AV-Vertrag Webhosting: Was Sie 2026 wirklich brauchen
AV-Vertrag Webhosting: Was Sie 2026 wirklich brauchen ! Ein Techniker verbindet Kabel im Rechenzentrum.
AV-Vertrag Webhosting: Was Sie 2026 wirklich brauchen
Ja: Für die meisten Webhosting-Konstellationen brauchen Sie einen AV-Vertrag nach Art. 28 DSGVO. Sobald Ihr Hoster Zugriff auf personenbezogene Daten hat, etwa Kundendaten in einer Datenbank, E-Mail-Adressen im Kontaktformular oder Logfiles mit IP-Adressen, ist er in aller Regel Auftragsverarbeiter. Ohne AV-Vertrag verstoßen Sie als Website-Betreiber gegen Ihre Pflichten, unabhängig von der Aussage des Hosters in seinen AGB.
Handeln Sie so: Fordern Sie den Vertrag aktiv an, falls Sie noch keinen haben, und verlangen Sie einen Nachweis der technisch-organisatorischen Maßnahmen (TOM).
Prüfen Sie mindestens diese drei Punkte, bevor Sie unterschreiben:
- Wird der Verarbeitungszweck konkret benannt, statt nur die DSGVO abzuschreiben?
- Sind Subunternehmer (etwa Rechenzentren, CDN-Anbieter) vollständig gelistet?
- Gibt es einen Hinweis auf Drittlandtransfers und die dafür nötigen Garantien?
Profi-Tipp: Speichern Sie jede Version des AV-Vertrags mit Datum ab. Bei einer Prüfung durch die Aufsichtsbehörde zählt, was Sie zum Zeitpunkt des Vertragsschlusses nachweisen können, nicht die aktuelle Fassung auf der Hoster-Website.
Wichtige Erkenntnisse
Ein AV-Vertrag nach Art. 28 DSGVO ist beim Webhosting fast immer Pflicht, sobald der Hoster Zugriff auf personenbezogene Daten hat, und Mustertexte ohne konkrete TOM-Nachweise reichen dabei nicht aus.
| Thema | Details |
|---|---|
| AV-Vertrag ist Pflicht | Bei Zugriff des Hosters auf personenbezogene Daten greift Art. 28 DSGVO fast immer. |
| Mindestinhalte konkret prüfen | Gegenstand, Dauer, TOM und Subunternehmerliste müssen konkret, nicht nur abgeschrieben sein. |
| Drittland braucht Nachweise | Bei Servern außerhalb der EU SCC-Anlage und Transfer-Nachweis aktiv anfordern. |
| Nachweis schlägt Vertrag | Aufsichtsbehörden beanstanden meist fehlende TOM-Nachweise, nicht den Vertragstext selbst. |
| Netivoo als Praxispartner | Netivoo liefert Hosting mit dokumentierten TOM und Unterstützung bei der Datenschutzerklärung. |
Inhaltsverzeichnis
- Was Webhosting rechtlich bedeutet: Verantwortlicher und Auftragsverarbeiter
- Wann genau ist ein AV-Vertrag beim Hosting Pflicht?
- Welche Mindestinhalte muss ein AV-Vertrag für Webhosting haben?
- Subunternehmer, Drittlandübermittlung und die Rolle von Schrems II
- Checkliste: So prüfen Sie den AV-Vertrag Ihres Hosters
- Wie muss der AV-Vertrag dokumentiert werden?
- Was passiert bei einem fehlenden oder unzureichenden AV-Vertrag?
- Wie Netivoo bei Hosting und AV-Vertrag konkret unterstützt
- Rechtssicheres Hosting für Ihren Handwerksbetrieb: So geht Netivoo vor
- Quellen
- FAQ
Was Webhosting rechtlich bedeutet: Verantwortlicher und Auftragsverarbeiter
Webhosting umfasst Speicherplatz, Serverzugriff und oft auch die Domain-Registrierung. Sobald der Hoster diese Daten nur nach Ihren Weisungen speichert und verarbeitet, ohne eigene Zwecke zu verfolgen, ist er Auftragsverarbeiter im Sinn von Art. 28 DSGVO. Sie selbst bleiben Verantwortlicher, weil Sie über Zweck und Mittel der Datenverarbeitung entscheiden.
