AV-Vertrag Hosting: Was drinstehen muss

Ja, für das Hosting Deiner Website brauchst Du in aller Regel einen Auftragsverarbeitungsvertrag (AV-Vertrag), sobald auf dem Server personenbezogene Daten verarbeitet werden, und das ist bei Kontaktformularen, Server-Logs oder einem Shop praktisch immer der Fall. Rechtsgrundlage ist Art. 28 DSGVO: Du bleibst verantwortlich, der Hoster verarbeitet nur nach Deinen Weisungen.

In diesem Artikel erklären wir aus Agentursicht, wann der Vertrag nötig ist, welche Punkte er enthalten muss, wie Du ihn bei Deinem Hoster abschließt und welche Fehler wir in der Praxis immer wieder sehen. Das ist eine allgemeine Orientierung und keine Rechtsberatung.

Warum Hosting fast immer Auftragsverarbeitung ist

Ein Hoster stellt Server bereit, auf denen Deine Website, Deine Datenbank und oft auch Deine E-Mails liegen. Dort landen Daten, die Du als Verantwortlicher erhebst:

IP-Adressen und Zugriffsdaten in den Server-Logs
Eingaben aus Kontakt- und Bestellformularen
Kundendaten in Shop oder CMS
Newsletter-Adressen und Benutzerkonten

Der Hoster verarbeitet diese Daten in Deinem Auftrag und nicht für eigene Zwecke. Genau das beschreibt die Auftragsverarbeitung. Weil sie schriftlich (auch elektronisch) vereinbart werden muss, brauchst Du den AV-Vertrag, selbst wenn der Hoster in Deutschland sitzt. Der Serverstandort ersetzt ihn nicht (mehr dazu im Artikel Hosting in Deutschland und DSGVO).

Was Art. 28 DSGVO im Vertrag verlangt

Art. 28 Abs. 3 DSGVO listet auf, was ein AV-Vertrag regeln muss. Eine gute Vorlage deckt diese Punkte ab:

Inhalt	Was dahinter steckt
Gegenstand und Dauer	Worum geht es (Hosting) und wie lange läuft die Verarbeitung
Art und Zweck	Welche Verarbeitung findet statt und wozu
Datenarten und Betroffene	Zum Beispiel Besucher, Kunden, Newsletter-Abonnenten
Weisungsgebundenheit	Der Hoster handelt nur nach Deinen dokumentierten Weisungen
Vertraulichkeit	Mitarbeiter des Hosters sind zur Verschwiegenheit verpflichtet
Technische und organisatorische Maßnahmen (TOM)	Wie die Daten geschützt werden
Unterauftragsverarbeiter	Unter welchen Bedingungen weitere Dienstleister eingesetzt werden
Unterstützung bei Betroffenenrechten	Auskunft, Löschung und Ähnliches
Meldung von Datenpannen	Der Hoster informiert Dich, damit Du Fristen einhalten kannst
Rückgabe oder Löschung	Was am Vertragsende mit den Daten passiert
Kontrollrechte	Nachweise und Prüfmöglichkeiten für Dich

Wenn einer dieser Punkte komplett fehlt, lohnt sich eine Nachfrage beim Hoster.

So kommst Du an den AV-Vertrag

Die meisten größeren Hoster stellen den Vertrag im Kundenbereich bereit. Üblich ist einer dieser Wege:

Online abschließen: Im Kundencenter gibt es einen Menüpunkt zu Datenschutz oder Verträgen, in dem der AV-Vertrag per Klick bestätigt wird.
Als PDF herunterladen und unterschreiben: Manche Anbieter schicken ein Dokument, das Du ausgefüllt zurückgibst.
Anfragen: Bei kleineren Anbietern hilft eine kurze E-Mail an den Support.

Wichtig ist, dass Du den Abschluss dokumentierst: Datum, Version des Vertrags und ein Exemplar zum Ablegen. Wer später gefragt wird (zum Beispiel von einer Aufsichtsbehörde), kann damit belegen, dass der Vertrag existiert.

Technische und organisatorische Maßnahmen prüfen

Die TOM-Anlage ist oft der Teil, den niemand liest. Sie sollte konkret beschreiben, wie der Hoster Daten schützt, etwa zu Zutrittskontrolle im Rechenzentrum, Zugriffsrechten, Verschlüsselung, Backups und Wiederherstellung. Du musst kein Sicherheitsexperte sein. Achte auf zwei Dinge:

Die Maßnahmen sind konkret formuliert und nicht nur als Floskel („angemessene Sicherheit“).
Sie passen zu Deinem Risiko. Ein Shop mit Kundendaten braucht mehr Aufmerksamkeit als eine reine Visitenkarten-Seite.

Unterauftragsverarbeiter und Drittländer

Viele Hoster setzen selbst Dienstleister ein, zum Beispiel für Backups, Support-Software oder Rechenzentren. Der Vertrag muss regeln, wie Du darüber informiert wirst und ob Du widersprechen kannst. Gute Anbieter pflegen dazu eine öffentliche Liste. Ein Beispiel für eine solche Liste findest Du bei uns unter Unterauftragsverarbeiter.

Werden Daten in ein Land außerhalb der EU übermittelt, braucht es zusätzlich eine tragfähige Grundlage, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Frag im Zweifel direkt nach, ob und wohin Daten außerhalb des EWR fließen.

