Wenn ich bei neuen Kundenprojekten die DSGVO-Situation prüfe, stoße ich auf denselben blinden Fleck: Das Impressum sitzt, die Datenschutzerklärung ist halbwegs aktuell - aber Auftragsverarbeitungsverträge fehlen komplett. Dabei ist der Auftragsverarbeitungsvertrag für Webseiten keine Kür, sondern seit Mai 2018 gesetzlich vorgeschrieben.

Ich bin Webentwickler, kein Rechtsanwalt. Dieser Artikel ersetzt keine Rechtsberatung, gibt aber einen praxisnahen Überblick darüber, welche Verträge Sie für Ihre Webseite tatsächlich brauchen und wo Sie sie finden.

Was ist ein Auftragsverarbeitungsvertrag überhaupt?

Ein Auftragsverarbeitungsvertrag (kurz AVV, manchmal auch als DPA - Data Processing Agreement bezeichnet) regelt das Verhältnis zwischen Ihnen als Verantwortlichem und einem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Die Rechtsgrundlage ist Art. 28 der DSGVO.

Das Prinzip dahinter ist einfach: Wenn Sie einen externen Anbieter einsetzen, der Zugriff auf Daten Ihrer Nutzer, Kunden oder Kontakte hat, bleiben Sie als Webseitenbetreiber dafür verantwortlich, was mit diesen Daten passiert. Der AVV legt fest, dass der Dienstleister nur nach Ihren Weisungen handelt, welche Sicherheitsmaßnahmen er einsetzt und was im Fall eines Datenlecks zu tun ist.

Der Begriff "Auftragsverarbeitung" klingt sperrig, aber das Konzept dahinter ist logisch: Sie geben Daten nicht aus der Hand, sondern lassen sie von jemandem anderen in Ihrem Auftrag bearbeiten. Der Unterschied zur gemeinsamen Verantwortlichkeit (Art. 26 DSGVO) liegt darin, dass der Dienstleister keinen eigenen Zweck mit den Daten verfolgt.

Wann brauchen Sie einen AVV?

Die Pflicht entsteht immer dann, wenn drei Bedingungen gleichzeitig erfüllt sind:

1. Ein externer Dienstleister hat Zugriff auf personenbezogene Daten.
2. Dieser Dienstleister handelt in Ihrem Auftrag - nicht auf eigene Rechnung.
3. Es geht um eine gewerbliche oder berufliche Webseite (private Nutzung ist ausgenommen).

Personenbezogene Daten im Kontext einer Webseite sind zum Beispiel: E-Mail-Adressen aus Kontaktformularen, IP-Adressen in Server-Logfiles, Namen aus Newsletter-Anmeldungen, Kaufdaten im WooCommerce-Shop oder Tracking-Daten aus Analytics-Tools.

Bis 10 Mio. EURmaximales Bußgeld bei fehlendem AVV (Art. 83 Abs. 4 DSGVO)
10 Pflichtinhaltemuss jeder AVV nach Art. 28 Abs. 3 DSGVO enthalten
3 Kernanbietermindestens betroffen bei fast jeder Webseite: Hoster, Newsletter, Analytics
2 %Jahresumsatz als Alternative zur Fixstrafe als Bußgeld-Obergrenze

Die drei Pflicht-AVVs für jede Webseite

In der Praxis gibt es mindestens drei Dienstleisterkategorien, bei denen ein Auftragsverarbeitungsvertrag fast immer notwendig ist.

1. Webhoster

Ihr Hosting-Anbieter speichert alle Daten, die auf Ihrer Webseite anfallen: Logfiles mit IP-Adressen, Formulardaten, bei WooCommerce-Shops auch Kundendaten. Der Hoster hat technischen Zugriff auf diese Daten - damit ist die Pflicht zum AVV klar.

Die gute Nachricht: Fast alle etablierten deutschen und europäischen Hoster bieten einen AVV im Kundenbereich an. Bei IONOS, Strato, Hetzner, All-Inkl oder mittleren Managed-WordPress-Hostern finden Sie den Vertrag meist unter "Datenschutz" oder "Rechtliches" im Login-Bereich. Manchmal muss man ihn aktiv anfordern oder bestätigen - einfach dort schauen.

