Brauche ich einen AVV mit meinem Hoster?

Ja. Ihr Hoster speichert die Seite und damit auch die Protokolldateien des Servers, in denen die IP-Adressen Ihrer Besucher stehen. Das sind personenbezogene Daten, die er für Sie verarbeitet. Alle gängigen Anbieter halten die Vereinbarung im Kundenkonto bereit, meist als Haken oder als ein Formular zum Abschicken.

Brauche ich einen AVV mit meinem Steuerberater?

Nein. Ein Steuerberater ist kein Auftragsverarbeiter, sondern selbst verantwortlich: Er handelt nach eigenen Berufspflichten und nicht nach Ihrer Weisung. Dasselbe gilt für Rechtsanwälte, Banken und Postdienste.

Was passiert, wenn ich keinen AVV habe?

Das fehlende Papier allein bringt in der Praxis kaum einen Betrieb in Schwierigkeiten. Es wird zum Problem, wenn etwas anderes passiert — eine Datenpanne, eine Beschwerde, eine Prüfung. Dann steht die fehlende Vereinbarung ganz oben auf der Liste und macht aus einem Vorfall einen Vorfall plus ein Versäumnis.

Datenschutz und Cookies

Was ist ein AVV — und brauche ich einen?

AVV ist die Abkürzung für Auftragsverarbeitungsvertrag. Er regelt, was ein Dienstleister mit den Daten machen darf, die Sie ihm anvertrauen — Ihr Hoster, Ihr E-Mail-Anbieter, Ihr Newsletter-Werkzeug. Sobald jemand personenbezogene Daten für Sie und nach Ihren Vorgaben verarbeitet, verlangt Artikel 28 der Datenschutz-Grundverordnung so eine Vereinbarung. Praktisch heißt das für die meisten Betriebe: Sie schreiben keinen Vertrag, Sie holen sich einen. Jeder ernsthafte Anbieter hält ihn im Kundenkonto bereit.

Stand: 20. September 2026

Zwei aufrecht stehende sandfarbene Papierbögen nebeneinander, zusammengehalten von einem breiten Terrakotta-Streifen

Der Kern

Was dieser Vertrag eigentlich regelt

Sie sind für die Daten Ihrer Kunden verantwortlich. Nicht ein bisschen, sondern vollständig: Wer sie erhebt, entscheidet auch, was mit ihnen geschieht — und haftet dafür. Das ist der Ausgangspunkt der ganzen Datenschutz-Grundverordnung.

Nur liegen diese Daten selten allein bei Ihnen. Die Website steht auf einem fremden Server. Die E-Mails liegen bei einem Anbieter. Das Terminbuch gehört einer Firma in Hamburg. Alle diese Leute sehen Daten Ihrer Kunden — aber sie entscheiden nichts darüber. Sie tun, was Sie eingerichtet haben.

Für genau diese Lage gibt es den Auftragsverarbeitungsvertrag. Er hält schriftlich fest, dass der andere die Daten nur für Sie und nur nach Ihren Vorgaben verarbeitet — und was er dabei einhalten muss. Geregelt in Artikel 28 der Datenschutz-Grundverordnung.

Die Blickrichtung ist dabei oft anders, als man denkt: Der AVV schützt nicht in erster Linie Sie vor Ihrem Dienstleister. Er verpflichtet den Dienstleister Ihnen gegenüber — und er ist Ihr Nachweis gegenüber der Aufsichtsbehörde, dass Sie wissen, wo die Daten Ihrer Kunden liegen.

Die eine Frage

Wer weisungsgebunden ist, braucht einen. Wer selbst entscheidet, nicht.

Es gibt eine Faustregel, die fast jeden Fall löst: Darf der andere mit den Daten etwas tun, das Sie ihm nicht gesagt haben? Dann ist er kein Auftragsverarbeiter.

Ihr Hoster darf mit den Protokolldateien Ihres Servers nichts anfangen, was Sie nicht wollen. Er ist Auftragsverarbeiter, und Sie brauchen eine Vereinbarung mit ihm.

Ihr Steuerberater dagegen handelt nach eigenen Berufspflichten. Er ist selbst verantwortlich — nicht Ihr Verarbeiter. Mit ihm brauchen Sie keinen AVV, und er wird Ihnen auch keinen anbieten. Dasselbe gilt für Rechtsanwälte, Banken und die Post.

