Fast jede moderne Website nutzt externe Dienste. Hosting, CDN, Cookie-Consent, Newsletter, Kontaktformular, Terminbuchung, Analyse, Zahlungsanbieter, Supportchat, Schriftarten, Security-Plugins und Backup-Dienste arbeiten oft im Hintergrund zusammen. Für Besucher ist davon wenig sichtbar. Für Datenschutz und Betrieb ist es aber entscheidend, wer welche Daten verarbeitet und auf welcher Grundlage das geschieht.
Genau hier geraten viele kleine Unternehmen ins Schleudern. Der AV-Vertrag wurde irgendwann im Kundenkonto akzeptiert, ein Plugin kam später dazu, ein Newsletterdienst wurde gewechselt und die Datenschutzerklärung hinkt hinterher. Spätestens bei einer Auskunftsanfrage, einem Toolwechsel oder einem Datenschutz-Audit wird klar: Es fehlt nicht nur ein Vertrag, sondern eine belastbare Übersicht.
Warum Auftragsverarbeitung bei Websites so oft unterschätzt wird
Auftragsverarbeitung klingt nach Konzernprozess, betrifft aber sehr alltägliche Website-Situationen. Wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, greifen die Anforderungen aus Art. 28 DSGVO. Die Datenschutzkonferenz beschreibt Auftragsverarbeitung als spezifische Form der Aufgabenübertragung. Für Website-Betreiber heißt das: Nicht jedes externe Tool ist automatisch Auftragsverarbeitung, aber viele typische Website-Dienste müssen zumindest geprüft werden.
Hosting ist ein naheliegendes Beispiel. Auch Formularanbieter, Newsletterdienste, Analyseanbieter, Supportsysteme, Bewerbungsportale, Cloud-Speicher oder Wartungsdienstleister können betroffen sein. Entscheidend ist, ob der Anbieter personenbezogene Daten für den Betreiber nach dessen Zweck und Weisung verarbeitet oder ob er eigene Zwecke verfolgt. Diese Abgrenzung gehört nicht in eine lose Notiz, sondern in eine nachvollziehbare Tool-Dokumentation.
Ein AV-Vertrag allein reicht nicht
Viele Betreiber fragen nur: „Haben wir einen AV-Vertrag?“ Das ist zu kurz. Wichtig ist auch, ob der Vertrag zum eingesetzten Dienst passt, ob die richtige Gesellschaft Vertragspartner ist, ob Subdienstleister geregelt sind, ob Drittlandtransfers vorkommen, welche technischen und organisatorischen Maßnahmen genannt werden und ob Löschung oder Rückgabe nach Vertragsende klar ist.
Art. 28 DSGVO verlangt einen Vertrag oder ein anderes Rechtsinstrument mit konkreten Inhalten. Dazu gehören unter anderem Gegenstand und Dauer der Verarbeitung, Art und Zweck, Datenarten, Kategorien betroffener Personen sowie Pflichten und Rechte des Verantwortlichen. Für Website-Teams ist daraus ein praktischer Auftrag ableitbar: Der AV-Status muss pro Tool dokumentiert werden, nicht nur allgemein pro Website.
Die häufigsten Lücken in KMU-Websites
Die erste Lücke ist die Tool-Inventur. Niemand weiß mehr genau, welche Dienste aktiv sind. Ein Plugin lädt einen externen Dienst, ein altes Tracking-Snippet steckt noch im Tag Manager, ein Formular sendet an ein CRM und der Newsletter läuft über ein System, das im Impressum nie auftaucht. Ohne Inventur kann auch kein AV-Vertrag sauber geprüft werden.
Die zweite Lücke betrifft Subdienstleister. Viele SaaS-Anbieter nutzen weitere Anbieter für Hosting, Support, Analyse, E-Mail-Versand oder Sicherheit. Das ist nicht automatisch unzulässig, muss aber transparent und vertraglich geregelt sein. Betreiber sollten wissen, wo diese Liste steht, wie Änderungen angekündigt werden und ob es ein Widerspruchs- oder Informationsverfahren gibt.
Die dritte Lücke sind Prüfintervalle. Ein Vertrag wurde 2022 akzeptiert und seitdem nie wieder angesehen. In der Zwischenzeit hat sich der Anbieter, die Produktfunktion, der Speicherort oder die Subdienstleisterliste geändert. Gerade bei Websites mit vielen Plugins und SaaS-Diensten sollte mindestens einmal jährlich geprüft werden, ob Dokumentation, Datenschutzerklärung und tatsächliche Einbindung noch zusammenpassen.
Was in ein AV-Verzeichnis gehört
Ein schlankes AV-Verzeichnis muss nicht kompliziert sein. Für jedes Tool sollten Betreiber Name, Zweck, Website-Bereich, Datenarten, Kategorien betroffener Personen, Anbieterrolle, Vertragsstand, Link zum AV-Vertrag, Subdienstleister-Hinweis, Drittlandtransfer, Speicherfristen, technische Maßnahmen und internes Prüfdatum erfassen. Dazu kommt eine Verantwortlichkeit: Wer prüft dieses Tool und wer entscheidet über Änderungen?