Bei einem Kundenprojekt aus Hamburg stellte sich bei der DSGVO-Prüfung heraus, dass der Hoster (ein großer deutscher Anbieter) den AVV nur über ein verstecktes PDF-Formular im Hilfebereich anbot. Die Unternehmerin hatte die Webseite seit drei Jahren online, ohne das je gesehen zu haben. Zehn Minuten später war der Vertrag unterschrieben und archiviert.

2. Newsletter-Tool

Wer E-Mail-Marketing betreibt, speichert Abonnentendaten bei einem externen Anbieter. Gängige Tools wie Mailchimp, Brevo (ehemals Sendinblue), CleverReach oder KlickTipp verarbeiten diese Daten auf ihren Servern - das ist klassische Auftragsverarbeitung.

Bei EU-basierten Anbietern wie Brevo (Frankreich) oder CleverReach (Deutschland) beschränkt sich die Dokumentation auf den AVV. Bei US-Anbietern wie Mailchimp kommt eine Drittlandfrage hinzu: Seit dem EuGH-Urteil vom September 2025 gilt das EU-US Data Privacy Framework als gültige Grundlage, aber prüfen Sie, ob Ihr konkreter Anbieter zertifiziert ist und ob er ergänzend Standardvertragsklauseln (SCC) anbietet.

Newsletter-Anbieter im AVV-Vergleich

KriteriumEU-Anbieter (z.B. Brevo)US-Anbieter (z.B. Mailchimp)
AVV vorhandenJa, im KundenbereichJa, als DPA abrufbar
DrittlandübermittlungNein (EU-Server)Ja - DPF-Zertifizierung prüfen
SCC zusätzlich nötigNeinEmpfehlenswert als Zusatzsicherung
Sprache des VertragsOft DeutschMeist Englisch
Aufwand ErsteinrichtungGeringMittel (DPF-Status prüfen)

3. Analytics- und Tracking-Dienste

Google Analytics 4 verarbeitet Nutzerdaten auf Google-Servern. Google stellt einen AVV (Data Processing Terms) bereit, den Sie in der Google Analytics-Einstellungsoberfläche unter "Datenverwaltung" aktivieren müssen - er ist nicht automatisch aktiv. Gleiches gilt für Google Search Console, Google Tag Manager und ähnliche Dienste.

Alternativen wie Matomo (selbst gehostet) oder Plausible (EU-Server) haben entweder keinen Drittlandbezug oder stellen AVVs unkompliziert bereit.

Google Analytics ohne aktiven AVV ist nicht DSGVO-konform - auch wenn Consent Mode korrekt eingerichtet ist. Der Consent Mode regelt, ob Daten erhoben werden dürfen. Der AVV regelt, unter welchen Bedingungen Google diese Daten verarbeitet. Beides ist notwendig, keines ersetzt das andere.

Weitere Anbieter, die oft übersehen werden

Neben den drei Kernbereichen gibt es weitere Dienste, bei denen ein AVV erforderlich sein kann:

AVV-Checkliste: Diese Anbieter prüfen

  • Kontaktformular-Plugin mit Cloud-Funktion (z.B. Gravity Forms + Zapier-Anbindung)
  • Live-Chat-Tools (Tawk.to, Intercom, Tidio)
  • Buchungssysteme und Terminplaner (Calendly, acuity scheduling)
  • CDN-Anbieter, die Anfragen routen (Cloudflare, BunnyCDN)
  • CRM-Systeme, in die Webseiten-Leads landen
  • E-Commerce-Zahlungsanbieter (Stripe, PayPal) - oft eigene DPA vorhanden
  • Hosting-Dienstleister für Formular-Submissions (z.B. Netlify Forms)
  • Heatmap- oder Session-Recording-Tools (Hotjar, Microsoft Clarity)

Was muss ein AVV nach Art. 28 DSGVO enthalten?