Dazwischen liegt ein dritter Fall, der selten ist, aber vorkommt: gemeinsame Verantwortung nach Artikel 26. Wer eine Facebook-Seite betreibt oder ein Meta-Pixel einbindet, entscheidet zusammen mit dem Anbieter über die Zwecke. Dafür gibt es kein AVV-Formular, sondern eine eigene Vereinbarung — und meist einen guten Grund, es einfach zu lassen.

Wo Sie in Ihrem Betrieb hinschauen müssen

Die Liste ist kürzer, als sie klingt. Bei den meisten Betrieben, mit denen ich arbeite, stehen vier bis sechs Zeilen darauf.

Dienst	AVV nötig	Wo Sie ihn bekommen
Webhosting	ja	Im Kundenkonto, meist unter „Datenschutz" oder „Auftragsverarbeitung"
E-Mail-Postfach	ja	Beim selben Anbieter, oft in derselben Vereinbarung
Newsletter-Werkzeug	ja	Im Konto, häufig englisch als „DPA" bezeichnet
Terminbuchung, Kassen- oder Praxissoftware	ja	Beim Hersteller anfragen, wenn nichts im Konto steht
Webdesigner mit Wartungszugang	ja	Von ihm — ungefragt, wenn er seine Arbeit kennt
Steuerberater, Anwalt, Bank	nein	Sie sind selbst verantwortlich, nicht weisungsgebunden
Reinigungsfirma, Handwerker im Haus	in der Regel nein	Wer Daten nur zufällig sieht, verarbeitet sie nicht für Sie

Die Spalte „AVV nötig" ist eine Orientierung, keine Prüfung Ihres Falls. Welche Rolle ein bestimmter Anbieter bei Ihnen hat, hängt davon ab, was er für Sie tut.

Der Inhalt

Was drinstehen muss — und warum Sie es trotzdem nicht schreiben

Zwei ineinandergreifende Kettenglieder aus Papier, das linke sandfarben, das rechte terrakotta

Artikel 28 Absatz 3 zählt auf, was so eine Vereinbarung enthalten muss. In gewöhnlichen Worten sind das acht Dinge:

Worum es geht und wie lange. Gegenstand, Dauer, Art und Zweck der Verarbeitung.
Welche Daten und von wem. Etwa: Kontaktdaten von Interessenten, Protokolldaten von Websitebesuchern.
Nur auf Ihre Weisung. Der Verarbeiter tut nichts, was Sie nicht angeordnet haben.
Verschwiegenheit. Alle Mitarbeiter, die an die Daten kommen, sind darauf verpflichtet.
Technische und organisatorische Maßnahmen. Wie der Anbieter die Daten tatsächlich schützt — meist ein eigenes Papier im Anhang.
Unterauftragnehmer. Wen er seinerseits einsetzt, und dass er Sie über Änderungen informiert.
Unterstützung. Er hilft Ihnen, wenn ein Kunde Auskunft verlangt oder wenn eine Panne gemeldet werden muss.
Am Ende. Löschen oder zurückgeben — und Nachweise, dass er sich daran hält.

Diese Liste ist nicht dafür da, dass Sie sie abarbeiten. Sie ist dafür da, dass Sie erkennen, ob das Formular Ihres Anbieters vollständig ist. Bei den großen deutschen Hostern ist es das. Fehlt in einem Angebot die Liste der Unterauftragnehmer oder die Anlage mit den Schutzmaßnahmen, ist das der Punkt, an dem man nachfragt.

Der Ernstfall

Was passiert, wenn keiner da ist

Ehrlich gesagt: meistens nichts. Mir ist kein Fall bekannt, in dem ein Handwerksbetrieb ein Bußgeld bekommen hätte, nur weil eine Vereinbarung mit dem Hoster fehlte. Wer Ihnen etwas anderes erzählt, verkauft Ihnen wahrscheinlich gerade etwas.

Der Punkt ist ein anderer. Ein fehlender AVV ist kein Risiko für sich — er ist ein Verstärker. Er wird in dem Moment wichtig, in dem ohnehin etwas schiefgeht: Ein Postfach wird gehackt. Ein Kunde beschwert sich. Die Aufsichtsbehörde schreibt einen Fragebogen. Dann ist die erste Frage, wer die Daten hatte und auf welcher Grundlage — und aus einem Vorfall wird ein Vorfall plus ein Versäumnis.

