Auftragsverarbeiter
Ein Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung eines anderen Unternehmens — etwa ein Hosting-Anbieter oder ein Newsletter-Dienst. Dafür verlangt die DSGVO einen schriftlichen Vertrag.
Wen das betrifft
Praktisch jede Website. Der Server, auf dem sie liegt, verarbeitet die IP-Adressen Ihrer Besucher. Der Anbieter des Kontaktformulars sieht die eingegebenen Daten. Für beides braucht es einen Auftragsverarbeitungsvertrag.
Der Vertrag ist kein Selbstzweck: Er regelt, was der Dienstleister mit den Daten darf, wie er sie schützt und was bei einer Panne passiert. Ohne ihn haften Sie für etwas, das Sie nicht geregelt haben.
Wer in einem typischen Betrieb dazugehört
Mehr Dienstleister, als die meisten annehmen: Hoster, Newsletter-Anbieter, Cloud-Speicher, Lohnbüro, Bewerbermanagement, oft auch die IT-Betreuung und die Agentur. Für jeden davon braucht es einen Vertrag nach Artikel 28.
Nicht dazu gehören Dienstleister, die eigenverantwortlich handeln — Steuerberater und Rechtsanwälte etwa. Diese Unterscheidung wird häufig falsch gemacht, und zwar in beide Richtungen.
Warum der Vertrag allein nicht genügt
Weil die Verantwortung beim Auftraggeber bleibt. Sie müssen den Dienstleister auswählen, prüfen und im Zweifel nachweisen, dass Sie das getan haben — ein unterschriebenes Formular ohne jede Prüfung erfüllt den Zweck der Vorschrift nicht.
Praktikabel ist eine kurze Notiz je Dienstleister: Was wurde geprüft, wann, und mit welchem Ergebnis. Fünf Zeilen, die im Ernstfall den Unterschied machen.
Worauf zu achten ist
Wo verarbeitet wird. Bei Anbietern außerhalb der EU kommen zusätzliche Anforderungen dazu, die Aufwand bedeuten. Ein Anbieter mit Rechenzentrum in Deutschland erspart diesen Schritt.
Und ob Unterauftragnehmer benannt sind. Ein Dienst, der seinerseits fünf andere einbindet, verlängert die Kette — Sie sollten wissen, wer am Ende Zugriff hat. Ein fehlender Vertrag ist dabei kein Formfehler: Er fällt laut Artikel 83 DSGVO in die Bußgeldstufe von bis zu 2 % des weltweiten Jahresumsatzes.
Rechtsgrundlagen
- Verordnung (EU) 2016/679 (DSGVO)(öffnet in neuem Tab)Volltext im Amtsblatt der EU
NIS2 für kleine Unternehmen: betroffen oder nur Zulieferer?
Unter 50 Beschäftigten ist ein Betrieb von NIS2 in aller Regel nicht direkt erfasst – und bekommt trotzdem Fragebögen seiner Kunden. Wer wirklich betroffen ist, was die Lieferkettenpflicht bedeutet und was ein Zulieferer realistisch vorlegen kann.
n8n, Make oder Zapier: der Vergleich mit Blick auf DSGVO
Drei Werkzeuge, drei Antworten auf die Frage, wo Ihre Daten landen. Was Zapier, Make und n8n beim Datenschutz unterscheidet, was die n8n-Lizenz wirklich erlaubt – und warum Selbsthosten allein nichts DSGVO-konform macht.
Passende Leistungen
Hosting & Deployment
Ihre Web-App zuverlässig ausrollen und betreiben: automatische Deployments über GitHub Actions, gehostet auf Hetzner in der EU.
Mehr dazuEU-AI-Act-Umsetzung
KI-Inventar, technische Transparenz nach Artikel 50, Nachweisdokumentation und eine Kurzschulung für Ihr Team. Umsetzung statt Gutachten.
Mehr dazuWeb-Analytics & Newsletter-Tracking
Cookielose Auswertung von Website und Newsletter auf einem eigenen Server in Deutschland. Sie sehen, was wirkt, ohne Besucherdaten aus der Hand zu geben.
Mehr dazu