Art. 28 Abs. 3 DSGVO schreibt zehn Pflichtinhalte vor. Wenn Sie einen vorformulierten DPA von einem Anbieter unterzeichnen, prüfen Sie, ob diese Punkte alle abgedeckt sind:

Vorteile

  • Gegenstand und Dauer der Verarbeitung klar beschrieben
  • Art, Zweck und Kategorien der verarbeiteten Daten benannt
  • Weisungsbindung des Dienstleisters festgelegt
  • Vertraulichkeitspflicht für Mitarbeiter geregelt
  • Technisch-organisatorische Maßnahmen (TOMs) dokumentiert oder referenziert
  • Unterauftragsverarbeiter aufgelistet oder Verfahren für Änderungen festgelegt
  • Rechte Betroffener: Anbieter unterstützt bei Auskunft, Löschung usw.
  • Auditrechte des Verantwortlichen vereinbart

Nachteile

  • Fehlende Beschreibung der TOMs ("ausreichende Maßnahmen" reicht nicht)
  • Keine Regelung zu Unterauftragsverarbeitern
  • Pflicht zur Information bei Datenpannen fehlt
  • Kein Verfahren für die Datenlöschung nach Vertragsende

Wie Sie den AVV in der Praxis abschließen

Der Ablauf ist bei den meisten Anbietern inzwischen unkompliziert:

1. Im Kundenbereich nach "AVV", "DPA", "Datenschutzvertrag" oder "Data Processing Agreement" suchen.
2. Den Vertrag lesen - zumindest die Abschnitte zu TOMs, Unterauftragsverarbeitern und Drittlandübermittlung.
3. Elektronisch unterzeichnen oder bestätigen (das ist nach Art. 28 Abs. 9 DSGVO ausdrücklich erlaubt).
4. Kopie speichern: PDF herunterladen oder Screenshot mit Datum machen und im Ordner "DSGVO-Dokumentation" ablegen.

Für Webseiten, die ich betreue, gehört die AVV-Prüfung zum Standard-Launch-Prozess. Ich lege gemeinsam mit dem Kunden eine kurze Liste aller eingesetzten Dienste an und hake Schritt für Schritt ab, welcher AVV wo abgerufen und gespeichert wurde. Das dauert beim ersten Mal 30 bis 60 Minuten und gibt danach dauerhaft Sicherheit.

Legen Sie sich einen Ordner "DSGVO / AVV" in Ihrem Cloud-Speicher an und speichern Sie dort für jeden Dienstleister: den Vertragsnamen, das Datum des Abschlusses und eine PDF-Kopie. Das reicht aus, um bei einer Prüfung durch die Datenschutzbehörde alles griffbereit zu haben.

Drittlandübermittlung: Was bei US-Diensten zusätzlich gilt

Für Anbieter außerhalb der EU und des EWR - also vor allem US-Unternehmen - braucht es zusätzlich zum AVV eine Grundlage für die Datenübermittlung ins Drittland. Aktuell gibt es drei Optionen:

  • EU-US Data Privacy Framework (DPF): Seit dem EuGH-Urteil vom September 2025 gilt der Angemessenheitsbeschluss der EU-Kommission als stabil. Anbieter wie Google, Meta und Mailchimp sind zertifiziert - prüfbar unter dataprivacyframework.gov.
  • Standardvertragsklauseln (SCC): Vom Anbieter ausgerollte Standardverträge der EU-Kommission. Viele Anbieter kombinieren DPF-Zertifizierung und SCC als Doppelsicherung.
  • Einwilligung: Möglich, aber für dauerhafte Webseiten-Nutzung nicht praktikabel.

Bei einem Kundenshop aus dem Bereich Kinderausstattung haben wir bewusst auf Mailchimp verzichtet und sind auf CleverReach (deutsches Unternehmen, Server in Frankfurt) umgezogen - das hat die Datenschutzdokumentation deutlich vereinfacht und dem Kunden die DPF-Prüfpflicht erspart.

