Auftragsverarbeitungsvertrag Hosting: Prüfliste für KMU

Ein Auftragsverarbeitungsvertrag (AVV) beim Hosting ist Pflicht, sobald Ihr Hoster personenbezogene Daten in Ihrem Auftrag speichert oder verarbeitet, und das trifft auf praktisch jeden Server, Webspace und jedes Postfach zu. Der Vertrag muss die Mindestinhalte aus Art. 28 Abs. 3 DSGVO enthalten: Weisungsbindung, Vertraulichkeit, technische und organisatorische Maßnahmen, Regeln für Unterauftragnehmer, Unterstützungspflichten, Löschung nach Vertragsende und Kontrollrechte. Entscheidend ist, ob diese Punkte zu Ihrem konkreten Hosting-Modell passen und nicht nur aus einer Vorlage übernommen wurden.

Dieser Beitrag zeigt, worauf Sie beim Lesen eines Hosting-AVV achten sollten, wo Standardverträge typischerweise lückenhaft sind und wie Sie die Prüfung strukturiert dokumentieren. Er ersetzt keine Rechtsberatung. Bei Unklarheiten sollten Sie Ihren Datenschutzbeauftragten einbinden.

Wann brauchen Sie beim Hosting einen AVV?

Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zweck und Mittel der Verarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten in dessen Auftrag verarbeitet. Beim Hosting sind Sie der Verantwortliche, der Hoster ist Auftragsverarbeiter.

Personenbezogene Daten liegen auf Ihren Systemen häufiger, als es auf den ersten Blick scheint:

Kundendatenbanken, Shop-Bestellungen und CRM-Daten
Einträge aus Kontaktformularen und Bewerbungsportalen
Webserver- und Anwendungslogs mit IP-Adressen
E-Mail-Postfächer, Kalender und Adressbücher
Dateiablagen mit Verträgen, Rechnungen oder Personalunterlagen

Auch wenn der Hoster nach eigener Aussage nie in Ihre Daten schaut, ist schon das Speichern eine Verarbeitung im Sinne der DSGVO. Ob reines Housing ohne jeden Zugriff des Anbieters anders zu bewerten ist, wird unterschiedlich gesehen. Im Zweifel schließen Sie den AVV ab. Wichtig: Die Verantwortung bleibt bei Ihnen. Sie müssen nach Art. 28 Abs. 1 DSGVO einen Anbieter auswählen, der hinreichende Garantien bietet, und das auch belegen können.

Pflichtinhalte nach Art. 28 DSGVO im Überblick

Art. 28 Abs. 3 DSGVO legt fest, was in jedem AVV stehen muss. Zunächst die Rahmendaten: Gegenstand und Dauer der Verarbeitung, Art und Zweck, Art der personenbezogenen Daten, Kategorien betroffener Personen sowie Ihre Rechte und Pflichten als Verantwortlicher. Danach folgen die Pflichten des Auftragsverarbeiters:

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
Verpflichtung aller beteiligten Personen zur Vertraulichkeit
Ergreifen der Sicherheitsmaßnahmen nach Art. 32 DSGVO
Einsatz weiterer Auftragsverarbeiter nur nach den Regeln aus Art. 28 Abs. 2 und 4
Unterstützung bei Anfragen betroffener Personen, etwa Auskunft oder Löschung
Unterstützung bei Datensicherheit, Meldung von Datenpannen und Datenschutz-Folgenabschätzung
Löschung oder Rückgabe aller Daten nach Ende der Leistung
Bereitstellung von Nachweisen und Ermöglichung von Überprüfungen

Fast jeder AVV eines seriösen Hosters enthält diese Punkte formal. Die eigentliche Prüfung beginnt bei der Frage, wie konkret sie auf den Hosting-Betrieb zugeschnitten sind.

Was beim Hosting anders ist als bei anderen Dienstleistern

Managed oder Standard: Wer hat Zugriff?