Wichtig dabei: Die Rolle ergibt sich aus der tatsächlichen Verarbeitung, nicht aus der Bezeichnung im Vertrag. Ein Hoster, der behauptet, „nur Infrastruktur“ bereitzustellen, ist trotzdem Auftragsverarbeiter, wenn er faktisch Zugriff auf Kundendaten hat.
- Speicherplatz mit Datenbankzugriff → in der Regel Auftragsverarbeitung
- Reine Domain-Weiterleitung ohne Inhaltszugriff → meist keine Auftragsverarbeitung
- Managed Hosting mit Wartungszugriff → praktisch immer Auftragsverarbeitung
Wann genau ist ein AV-Vertrag beim Hosting Pflicht?
Drei Kriterien entscheiden: Es werden personenbezogene Daten verarbeitet, ein externer Dienstleister ist beteiligt, und dieser handelt weisungsgebunden. Sind alle drei erfüllt, brauchen Sie einen AV-Vertrag. Punkt.
In der Praxis heißt das konkret: Eine statische Website ohne Kontaktformular und ohne Tracking mag knapp durchkommen, aber sobald ein Formular, ein Newsletter-Tool oder ein Shopsystem dazukommt, ist die Sache klar. Webshops verarbeiten Bestell- und Zahlungsdaten, Mailhosting verarbeitet Kommunikationsinhalte, und selbst reine Server-Logfiles mit IP-Adressen gelten als personenbezogene Daten. eRecht24 stellt klar, dass bei Auslagerung personenbezogener Daten ein AV-Vertrag erforderlich ist, der konkret beschreibt, wie der Hoster die Datenschutzanforderungen umsetzt.
Eine Ausnahme gibt es: Reine Access-Provider, die nur die Datenübertragung technisch ermöglichen, ohne Inhalte einzusehen, fallen häufig nicht unter die AV-Pflicht.
Profi-Tipp: Arbeiten Sie mit einer Agentur, die für Sie hostet? Dann brauchen Sie oft zwei AV-Verträge, einen mit der Agentur und einen mit dem eigentlichen Hoster im Hintergrund. Fragen Sie explizit nach dieser Kette, sonst bleibt eine Lücke offen.
Welche Mindestinhalte muss ein AV-Vertrag für Webhosting haben?
Art. 28 DSGVO schreibt eine feste Liste an Pflichtinhalten vor. Der Vertrag muss Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen benennen, ergänzt um die konkreten Pflichten und Rechte beider Seiten. Eine bloße Wiederholung des Gesetzestextes reicht dabei nicht aus.
Rechtsanwälte betonen, dass ein AV-Vertrag konkret auf die tatsächliche Verarbeitung, die TOM und die Subunternehmer-Situation zugeschnitten sein muss. Wer nur den DSGVO-Wortlaut kopiert, hat formal einen Vertrag, aber keinen belastbaren Nachweis.
Diese Anforderung stammt aus der Bewertung von Hosting-Verträgen durch Fachjuristen und trifft den Kern des Problems: Viele vorformulierte Muster wirken auf den ersten Blick vollständig, sagen aber nichts über die tatsächlichen Schutzmaßnahmen aus.
