Auftragsverarbeitung – welche Verträge deine Website braucht

Deine Website verarbeitet Daten – aber fast nie allein auf deinem eigenen Rechner. Der Hoster speichert die Zugriffsprotokolle, der Newsletter-Dienst die Adressen, das Statistik-Werkzeug die Seitenaufrufe. Sobald ein anderes Unternehmen in deinem Auftrag mit den Daten deiner Besucher umgeht, verlangt Artikel 28 DSGVO einen Vertrag darüber: den Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV.

Von außen ist nicht zu erkennen, ob es diese Verträge gibt. Deshalb fragt der DSGVO-Check an dieser Stelle dich. Diese Seite hilft dir, die Frage ehrlich zu beantworten – und die Lücken zu schließen, falls es welche gibt.

Vorab: Ich bin Programmierer und Gestalter, kein Rechtsanwalt. Das hier ist Praxiswissen aus der Arbeit an vielen Websites, keine Rechtsberatung.

Was Auftragsverarbeitung bedeutet

Verantwortlich für die Daten bist du. Du entscheidest, wozu sie erhoben werden und was mit ihnen geschieht. Ein Auftragsverarbeiter ist jemand, der diese Daten nach deiner Weisung verarbeitet und kein eigenes Interesse an ihnen verfolgt. Er ist dein verlängerter Arm.

Der Vertrag hält genau das fest: Der Dienstleister darf die Daten nur für deinen Zweck verwenden, muss sie schützen und am Ende zurückgeben oder löschen. Ohne diesen Vertrag ist die Weitergabe der Daten an ihn rechtlich eine Übermittlung an einen Dritten – und für die fehlt in aller Regel die Grundlage.

Mit wem du einen Vertrag brauchst

Bei einer normalen Unternehmens-Website sind es fast immer dieselben Kandidaten:

Der letzte Punkt wird am häufigsten vergessen. Wer deine Website betreut und dabei Formular-Einsendungen, Kundenkonten oder Protokolle sehen kann, ist Auftragsverarbeiter – auch wenn er die Daten nie gezielt anschaut.

Eine gute Ausgangsliste liefert dir der DSGVO-Check selbst: Unter „Alle gemessenen Dienste" steht, welche fremden Anbieter deine Website tatsächlich einbindet. Dazu kommen die, die von außen unsichtbar sind – Hoster, Backup, E-Mail.

Mit wem du keinen brauchst

Nicht jeder, der Daten von dir bekommt, ist Auftragsverarbeiter. Wer die Daten in eigener Verantwortung verarbeitet, braucht keinen AV-Vertrag:

• Steuerberater, Rechtsanwälte, Wirtschaftsprüfer – sie arbeiten fachlich eigenverantwortlich.
• Banken und Zahlungsdienstleister – sie wickeln Zahlungen nach eigenen gesetzlichen Pflichten ab.
• Post und Paketdienste.
• Soziale Netzwerke, wenn du dort eine Seite betreibst oder ihre Bausteine einbindest. Hier liegt meist eine gemeinsame Verantwortlichkeit vor (Artikel 26 DSGVO) – das ist eine andere Vereinbarung, die die Netzwerke in ihren Bedingungen bereitstellen.

Und: Was du lokal auf deinem eigenen Server betreibst, braucht gar keinen zusätzlichen Vertrag. Lokal eingebundene Schriften oder eine selbst gehostete Statistik laufen unter dem Vertrag mit deinem Hoster mit. Das ist einer der Gründe, warum sich lokales Einbinden lohnt.