Der Umfang der Auftragsverarbeitung hängt stark vom Betriebsmodell ab. Beim Standard-Hosting stellt der Anbieter Infrastruktur bereit, Betriebssystem und Anwendungen verwalten Sie selbst. Beim Managed Hosting haben die Administratoren des Anbieters Root-Zugriff, spielen Updates ein, lesen Logs und greifen bei Störungen direkt auf das System zu. Die Unterschiede beider Modelle beschreibt der Beitrag Managed vs. Standard Hosting ausführlicher.

Für den AVV bedeutet das: Bei Managed Hosting sollten Administrationszugriffe, Fernwartung und deren Protokollierung ausdrücklich geregelt sein. Bei Standard-Hosting decken die Maßnahmen des Anbieters nur seine Schicht ab. Härtung, Patches und Zugriffskontrolle auf Betriebssystemebene bleiben Ihre Aufgabe und gehören in Ihre eigene Dokumentation.

Backups und Löschung

Daten verschwinden nicht in dem Moment, in dem Sie sie auf dem Server löschen. Sie bleiben in Sicherungen erhalten, bis diese rotiert werden. Ein guter AVV beschreibt, wo Backups liegen, wie lange sie aufbewahrt werden und wann Daten nach Vertragsende auch aus den Sicherungen entfernt sind.

Support, Tickets und Monitoring

Im Supportfall landen schnell Screenshots, Logauszüge oder Datenbankdumps im Ticketsystem. Monitoring-Daten können URLs mit Parametern oder IP-Adressen enthalten. Prüfen Sie, ob diese Nebenwege im AVV erfasst sind und ob das Ticketsystem selbst von einem Drittanbieter betrieben wird.

Unterauftragnehmer: die häufigste Lücke

Kaum ein Hoster erbringt jede Leistung allein. Typische Unterauftragnehmer sind:

Betreiber des Rechenzentrums, sofern dieser Zugang zu Systemen hat
Dienstleister für externe Backup-Standorte
Externe Bereitschafts- oder Supportkräfte
Anbieter von Ticket-, Chat- oder E-Mail-Diensten für die Kundenkommunikation
Dienste für DDoS-Schutz oder Content Delivery, die Datenverkehr durchleiten

Verlangen Sie eine Liste mit Name, Sitz, erbrachter Leistung und Verarbeitungsort. Nach Art. 28 Abs. 2 DSGVO darf der Hoster bei einer allgemeinen Genehmigung neue Unterauftragnehmer nur einsetzen, wenn er Sie vorher informiert und Sie Einspruch erheben können. Achten Sie darauf, wie diese Information erfolgt: per E-Mail an einen benannten Kontakt ist praktikabel, eine stille Änderung auf einer Webseite nicht.

Besonders genau sollten Sie hinsehen, wenn ein Unterauftragnehmer außerhalb der EU sitzt oder zu einem Konzern mit Sitz in einem Drittland gehört. Warum ein Serverstandort in der EU dann nicht automatisch genügt, erläutert der Beitrag zum US CLOUD Act trotz EU-Rechenzentrum.

TOM-Anlage: Woran Sie leere Formulierungen erkennen

Die technischen und organisatorischen Maßnahmen (TOM) stehen meist in einer Anlage. Hier zeigt sich am deutlichsten, ob ein Anbieter seinen Betrieb beschreibt oder nur Textbausteine verwendet. Ein paar Gegenüberstellungen:

Vage: "angemessene Zugangskontrolle". Konkret: "Serverzugriff nur per SSH-Key mit persönlicher Zuordnung, Anmeldungen werden protokolliert."
Vage: "regelmäßige Datensicherung". Konkret: "tägliche Sicherung an einen getrennten Standort, Aufbewahrung festgelegt, Rücksicherung wird regelmäßig getestet."
Vage: "Systeme werden aktuell gehalten". Konkret: "Sicherheitsupdates nach festem Prozess, kritische Lücken außerhalb des regulären Wartungsfensters."
Vage: "Verschlüsselung nach Stand der Technik". Konkret: Angabe, welche Verbindungen per TLS laufen und ob Daten oder Backups im Ruhezustand verschlüsselt sind.