Bei den technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO erwarten Sie von einem seriösen Hoster konkrete Angaben zu:
- Verschlüsselung der Daten bei Übertragung und Speicherung
- Zugriffssteuerung und Rollenkonzepten für Mitarbeiter
- Regelmäßigen Backups mit definierten Wiederherstellungszeiten
- Patch-Management und Reaktionszeiten bei Sicherheitslücken
- Einem dokumentierten Prozess für Datenschutzvorfälle (Incident-Handling)
Zur Subunternehmerkette gehört eine vollständige Liste aller eingesetzten Dritten, etwa Rechenzentren oder CDN-Betreiber, plus eine Regel, ob neue Subunternehmer nur mit Ihrer vorherigen Zustimmung eingebunden werden dürfen. Ergänzend braucht der Vertrag klare Regeln zur Datenrückgabe und Löschung nach Vertragsende sowie ein Kontrollrecht, mit dem Sie als Verantwortlicher die Umsetzung der TOM stichprobenhaft prüfen können. Formulierungshilfen wie das Muster des BayLDA enthalten solche Klauseln bereits vorgefertigt, inklusive der Erwartung einer jährlichen Überprüfung der Maßnahmen.
Subunternehmer, Drittlandübermittlung und die Rolle von Schrems II
Sobald Daten außerhalb der EU oder des EWR verarbeitet werden, etwa weil der Hoster ein Rechenzentrum in den USA nutzt, liegt eine Drittlandübermittlung vor. Zulässig ist das nur mit einem Angemessenheitsbeschluss, mit Standardvertragsklauseln (SCCs) oder mit zusätzlichen Schutzmaßnahmen. Seit dem Schrems-II-Urteil reicht die SCC-Unterschrift allein nicht mehr, Sie sollten vom Hoster ein sogenanntes Transfer-Impact-Assessment oder zumindest eine Dokumentation der zusätzlichen Maßnahmen verlangen.
Bei Subunternehmern prüfen Sie am besten drei Dinge: die vollständige Liste aller eingesetzten Dritten, den Genehmigungsmodus (müssen neue Subunternehmer einzeln bestätigt werden oder reicht eine generelle Erlaubnis?) und einen Nachweis, dass diese Subunternehmer selbst angemessene TOM umsetzen.
Profi-Tipp: Verlangen Sie bei jedem Hosting-Anbieter mit Servern außerhalb der EU konkret die SCC-Anlage und einen aktuellen Auditbericht. Ein Verweis auf „internationale Zertifizierungen“ ohne Dokument ist kein Nachweis.
Checkliste: So prüfen Sie den AV-Vertrag Ihres Hosters
Gehen Sie den Vertrag Punkt für Punkt durch, bevor Sie unterschreiben oder einen bestehenden Vertrag jährlich neu bewerten:
- Ist der Vertragsgegenstand konkret beschrieben, nicht nur allgemein formuliert?
- Liegt eine TOM-Anlage vor, die auf die tatsächlich genutzten Dienste zugeschnitten ist?
- Sind alle Subunternehmer namentlich gelistet, inklusive Standort?
- Enthält der Vertrag ein Kontroll- und Auditrecht für Sie als Verantwortlicher?
- Gibt es klare Meldepflichten bei einem Datenschutzvorfall, inklusive Frist?
- Ist die Löschung oder Rückgabe der Daten nach Vertragsende geregelt?
- Liegt bei Drittlandbezug ein SCC-Anhang oder ein gleichwertiger Nachweis vor?
- Verpflichtet sich der Hoster, Sie bei Betroffenenanfragen (Auskunft, Löschung) zu unterstützen?
Fordern Sie parallel Belege an, die über den reinen Vertragstext hinausgehen: Auditberichte, Zertifikate wie ISO 27001 oder SOC-2-Reports, sowie die tatsächliche SCC-Anlage statt eines bloßen Verweises darauf.
- Vor Vertragsabschluss: alle acht Punkte einmal komplett durchgehen
- Einmal jährlich: TOM-Anlage und Subunternehmerliste erneut anfordern
- Bei Anbieterwechsel: neuen AV-Vertrag nie ungeprüft übernehmen
Wenn ein Punkt fehlt, verlangen Sie die Nachbesserung schriftlich, statt sich mit einer mündlichen Zusage zufriedenzugeben.
Wie muss der AV-Vertrag dokumentiert werden?