Was im Vertrag stehen muss

Artikel 28 Absatz 3 DSGVO gibt den Inhalt vor. Du musst das nicht selbst formulieren, aber du solltest erkennen, ob ein vorgelegter Vertrag vollständig ist:

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck – was der Dienstleister konkret tut
• Art der Daten und Kreis der Betroffenen – etwa „Kontaktdaten von Website-Besuchern"
• Bindung an deine Weisungen
• Verschwiegenheit der Beschäftigten des Dienstleisters
• Technische und organisatorische Schutzmaßnahmen, meist als Anlage
• Unterauftragnehmer – wer sie sind und dass du über Wechsel informiert wirst
• Unterstützung bei Anfragen von Betroffenen und bei Datenpannen
• Löschung oder Rückgabe der Daten nach Vertragsende
• Nachweise und Kontrollrechte – wie du prüfen kannst, dass er sich daran hält

Der Vertrag muss nicht auf Papier unterschrieben sein. Ein elektronischer Abschluss genügt – etwa ein Klick im Kundenkonto, der dokumentiert wird.

So kommst du in einer Stunde zu deinen Verträgen

1. Liste anlegen. Alle Dienste aufschreiben, die mit deiner Website zu tun haben. Ergebnis des DSGVO-Checks dazunehmen, Hoster und E-Mail ergänzen.
2. Einordnen. Für jeden Dienst: Arbeitet er nach deiner Weisung (AV-Vertrag nötig), eigenverantwortlich (kein Vertrag) oder mit dir gemeinsam (andere Vereinbarung)?
3. Im Kundenkonto nachsehen. Praktisch alle seriösen Anbieter stellen den Vertrag fertig bereit – meist unter Stichworten wie „Datenschutz", „Auftragsverarbeitung", „AVV" oder „DPA" (Data Processing Agreement). Abschließen dauert wenige Minuten und kostet nichts.
4. Ablegen. Vertrag als PDF speichern, mit Datum. Ein Ordner „Auftragsverarbeitung" genügt.
5. Eintragen. Die Dienstleister gehören als Empfänger in dein Verarbeitungsverzeichnis und in die Datenschutzerklärung.

Findest du bei einem Anbieter keinen Vertrag und bekommst auf Nachfrage auch keinen, ist das ein deutliches Signal. Dann ist der Wechsel zu einem anderen Anbieter die saubere Lösung.

Anbieter außerhalb der EU

Sitzt der Dienstleister in den USA oder verarbeitet er dort, reicht der AV-Vertrag allein nicht. Zusätzlich braucht die Übermittlung eine eigene Grundlage: derzeit die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework oder Standardvertragsklauseln. Seriöse Anbieter liefern beides zusammen mit dem AV-Vertrag. Achte darauf, dass die Standardvertragsklauseln als Rückfallebene vereinbart sind – falls das Abkommen einmal wegfällt, musst du dann nicht neu verhandeln.

Mit dem Vertrag ist es nicht ganz getan

Du darfst nur Dienstleister einsetzen, die „hinreichende Garantien" bieten. Im Alltag heißt das: einmal hinschauen, bevor du dich entscheidest, und danach gelegentlich wieder.

• Vor der Auswahl: Gibt es eine nachvollziehbare Beschreibung der Schutzmaßnahmen? Ein anerkanntes Zertifikat wie ISO 27001 ist ein gutes Zeichen.
• Einmal im Jahr: Liste durchgehen. Werden alle Dienste noch genutzt? Hat ein Anbieter neue Unterauftragnehmer gemeldet? Gekündigte Dienste – sind die Daten dort gelöscht?

Dass Aufsichtsbehörden das ernst nehmen, zeigt der bislang größte deutsche Fall: Beim Bußgeld gegen Vodafone im Juni 2025 entfiel ein Drittel der Summe ausdrücklich auf die mangelhafte Kontrolle von Auftragsverarbeitern. Für kleine Unternehmen geht es um andere Größenordnungen – der Maßstab ist derselbe.

Die häufigsten Fehler

• Der Hoster fehlt. Weil er „nur den Server" stellt. Er speichert aber die Zugriffsprotokolle.
• Verträge für Dienste, die längst abgeschaltet sind – und keiner für den, der neu dazukam.
• Die Agentur fehlt. Siehe oben.
• Abgeschlossen, aber nicht auffindbar. Wer den Vertrag nicht vorlegen kann, steht vor der Behörde da wie ohne.