen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen. Zertifikate oder genehmigte Verhaltensregeln können als Nachweis dienen (Art. 28 Abs. 5).

Am Ende von Abs. 3 steht eine weitere Pflicht: Hält der Dienstleister eine Weisung für rechtswidrig, muss er Sie unverzüglich informieren.

Wer den Text aufsetzt, regelt das Gesetz nicht. Die EU-Kommission hat mit dem Durchführungsbeschluss (EU) 2021/915 vom 04.06.2021 Standardvertragsklauseln nach Art. 28 Abs. 7 veröffentlicht. Ihre Nutzung ist freiwillig; die Anhänge mit Beschreibung der Verarbeitung, Maßnahmen und Unterauftragnehmern füllen die Parteien selbst aus.

Der Digital Omnibus der EU-Kommission (COM(2025) 837 vom 19.11.2025) schlägt Änderungen an mehreren Artikeln der DSGVO vor, darunter Begriffsbestimmungen in Art. 4 und die Meldung von Datenpannen in Art. 33. Die Liste steht in Art. 3 des Vorschlags: geändert werden Art. 4, 5, 9, 12, 13, 22, 33, 35, 57, 64 und 70, neu kommen Art. 41a und Regeln nach Art. 88 hinzu. Art. 28 ist nicht darunter. Am 01.07.2026 war der Datenschutzteil des Pakets ein Vorschlag im Gesetzgebungsverfahren.

Drei Wassertröge als Kaskade: was in den ersten fließt, erreicht auch jeden weiteren, der letzte Trog in der Kette ist orange.

Unterauftragnehmer prüfen

Hinter einem Web-Dienstleister stehen weitere Anbieter. Eine Agentur nutzt zum Beispiel einen Hoster, der Hoster ein Rechenzentrum, dazu kommen Mailversand, Backup-Speicher, Fehlertracking und Ticketsystem. Jeder davon ist ein Unterauftragsverarbeiter, wenn er an Ihre Daten kommt.

Art. 28 Abs. 2 erlaubt das nur mit Ihrer vorherigen schriftlichen Genehmigung, für einen bestimmten Unterauftragnehmer oder allgemein. Bei der allgemeinen Genehmigung muss der Dienstleister Sie über jede beabsichtigte Änderung informieren, und Sie können widersprechen. Nach Abs. 4 gibt er dieselben Datenschutzpflichten an jeden Unterauftragnehmer weiter und haftet Ihnen gegenüber, wenn dieser sie nicht erfüllt.

Prüfen Sie im Vertrag:

  • Liste mit Namen: Die Anlage nennt jeden Unterauftragnehmer mit Sitz, Ort der Verarbeitung und Aufgabe. Die Fragen und Antworten der EU-Kommission zu ihren Standardvertragsklauseln stellen klar, dass Kategorien wie „Hosting-Partner“ nicht genügen.

  • Frist für Änderungen: Wie viele Tage vorher erfahren Sie von einem neuen Unterauftragnehmer, und auf welchem Weg?

  • Folge eines Widerspruchs: Die DSK schreibt, dass der Verantwortliche ohne Einigung die Unterbeauftragung per Weisung unterbinden oder die Auftragsverarbeitung beenden muss. Der Vertrag sollte sagen, was dann mit Laufzeit und Kosten geschieht.

Ob der Standort eines Unterauftragnehmers in den USA ein Problem ist und was der Cloud Act damit zu tun hat, ordnet EU-Hosting: Mehr als nur Schrems II ein.

Technische und organisatorische Maßnahmen lesen

Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind, unter Berücksichtigung des Stands der Technik und der Kosten. Genannt werden unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Die DSK rät, die mindestens erforderlichen Maßnahmen im Vertrag darzustellen.

Eine TOM-Anlage taugt etwas, wenn sie Ihren Dienst beschreibt; Angaben zum Rechenzentrum allein reichen dafür nicht. Für eine Webanwendung fragen Sie konkret:

  • Wer hat Zugang zum Server und zur Datenbank, und ist die Anmeldung mit zweitem Faktor geschützt?

  • Sind Backups verschlüsselt, wo liegen sie, und wann wurde zuletzt eine Wiederherstellung geprobt?

  • In welchem Rhythmus werden Betriebssystem, PHP und CMS aktualisiert?

  • Wie lange werden Protokolle mit IP-Adressen aufbewahrt?

  • Wie sind die Daten mehrerer Kunden auf gemeinsam genutzten Systemen getrennt?

Wie Updates, Backups und Reaktionszeiten in einem Betreuungsvertrag mit Zahlen hinterlegt werden, steht unter Was gehört in einen Wartungsvertrag für Webanwendungen?. Die TOM-Anlage im AVV beschreibt den Schutz, der Wartungsvertrag die Leistung; beide sollten zueinander passen.

Was bei Vertragsende mit den Daten passiert

Nach lit. g löscht der Dienstleister nach Ende der Leistung alle personenbezogenen Daten oder gibt sie zurück, nach Ihrer Wahl, und löscht vorhandene Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. In Webprojekten hängt daran mehr, als der Satz vermuten lässt.

Eine Beispielrechnung: Der Hoster bewahrt tägliche Backups 30 Tage und monatliche Backups zwölf Monate auf. Endet der Vertrag am 30.06. und entsteht an diesem Tag die letzte monatliche Sicherung, liegt sie mit Ihren Daten bis zum 30.06. des Folgejahres auf seinen Systemen, zwölf Monate nach Vertragsende. Die letzte tägliche Sicherung ist dagegen nach 30 Tagen fort. Der Vertrag sollte deshalb sagen, ob Backups sofort gelöscht werden oder mit dem regulären Zyklus auslaufen.

Regeln Sie außerdem:

  • Format der Rückgabe: Datenbank-Export, Formulareinträge als CSV, hochgeladene Dateien als Archiv.

  • Zeitpunkt: erst Rückgabe und Ihre Bestätigung, dann Löschung.

  • Nachweis: eine schriftliche Bestätigung der Löschung, einschließlich Backups und Kopien auf Arbeitsrechnern.

Unser eigenes Hosting liegt in deutschen Rechenzentren, mit AVVs als Grundlage; welche Schutzmaßnahmen wir dazu zusagen, steht auf der Seite zu Sicherheit und Compliance.

Vor der Unterschrift einmal gegenlesen

Legen Sie den Vertrag Ihres Hosters oder Ihrer Agentur neben die acht Punkte aus Art. 28 Abs. 3 und markieren Sie, was fehlt oder nur den Gesetzestext wiederholt. Wie unser Hosting in Deutschland aufgebaut ist, steht auf der Hosting-Seite.

Hosting in Deutschland ansehen

Hoster und Agentur

Häufige Fragen

  • Sobald auf seinen Servern personenbezogene Daten liegen, also Datenbank, Formulareinträge, E-Mails oder Protokolle mit IP-Adressen, ist er Auftragsverarbeiter und braucht einen Vertrag mit Ihnen. Legt der Hoster einen Standardtext vor, prüfen Sie darin vor allem die Liste der Unterauftragnehmer und die Orte der Verarbeitung.

  • Die DSGVO legt nicht fest, wer den Entwurf schreibt; verantwortlich für einen ausreichenden Vertrag bleiben Sie als Auftraggeber. Legt der Dienstleister einen eigenen Text vor, prüfen Sie ihn gegen Art. 28 Abs. 3. Alternativ dienen die Standardvertragsklauseln der EU-Kommission als Vorlage.

Nachweise

Quellen und Stand

Stand: 01.07.2026. Beschrieben ist die Rechtslage zu diesem Datum; keine Rechtsberatung.

Artikel teilen