Art. 28 Abs. 9 DSGVO schreibt Schriftform oder eine elektronische Form vor. Ein Klick auf „Ich akzeptiere“ im Kundenportal reicht rechtlich aus, solange der Abschluss nachweisbar ist. Genau hier liegt oft die Schwachstelle: eRecht24 weist darauf hin, dass ein bloßer Download des Mustervertrags nicht als Nachweis zählt. Sie brauchen ein Kundenportal-Log, eine E-Mail-Bestätigung oder eine unterschriebene Anlage.
Auch die LfDI Baden-Württemberg betont, dass die Vereinbarung verbindliche Pflichten regeln muss, nicht nur den Gesetzestext spiegeln darf.
In Ihrer Datenschutzerklärung sollten Sie externe Auftragsverarbeiter benennen, inklusive eines Hinweises auf etwaige Drittlandübermittlungen.
Profi-Tipp: Legen Sie eine Kopie jedes AV-Vertrags in Ihrem internen Verzeichnis von Verarbeitungstätigkeiten ab. Das spart bei einer Anfrage der Aufsichtsbehörde wertvolle Zeit.
Was passiert bei einem fehlenden oder unzureichenden AV-Vertrag?
Die Haftung bleibt bei Ihnen als Verantwortlichem, selbst wenn der Hoster den Fehler verursacht hat. Bußgelder nach Art. 83 DSGVO sind bei gravierenden Verstößen möglich, wobei die genaue Höhe vom Einzelfall abhängt.
In der Praxis prüfen Landesdatenschutzbehörden, etwa in Bayern oder Rheinland-Pfalz, regelmäßig Webhoster-Verträge. Der Landesbeauftragte für Datenschutz Rheinland-Pfalz stellt klar: Website-Betreiber tragen die datenschutzrechtliche Hauptverantwortung, ein AV-Vertrag ist keine Formalie. Häufigster Beanstandungspunkt sind fehlende Nachweise zu vereinbarten TOM, nicht der Vertrag selbst.
- Bewahren Sie alle Nachweisdokumente mindestens für die Vertragslaufzeit auf
- Verhandeln Sie zuerst eine Nachbesserung, bevor Sie den Anbieter wechseln
- Ziehen Sie bei komplexen Drittlandfällen einen Datenschutzexperten hinzu
Wie Netivoo bei Hosting und AV-Vertrag konkret unterstützt
Netivoo baut Websites für Handwerksbetriebe innerhalb von rund sieben Tagen und bietet Hosting sowie laufende Wartung als Teil des Pakets an. Beim Vertragsabschluss klären wir mit Ihnen, welche Dienste tatsächlich personenbezogene Daten verarbeiten, und stellen die passenden Vertragsgrundlagen bereit.
- Hosting inklusive dokumentierter TOM, abgestimmt auf die tatsächlich genutzten Funktionen der Website
- Unterstützung bei der Einbindung externer Auftragsverarbeiter in Ihre Datenschutzerklärung
- Direkter Ansprechpartner, wenn Sie Nachweise oder Auditunterlagen für eine Prüfung benötigen
Wer sich zusätzlich über Alternativen zu Baukastensystemen wie Webnode oder Jimdo informieren möchte, findet in unserem Vergleich zu Webnode-Alternativen weitere Hinweise zu rechtssicheren Setups für Handwerksbetriebe.
Kurze Autorenperspektive: Warum Nachweise wichtiger sind als Mustertexte
Der häufigste Fehler, den ich bei Website-Betreibern sehe, ist die Annahme, ein heruntergeladenes Muster genüge. Es genügt nicht. Ein Vertrag ohne belastbare TOM-Anlage ist Papier ohne Substanz. Bei komplexen Drittlandfällen oder mehrstufigen Subunternehmerketten lohnt sich eine externe rechtliche Prüfung fast immer. Dokumentieren Sie lieber einmal zu viel als einmal zu wenig.