Dazu kommt etwas Unauffälliges: In Ihrer Datenschutzerklärung steht vermutlich der Name Ihres Hosters. Das ist richtig so, und es ist zugleich eine öffentliche Auskunft darüber, mit wem Sie eine Vereinbarung haben sollten. Wer das prüfen möchte, braucht dafür keine Akteneinsicht.

Der Aufwand auf der anderen Seite: ein Haken im Kundenkonto. Das ist kein Abwägen, das ist Aufräumen.

Bei mir

Wann ich selbst Auftragsverarbeiter bin

Solange ich eine Seite nur baue und danach übergebe, komme ich an keine Daten Ihrer Kunden. Dann ist kein AVV nötig.

Sobald ich die Seite betreue, ist das anders: Ein Wartungszugang kommt auch an das Postfach, in dem Ihre Formularnachrichten landen, und an die Protokolldateien des Servers. Ab da bin ich Auftragsverarbeiter, und Sie bekommen eine Vereinbarung von mir — ohne dass Sie danach fragen müssen.

Und weil es beim Einrichten ohnehin ansteht: Den AVV mit dem Hoster schließe ich bei der Übergabe mit Ihnen gemeinsam ab. Das sind zwei Klicks, und danach liegt er in Ihrem Kundenkonto — in Ihrem, nicht in meinem. Was hier mit Ihren Daten passiert

Ein Hinweis, den ich Ihnen schulde: Ob ein bestimmter Dienstleister in Ihrem Fall Auftragsverarbeiter ist, ist eine Rechtsfrage. Ich bin kein Anwalt und darf sie nicht beantworten. Was ich Ihnen sagen kann: was auf Ihrer Seite technisch passiert, welche Dienste eingebunden sind und was sie tun. Das schreibe ich Ihnen auf, damit Ihre Anwältin oder Ihr Anbieter für Rechtstexte damit arbeiten kann.

Was Sie jetzt tun können

Ein Nachmittag, und Sie haben es hinter sich

Vier Schritte. Sie brauchen dafür Ihre Zugangsdaten zu den Diensten, die Sie nutzen — sonst nichts.

Schreiben Sie auf, wer außer Ihnen Daten Ihrer Kunden liegen hat.
Hoster, E-Mail, Newsletter, Terminbuchung, Cloud-Speicher, Branchensoftware. Die Frage dabei ist nicht „ist das wichtig", sondern „steht dort ein Name, eine Adresse oder eine E-Mail von jemandem".
Öffnen Sie zu jedem Namen das Kundenkonto und suchen Sie nach „Auftragsverarbeitung", „AVV" oder „DPA".
Bei fast allen Anbietern liegt dort ein fertiges Formular, das Sie nur bestätigen. Bei deutschen Hostern ist es meist ein Haken; bei internationalen Diensten heißt es „Data Processing Agreement" und ist Teil der Nutzungsbedingungen.
Laden Sie die abgeschlossene Fassung als PDF herunter und legen Sie alles in einen Ordner.
Nicht wegen der Aufsichtsbehörde, sondern wegen Ihnen selbst in zwei Jahren. Ein Ordner „Datenschutz" mit fünf PDFs beantwortet jede spätere Frage in einer Minute.
Vergleichen Sie den Ordner mit Ihrer Datenschutzerklärung.
Jeder Dienst, der dort genannt ist, sollte im Ordner eine Vereinbarung haben. Umgekehrt gilt auch: Steht dort ein Dienst, den Sie gar nicht mehr nutzen, gehört er aus beidem heraus.

Der zweite Punkt, der meist zusammen damit auffällt

Was ich Ihnen rate

Machen Sie eine Liste, keinen Vertrag. Schreiben Sie auf, wer außer Ihnen Daten Ihrer Kunden liegen hat — Hoster, E-Mail, Terminbuchung, Newsletter —, und holen Sie sich zu jedem Namen die fertige Vereinbarung aus dem Kundenkonto. Das ist ein Nachmittag, einmal. Selbst formulieren müssen Sie nichts.

Tobias Kelm · Webdesigner in Rutesheim

Wie sähe Ihre Website aus, wenn all das schon stimmt? Kostenloser Entwurf

Passend dazu

Alle Website-Fragen