Häufige Fehler bei AV-Verträgen für Websites

Gar kein Vertrag: Der Hosting-Tarif läuft seit Jahren, den AV-Vertrag hat nie jemand abgeschlossen.
Nur der Standort zählt: „Server in Deutschland“ wird mit „AV-Vertrag nicht nötig“ verwechselt.
Weitere Dienstleister vergessen: E-Mail-Versand, Newsletter-Tool, Webanalyse und Agentur-Zugänge brauchen oft ebenfalls Verträge.
Nach dem Anbieterwechsel nicht aktualisiert: Beim Umzug zu einem neuen Hoster fehlt der neue Vertrag.
Verzeichnis nicht gepflegt: Der Hoster taucht im Verzeichnis der Verarbeitungstätigkeiten und in der Datenschutzerklärung nicht auf.

Wie der Hoster in einen Gesamtüberblick passt, zeigt unsere DSGVO-Checkliste für Websites. Wenn Du Deine Seite insgesamt prüfen willst, hilft unsere DSGVO-Optimierung.

Was der AV-Vertrag nicht für Dich erledigt

Der Vertrag ist ein Baustein und kein Freifahrtschein. Er ersetzt nicht Deine eigenen Pflichten: Du brauchst weiterhin eine korrekte Datenschutzerklärung, eine Rechtsgrundlage für jede Verarbeitung und ein Löschkonzept. Auch Einstellungen auf Deiner Seite bleiben bei Dir, zum Beispiel wie lange Server-Logs gespeichert werden oder welche Plugins Daten an Dritte senden. Ein Hoster mit perfektem Vertrag hilft wenig, wenn die Website selbst Schriften, Karten oder Skripte ungefragt von US-Servern nachlädt. Dazu passt unser Beitrag zu Google Fonts und DSGVO.

Wer sonst noch einen AV-Vertrag braucht

Hosting ist nur ein Baustein. Auch diese Dienstleister verarbeiten häufig Daten in Deinem Auftrag:

die Agentur oder Freelancer, die Zugriff auf CMS, Server oder Datenbank haben
Wartungsdienstleister für Updates und Backups (siehe Website-Wartung)
Newsletter- und CRM-Tools
Ticket- und Chat-Systeme mit Kundenkontakt

Frag bei jedem Dienstleister, der Zugriff auf Kundendaten hat, aktiv nach dem Vertrag.

Checkliste: AV-Vertrag Hosting in fünf Schritten

Bestand aufnehmen: Notiere, welche Hosting-Pakete, Domains, Mail-Postfächer und Zusatzdienste Du nutzt. Oft laufen mehrere Verträge bei einem Anbieter.
Vertrag suchen oder anfordern: Schau zuerst im Kundenbereich nach, danach beim Support.
Inhalte gegenprüfen: Gehe die Tabelle oben durch und markiere, was fehlt oder unklar ist.
Ablegen und dokumentieren: Speichere den Vertrag samt Versionsstand und trage den Hoster ins Verzeichnis der Verarbeitungstätigkeiten ein.
Datenschutzerklärung abgleichen: Prüfe, ob Hoster und weitere Empfänger dort korrekt genannt sind, und wiederhole die Kontrolle bei jedem Anbieterwechsel.

Plane dafür ruhig eine Stunde ein. Der Aufwand ist gering im Vergleich zu dem, was ein fehlender Vertrag bei einer Anfrage der Aufsichtsbehörde oder einer Abmahnung auslösen kann. Ob und welche Folgen im Einzelfall drohen, hängt von der Situation ab und gehört in die Hände einer Rechtsberatung.

Häufige Fragen

Brauche ich einen AV-Vertrag, wenn mein Hoster in Deutschland sitzt?

Ja. Der Serverstandort verändert nichts daran, dass der Hoster in Deinem Auftrag Daten verarbeitet. Ein Standort in Deutschland vereinfacht die Drittland-Frage, ersetzt den Vertrag aber nicht.

Muss der AV-Vertrag unterschrieben sein?

Er muss schriftlich oder in einem elektronischen Format vorliegen. Eine Bestätigung im Kundenbereich genügt bei vielen Anbietern, solange Du den Abschluss dokumentierst.

Wer haftet, wenn der Hoster einen Fehler macht?

Als Verantwortlicher bleibst Du gegenüber Betroffenen und Behörden zuerst in der Pflicht. Der AV-Vertrag regelt das Innenverhältnis. Eine Haftungsaussage im Einzelfall sollte ein Fachanwalt prüfen.

Reicht die Datenschutzerklärung des Hosters?

Nein. Die Datenschutzerklärung informiert über die Datenverarbeitung des Anbieters selbst. Der AV-Vertrag regelt dagegen, wie er Deine Daten in Deinem Auftrag behandelt.

Fazit

Ein sauberer AV-Vertrag mit dem Hoster ist schnell abgeschlossen und schützt Dich im Streitfall. Prüfe, ob er vorliegt, ob TOM und Unterauftragsverarbeiter konkret beschrieben sind und ob Du ihn dokumentiert hast. Wenn Du Deine Website und ihre Dienstleister gemeinsam durchgehen möchtest, melde Dich für ein unverbindliches Erstgespräch.