Sobald jemand anderer in deinem Auftrag personenbezogene Daten verarbeitet, seid ihr zwei laut DSGVO in klar verteilten Rollen: Du bist der Verantwortliche, der andere ist Auftragsverarbeiter. Und für dieses Verhältnis schreibt Artikel 28 einen schriftlichen Vertrag vor.
Betroffen ist mehr, als man denkt:
- dein Hosting-Anbieter – auf seinen Servern liegen die Zugriffsdaten deiner Besucher
- dein Newsletter-Tool – dort liegen die E-Mail-Adressen deiner Empfänger
- dein Formular-Dienst – über ihn laufen die Anfragen
- dein Webdesigner, wenn er Zugriff auf Systeme mit Kundendaten hat
- oft auch Buchhaltungs- und Terminsoftware
Wichtig: Der AVV betrifft nicht die Daten deines Betriebs, sondern die Daten der Menschen, die bei dir landen. Deine Kunden, deine Patienten, deine Vereinsmitglieder.
Warum das keine Formalie ist
Der AVV ist der Punkt, an dem eine Datenschutzbehörde bei einer Beschwerde als Erstes hinsieht, weil er sich in zwei Minuten prüfen lässt: Gibt es ihn, ja oder nein. Ein fehlender Vertrag ist ein eigenständiger Verstoß – unabhängig davon, ob mit den Daten je etwas passiert ist.
Die gute Nachricht: Jeder ernsthafte Anbieter hat einen fertigen AVV liegen. Bei den meisten hakst du ihn im Kundenkonto an oder lädst ihn als PDF herunter. Das ist eine halbe Stunde Arbeit für alle Dienste zusammen, kein Anwaltstermin.
Was das für dich heißt
Schreib dir auf einem Blatt untereinander, welche Dienste bei dir Daten sehen. Meistens sind es drei bis fünf. Dann hol dir zu jedem den AVV und leg alle in einen Ordner – digital reicht.
Von mir bekommst du einen AVV auf Anfrage. Und wenn du dir bei einem Dienst unsicher bist, ob er dazugehört: Frag lieber einmal zu viel. Die Prüfung ist gratis, das Nachreichen im Ernstfall nicht.
Stand: August 2026. Rechtslagen ändern sich – das ist eine Einordnung aus der Praxis, keine Rechtsberatung.
Passt dazu