Art. 32 Abs. 1 lit. d DSGVO verlangt zudem ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Fragen Sie nach, wie der Anbieter das umsetzt.

Ein AVV schützt Sie nur dann, wenn er beschreibt, was beim Hosting tatsächlich passiert: wer zugreift, wo Daten und Sicherungen liegen und wie sie am Ende verschwinden.

Auftragsverarbeitungsvertrag beim Hosting prüfen: Schritt für Schritt

Datenbestand erfassen. Notieren Sie, welche Kategorien personenbezogener Daten auf dem System liegen und welche Personengruppen betroffen sind. Ohne diese Angabe können Sie nicht beurteilen, ob die Beschreibung im AVV passt.
Hosting-Modell und Zugriffswege klären. Wer hat Root- oder Adminrechte, gibt es Fernwartung, wer sieht Logs und Monitoring-Daten?
Pflichtinhalte abhaken. Gehen Sie die Punkte aus Art. 28 Abs. 3 DSGVO einzeln durch und markieren Sie, wo der Vertrag nur auf allgemeine Geschäftsbedingungen verweist.
Unterauftragnehmer prüfen. Liste anfordern, Sitz und Verarbeitungsort kontrollieren, Informationsverfahren bei Änderungen bewerten.
TOM auf Konkretheit lesen. Jede Maßnahme sollte nachvollziehbar beschreiben, was getan wird, nicht nur, dass etwas getan wird.
Meldewege für Datenpannen festhalten. Der Auftragsverarbeiter muss Ihnen Verletzungen unverzüglich melden. Sie selbst haben gegenüber der Aufsichtsbehörde in der Regel 72 Stunden. Klären Sie, an welchen Kontakt die Meldung geht und welche Angaben sie enthält.
Vertragsende regeln. In welchem Format erhalten Sie Ihre Daten zurück, bis wann wird gelöscht, auch in Backups, und erhalten Sie eine Bestätigung?
Dokumentieren und Wiedervorlage setzen. Den AVV im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO referenzieren und einen Termin für die nächste Prüfung festlegen.

Eine kurze Prüfnotiz pro Vertrag reicht oft aus, um bei einer Anfrage der Aufsichtsbehörde oder eines Kunden auskunftsfähig zu sein:

AVV-Prüfung: Hosting Kundenportal
Anbieter:            [Name, Vertragsnummer]
AVV-Fassung vom:     [Datum]
Datenkategorien:     Kundenstammdaten, Bestellungen, Server-Logs (IP)
Betroffene:          Kunden, Interessenten, Mitarbeitende
Modell:              Managed (Anbieter hat Root-Zugriff)
Unterauftragnehmer:  Liste vom [Datum], alle Verarbeitung in EU
TOM geprüft:         ja, Rückfragen zu Backup-Verschlüsselung offen
Meldeweg Pannen:     datenschutz@[firma].de, Vertreter: [Name]
Löschung Vertragsende: Rückgabe als Dump, Löschung inkl. Backups geregelt
Offene Punkte:       [Liste]
Nächste Prüfung:     [Datum] oder bei Leistungsänderung
Geprüft von:         [Name]

Typische Warnsignale im Hosting-AVV

Der AVV ist erst nach Vertragsschluss und nur auf Nachfrage erhältlich.
Eine Liste der Unterauftragnehmer fehlt oder wird nicht herausgegeben.
Neue Unterauftragnehmer können ohne Vorabinformation eingesetzt werden.
Die TOM-Anlage ist identisch für alle Produkte, obwohl Managed und Standard sehr unterschiedliche Zugriffe bedeuten.
Die Löschung nach Vertragsende erfolgt "nach eigenem Ermessen" oder ohne Aussage zu Backups.
Kontrollrechte sind so eingeschränkt, dass sie praktisch nicht ausgeübt werden können.