Typische Fehler beim AVV

In meiner Projektpraxis begegnen mir dieselben Fehler immer wieder:

  • AVV vorhanden, aber veraltet: Der Vertrag wurde 2018 abgeschlossen, seitdem hat der Anbieter zweimal seine Unterauftragsverarbeiter geändert - ohne dass jemand das geprüft hat.
  • AVV für einen Dienst, aber nicht für alle: Google Analytics hat einen AVV, der Hoster keinen.
  • AVV nicht dokumentiert: Der Vertrag wurde irgendwann geklickt, aber es gibt keine gespeicherte Kopie.
  • DPA des Anbieters ungeprüft akzeptiert: Einige vorformulierte DPAs von kleineren Anbietern sind unvollständig - zum Beispiel fehlt die Auflistung von Unterauftragsverarbeitern oder die Beschreibung der TOMs ist nichtssagend.

Falls Sie Ihre Webseite gerade neu aufsetzen oder einen Relaunch planen, ist der beste Moment, die AVV-Situation sauber zu dokumentieren, bevor die Seite live geht.

Häufige Fragen

Muss ich mit meinem Webhoster einen AVV abschließen?

Ja, das ist Pflicht. Sobald der Hoster Zugriff auf Serverdaten hat, auf denen personenbezogene Daten liegen (zum Beispiel Kontaktformulareingaben, IP-Adressen in Logfiles oder Kundendaten), besteht nach Art. 28 DSGVO eine Pflicht zum AVV. Die meisten seriösen Hoster bieten diesen Vertrag im Kundenbereich zum Abruf an.

Reicht es, wenn ich den DPA des Anbieters einfach online bestätige?

Das kommt auf den Inhalt an. Viele Anbieter bieten ihren AVV als Online-Formular oder als Klick-through-DPA an - das ist nach DSGVO zulässig, solange die zehn Pflichtinhalte gemäß Art. 28 Abs. 3 DSGVO enthalten sind. Ich empfehle, den Text einmal durchzulesen und eine Kopie zu speichern, damit Sie bei einer Prüfung nachweisen können, wann und mit wem Sie den Vertrag geschlossen haben.

Gilt der AVV auch für kleine Webseiten ohne Shop?

Ja. Die DSGVO unterscheidet nicht nach Unternehmensgröße oder Umsatz. Schon ein einfaches Kontaktformular oder Google Analytics reicht aus, um die Pflicht zum AVV zu begründen. Ausnahmen gibt es nur für rein private Webseiten ohne jeglichen geschäftlichen Zweck.

Benötige ich bei einem US-Anbieter etwas zusätzlich zum AVV?

Ja. Bei Dienstleistern mit Sitz in den USA brauchen Sie neben dem AVV eine gültige Grundlage für die Drittlandübermittlung. Das kann entweder ein Angemessenheitsbeschluss der EU-Kommission sein (zum Beispiel das EU-US Data Privacy Framework, das seit September 2025 durch den EuGH bestätigt ist) oder Standardvertragsklauseln (SCC) plus einer Transfer Impact Assessment. Ohne diese Grundlage ist die Übermittlung unzulässig.

Wie lange muss ich den AVV aufbewahren?

Der AVV selbst hat keine gesetzlich vorgeschriebene Aufbewahrungsfrist in der DSGVO. Praktisch sollten Sie ihn so lange aufbewahren, wie die Zusammenarbeit mit dem Dienstleister besteht, plus einen angemessenen Puffer danach - ich rate zu mindestens drei Jahren nach Vertragsende. Bei einer Prüfung durch die Datenschutzbehörde müssen Sie den Abschluss nachweisen können.

Was passiert, wenn ich keinen AVV habe?

Ein fehlender AVV ist ein Verstoß gegen Art. 28 DSGVO und kann nach Art. 83 Abs. 4 DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. In der Praxis sind kleine Unternehmen seltener betroffen als große, aber Beschwerden von Nutzern können Prüfungen auslösen - auch bei kleinen Betrieben.


, , , , ,