# Auftragsverarbeitungsvertrag: Checkliste für Webtools

> Wann Sie einen AV-Vertrag nach Art. 28 DSGVO brauchen, welche Pflichtinhalte er hat und worauf Sie bei Analyse- und Marketing-Werkzeugen achten.

Quelle: https://whovisit.app/blog/auftragsverarbeitungsvertrag-webtools
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Fast jedes Werkzeug, das Sie auf Ihrer Website einsetzen, verarbeitet Daten in Ihrem Auftrag: Webanalyse, Newsletter, CRM, Heatmap, Chat. Sobald dabei personenbezogene Daten im Spiel sind, verlangt die DSGVO einen Vertrag mit dem Anbieter. Er heißt Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV. Dieser Artikel erklärt, wann Sie ihn brauchen, was drinstehen muss und woran Sie bei der Auswahl eines Werkzeugs denken sollten.

## Wann Sie einen AV-Vertrag brauchen

Art. 28 DSGVO gilt, wenn ein Dienstleister personenbezogene Daten **in Ihrem Auftrag** und nach Ihren Weisungen verarbeitet. Sie sind dann der Verantwortliche, der Anbieter ist der Auftragsverarbeiter. Den Gesetzestext finden Sie in der [DSGVO auf EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Nicht jede Beziehung ist Auftragsverarbeitung. Drei Konstellationen sollten Sie unterscheiden:

| Konstellation | Merkmal | Vertrag |
|---|---|---|
| Auftragsverarbeitung | Anbieter handelt nur nach Ihrer Weisung | AV-Vertrag nach Art. 28 |
| Gemeinsame Verantwortung | Sie und der Anbieter entscheiden gemeinsam über Zweck und Mittel | Vereinbarung nach Art. 26 |
| Eigener Verantwortlicher | Anbieter nutzt die Daten zu eigenen Zwecken | Je nach Fall eigene Rechtsgrundlage und Übermittlung |

Entscheidend ist, wer Zweck und Mittel bestimmt, nicht, wie der Vertrag heißt. Ein Anbieter, der die Daten auch für eigene Zwecke nutzt, etwa zur Verbesserung eigener Produkte über die Leistung für Sie hinaus, ist für diesen Teil nicht mehr Auftragsverarbeiter. Nach Art. 28 Abs. 10 gilt ein Auftragsverarbeiter, der Zweck und Mittel selbst bestimmt, für diese Verarbeitung als Verantwortlicher.

## Pflichtinhalte nach Art. 28 Abs. 3

Der Vertrag muss Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der Daten und die Kategorien der Betroffenen festlegen. Außerdem muss er vorsehen, dass der Auftragsverarbeiter:

- **a)** die Daten nur auf dokumentierte Weisung verarbeitet, auch bei Übermittlungen in ein Drittland,
- **b)** zur Vertraulichkeit verpflichtete Personen einsetzt,
- **c)** die Maßnahmen nach Art. 32 ergreift,
- **d)** die Bedingungen für weitere Auftragsverarbeiter einhält,
- **e)** Sie bei Anträgen der Betroffenen unterstützt,
- **f)** Sie bei den Pflichten aus Art. 32 bis 36 unterstützt,
- **g)** nach Ende der Leistung die Daten nach Ihrer Wahl löscht oder zurückgibt,
- **h)** Nachweise liefert und Überprüfungen ermöglicht.

Der Vertrag ist schriftlich abzufassen, ein elektronisches Format genügt (Abs. 9). Einen Muster-Rahmen bietet die Europäische Kommission mit den [Standardvertragsklauseln für Auftragsverarbeitung](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Nach Art. 28 Abs. 6 kann der Vertrag ganz oder teilweise darauf beruhen.

## Unterauftragnehmer

Setzt der Anbieter selbst Dienstleister ein, etwa einen Hosting-Anbieter, gelten zwei Regeln aus Art. 28 Abs. 2 und 4:

- Er braucht Ihre vorherige gesonderte oder allgemeine schriftliche Genehmigung. Bei einer allgemeinen Genehmigung muss er Sie über jede geplante Änderung informieren. Sie können dann widersprechen.
- Er muss den Unterauftragnehmern dieselben Datenschutzpflichten auferlegen. Tut ein Unterauftragnehmer das nicht, haftet der erste Auftragsverarbeiter Ihnen gegenüber.