Keines dieser Signale macht einen Anbieter automatisch ungeeignet. Es sind aber Punkte, die Sie vor der Unterschrift klären und schriftlich festhalten sollten.

Wenn Sie selbst Hosting für Ihre Kunden betreiben

Agenturen und Softwarehäuser, die Websites oder Anwendungen für Kunden betreiben, stehen in der Mitte einer Kette. Gegenüber Ihren Kunden sind Sie Auftragsverarbeiter, Ihr Hoster ist Ihr Unterauftragnehmer. Sie benötigen also einen AVV mit dem Kunden und einen mit dem Hoster, und die Pflichten müssen nach Art. 28 Abs. 4 DSGVO inhaltlich durchgereicht werden. Prüfen Sie insbesondere, ob Ihre Zusagen zu Löschfristen, Meldewegen und Verarbeitungsorten durch den Vertrag mit Ihrem Hoster gedeckt sind.

Wie NETARO den AVV handhabt

NETARO betreibt seine Server im Rechenzentrum NTT FRA01 in Frankfurt und schließt mit Kunden einen AVV nach Art. 28 DSGVO. Jedes Hosting-Produkt ist als Standard oder Managed buchbar. Beim Managed Hosting übernimmt NETARO Einrichtung, Härtung, Updates, Monitoring und Backups mit geprüfter Rücksicherung, was im AVV entsprechend als Zugriff des Anbieters zu berücksichtigen ist.

Wenn Sie bestehende Verträge unabhängig bewerten lassen möchten, umfasst das IT-Consulting auch die Prüfung von Sicherheit und Datenschutz sowie eine Zweitmeinung zu Angeboten, mit einem schriftlichen Ergebnis. Fragen zum AVV können Sie über die Kontaktseite stellen. Die Prüfliste oben funktioniert unabhängig davon für jeden Anbieter.

FAQ

Ist ein Auftragsverarbeitungsvertrag mit dem Hoster Pflicht?

Ja, sobald auf dem gehosteten System personenbezogene Daten liegen, also etwa Kundendaten, E-Mails oder Logs mit IP-Adressen. Das ist bei nahezu jedem Unternehmensserver der Fall. Der AVV muss die Inhalte aus Art. 28 Abs. 3 DSGVO enthalten.

Reicht ein elektronisch abgeschlossener AVV aus?

Ja. Art. 28 Abs. 9 DSGVO verlangt die Schriftform, lässt aber ausdrücklich ein elektronisches Format zu. Ein im Kundenportal akzeptierter oder per E-Mail ausgetauschter Vertrag genügt, solange Sie ihn dokumentieren und jederzeit vorlegen können.

Was passiert, wenn kein AVV mit dem Hoster vorliegt?

Dann verstoßen Sie als Verantwortlicher gegen Art. 28 DSGVO. Die Aufsichtsbehörde kann Maßnahmen anordnen und Bußgelder verhängen. Unabhängig davon fehlt Ihnen im Ernstfall die vertragliche Grundlage, um Meldewege, Löschung oder Unterstützung vom Anbieter einzufordern.

Wie oft sollte ein Hosting-AVV überprüft werden?

Immer dann, wenn sich etwas ändert: neue Unterauftragnehmer, ein Wechsel von Standard zu Managed, neue Datenkategorien auf dem System oder eine neue Fassung des Vertrags. Zusätzlich empfiehlt sich eine feste Wiedervorlage, etwa einmal im Jahr zusammen mit dem Verzeichnis der Verarbeitungstätigkeiten.

Auftragsverarbeitungsvertrag beim Hosting: Pflichtinhalte, typische Lücken und eine Prüfliste für KMU