Rechtssicheres Hosting für Ihren Handwerksbetrieb: So geht Netivoo vor
Ein AV-Vertrag ist nur so gut wie die Website, die dahintersteht. Viele Handwerksbetriebe kämpfen mit veralteten Baukastensystemen, bei denen niemand so genau weiß, wer eigentlich welche Daten verarbeitet. Netivoo baut Ihre Website von Grund auf neu, inklusive Hosting mit dokumentierten TOM und Unterstützung bei der Einbindung des AV-Vertrags in Ihre Datenschutzerklärung, und das innerhalb von etwa sieben Tagen statt wochenlanger Abstimmung mit mehreren Dienstleistern.
Statt sich durch Muster-PDFs zu wühlen, bekommen Sie einen direkten Ansprechpartner, der Ihnen erklärt, welche Nachweise Sie für Ihren Betrieb tatsächlich brauchen. Das gilt für Elektriker, Dachdecker, Tischler und SHK-Betriebe gleichermaßen, mit branchenspezifischen Leistungsseiten wie unserer Seite für SHK-Betriebe. Wenn Sie jetzt eine neue, rechtssicher gehostete Website wollen, fordern Sie ein unverbindliches Angebot an und klären Sie im ersten Gespräch direkt, welche Datenschutzpunkte für Ihren Betrieb relevant sind.
Quellen
Für die eigene Prüfung helfen die Checkliste des BayLDA mit konkreten Prüfpunkten, das Muster-AVV des BayLDA als Formulierungshilfe sowie die Praxisartikel von eRecht24 zu Webhoster-spezifischen Fragen.
Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.
- Der Landesdatenschutzbeauftragte Rheinland‑Pfalz prüft Auftragsverarbeitungsverträge von Webhostern
- Hosting Vertrag DSGVO‑konform gestalten ✓ Rechtssicherheit
- Hosting: DSGVO & Rechtliches | eRecht24
- Formulierungshilfe/Muster‑AVV (BayLDA)
FAQ
Hat Hostinger einen AV-Vertrag?
Viele größere Hosting-Anbieter, die in Deutschland und der EU tätig sind, stellen einen AV-Vertrag zum Download oder zur elektronischen Zustimmung bereit. Prüfen Sie im Einzelfall aber immer, ob die TOM-Anlage konkret und aktuell ist, statt sich auf die bloße Existenz eines Dokuments zu verlassen.
Welche Hosting-Anbieter gibt es in Deutschland?
Der deutsche Markt umfasst sowohl große internationale Anbieter mit EU-Rechenzentren als auch spezialisierte deutsche Hoster, die oft mit ausschließlicher Datenverarbeitung innerhalb Deutschlands werben. Wichtiger als der Anbietername ist, ob ein passender AV-Vertrag mit vollständiger TOM-Dokumentation vorliegt.
Wann ist kein Auftragsverarbeitungsvertrag notwendig?
Ein AV-Vertrag ist meist dann nicht nötig, wenn keine personenbezogenen Daten verarbeitet werden oder wenn ein reiner Access-Provider nur die technische Übertragung ermöglicht, ohne Einblick in Inhalte zu haben. Bei jeder Speicherung von Kunden- oder Kontaktdaten greift die AV-Pflicht in der Regel.
Wer ist der größte Hoster in Deutschland?
Zu den bekanntesten Anbietern mit hoher Marktverbreitung in Deutschland zählen etablierte Namen mit eigenen oder angemieteten Rechenzentren in der EU. Für die Frage nach dem AV-Vertrag zählt aber nicht die Marktgröße, sondern die konkrete Vertragsqualität und die Nachweisbarkeit der TOM.
Muss ich als Handwerksbetrieb selbst einen AV-Vertrag anbieten?
Nein, als Website-Betreiber sind Sie in der Regel Verantwortlicher und schließen den AV-Vertrag mit Ihrem Hoster ab, statt selbst einen anzubieten. Nur wenn Sie als Agentur für andere Kunden hosten, brauchen Sie zusätzlich einen eigenen AV-Vertrag mit diesen Kunden.
Empfehlung
Jonas Hoting
Webdesigner aus Oldenburg
Ich helfe Handwerksbetrieben in Oldenburg und dem Ammerland, online sichtbar zu werden. Mit modernem Webdesign und lokaler SEO-Optimierung.