Fragen Sie den Anbieter deshalb nach einer aktuellen Liste seiner Unterauftragnehmer, mit Sitz und Aufgabe.

## Drittland

Werden Daten außerhalb der EU und des EWR verarbeitet oder sind sie von dort abrufbar, gelten zusätzlich die Regeln für Übermittlungen in Drittländer (Kapitel V, Art. 44 ff. DSGVO). Üblich sind drei Wege: ein Angemessenheitsbeschluss der Kommission, Standardvertragsklauseln für die Übermittlung oder verbindliche interne Datenschutzvorschriften. Für die USA gibt es seit 2023 einen [Angemessenheitsbeschluss zum EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Er gilt nur für Unternehmen, die am Framework teilnehmen. Er wird gerichtlich angegriffen, prüfen Sie den aktuellen Stand. Ein Server in der EU löst das Thema, wenn weder der Anbieter noch ein Unterauftragnehmer aus einem Drittland auf die Daten zugreifen kann.

## Checkliste für Analyse- und Marketing-Werkzeuge

1. **Rolle klären.** Verarbeitet der Anbieter nur für Sie oder auch für eigene Zwecke?
2. **Vertrag prüfen.** Stehen alle Punkte aus Art. 28 Abs. 3 darin?
3. **Daten beschreiben.** Sind Art der Daten und Kategorien der Betroffenen konkret benannt?
4. **Unterauftragnehmer ansehen.** Gibt es eine Liste und ein Verfahren bei Änderungen?
5. **Serverstandort erfragen.** Wo liegen die Daten, wer kann zugreifen?
6. **Drittlandweg dokumentieren.** Welche Grundlage trägt eine Übermittlung?
7. **Löschung regeln.** Was passiert mit den Daten nach Vertragsende?
8. **Technische Maßnahmen lesen.** Verschlüsselung, Zugriffsrechte, Protokollierung.

Legen Sie den Vertrag zu Ihrer Dokumentation und nehmen Sie das Werkzeug in Ihr Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO auf. Gerade bei Tools, die erst nach Einwilligung laden, ist der Vertrag eine zweite, getrennte Voraussetzung. Die Einwilligung am Gerät ersetzt ihn nicht, wie [§ 25 TDDDG: Cookies und Tracking in Deutschland](https://whovisit.app/blog/tdddg-paragraf-25-cookies) zeigt.

## Was bei Verstößen droht

Fehlt der Vertrag oder ist er unvollständig, kann die Aufsichtsbehörde das beanstanden. Für Verstöße gegen die Pflichten aus Art. 28 sieht Art. 83 Abs. 4 DSGVO Geldbußen bis zu 10 Millionen Euro oder bis zu 2 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Das ist der Rahmen, keine Prognose für den Einzelfall.

## Und in der Schweiz?

Das Schweizer Datenschutzgesetz regelt die Bearbeitung durch Auftragsbearbeiter in Art. 9 DSG. Der Gedanke ist ähnlich, die Formulierung eine andere. Wer in der EU Betroffene anspricht, braucht in der Regel den Vertrag nach der DSGVO. Ob das für Ihr Angebot zutrifft, erklärt [Website-Tracking in der Schweiz: revDSG und FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Häufige Fragen

**Brauche ich einen AV-Vertrag, wenn das Tool nur Firmennamen anzeigt?** Das hängt davon ab, ob der Anbieter dabei personenbezogene Daten für Sie verarbeitet, etwa IP-Adressen auch nur kurzzeitig. Im Zweifel schließen Sie den Vertrag, er kostet fast nichts. Ob eine IP-Adresse personenbezogen ist, erklärt [IP-Adresse und DSGVO: ist sie personenbezogen?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Reicht es, die AGB des Anbieters zu akzeptieren?** Nur, wenn darin alle Pflichtinhalte stehen und die Regelung als Vertrag oder Zusatz klar erkennbar ist. Viele Anbieter stellen den AV-Vertrag als eigenes Dokument zum Abschluss bereit.

**Muss ich den Vertrag unterschreiben?** Er muss schriftlich abgefasst sein. Ein elektronisches Format genügt nach Art. 28 Abs. 9, Abschluss per Klick ist deshalb üblich.