Für WordPress-Websites lohnt sich zusätzlich eine technische Spalte. Dort steht, ob der Dienst über Plugin, Theme, Tag Manager, eingebettetes Skript, Serverkonfiguration oder externes Formular geladen wird. Diese Information ist wichtig, wenn ein Tool entfernt oder ersetzt werden soll. Datenschutzdokumentation ohne technische Fundstelle bleibt sonst Theorie.
Datenschutzerklärung und Consent müssen zusammenpassen
AV-Dokumentation ist kein Selbstzweck. Sie muss mit Datenschutzerklärung, Cookie-Consent und tatsächlicher Website-Technik übereinstimmen. Wenn ein Analyseanbieter im Consent-Banner auftaucht, sollte er auch in der Datenschutzerklärung beschrieben sein. Wenn ein Formularanbieter Daten verarbeitet, muss klar sein, welche Daten übertragen werden und wie lange sie gespeichert bleiben. Wenn ein Dienst ohne Einwilligung geladen wird, braucht es eine tragfähige Rechtsgrundlage.
Der AdSimple Datenschutz Generator hilft bei Datenschutzhinweisen, ersetzt aber nicht die operative Entscheidung, welche Tools tatsächlich auf der Website aktiv sind. Genau deshalb ist eine Tool-Inventur so wertvoll: Sie liefert die Grundlage für passende Texte, Consent-Einstellungen und interne Prüfungen.
Ein einfacher Prozess für Betreiber
Starten Sie mit einem technischen Scan und einer manuellen Liste. Welche Skripte werden geladen? Welche Plugins sind aktiv? Welche Formular-, Newsletter-, Analyse- und Shopdienste sind verbunden? Danach wird jedes Tool einer Rolle zugeordnet: Auftragsverarbeiter, gemeinsam Verantwortliche, eigener Verantwortlicher oder unklar. Die unklaren Fälle kommen in eine Prüfliste.
Im zweiten Schritt sammeln Sie Verträge und Anbieterinformationen. Liegt ein AV-Vertrag vor? Ist er aktuell? Gibt es Standardvertragsklauseln oder andere Angaben zu Drittlandtransfers? Gibt es eine Subdienstleisterliste? Sind die technischen und organisatorischen Maßnahmen erreichbar? Diese Informationen sollten nicht nur im E-Mail-Postfach einer Person liegen, sondern zentral zugänglich sein.
Im dritten Schritt wird die Website-Dokumentation aktualisiert: Datenschutzerklärung, Consent-Banner, internes Verzeichnis der Verarbeitungstätigkeiten, Löschkonzept und Supportprozesse. Wenn ein Tool nicht mehr gebraucht wird, ist Entfernen oft die beste Datenschutzmaßnahme. Weniger Dienste bedeuten weniger Verträge, weniger Risiken und weniger Pflegeaufwand.
Toolwechsel sauber abschließen
Viele Datenschutzlücken entstehen nicht beim Start eines Tools, sondern beim Ende. Ein alter Newsletterdienst bleibt im Konto aktiv, ein Analyse-Snippet ist noch im Tag Manager, ein Formulararchiv liegt beim bisherigen Anbieter oder ein Plugin speichert weiter Daten, obwohl die Funktion nicht mehr genutzt wird. Deshalb braucht jeder Toolwechsel einen Abschlussprozess.
Dazu gehören Kündigung oder Deaktivierung, Datenexport, Löschung oder Rückgabe, Prüfung der Restdaten, Entfernung von Skripten, Aktualisierung der Datenschutzerklärung und Anpassung des AV-Verzeichnisses. Wenn der Anbieter eine Löschbestätigung oder Admin-Protokolle anbietet, sollte diese Information abgelegt werden. So lässt sich später nachvollziehen, dass der Dienst nicht nur fachlich ersetzt, sondern datenschutzorganisatorisch beendet wurde.
Verantwortung nicht im Postfach verstecken
Ein AV-Verzeichnis funktioniert nur, wenn klar ist, wer es pflegt. In kleinen Unternehmen ist das häufig eine Person aus Marketing, IT oder Geschäftsführung. Trotzdem sollte mindestens eine zweite Person wissen, wo Verträge, Anbieterlisten und Prüftermine liegen. Sonst hängt die gesamte Datenschutzdokumentation an einem Postfach oder einem privaten Downloadordner.
Praktisch ist ein jährlicher Website-Tool-Review mit drei Fragen: Nutzen wir den Dienst noch? Stimmen Vertrag, Datenschutzerklärung und technische Einbindung? Gibt es eine bessere, datensparsamere Alternative? Dieser kleine Rhythmus verhindert, dass die Website über Jahre immer mehr externe Dienste ansammelt.
Hilfreich ist außerdem eine Ampelbewertung. Grün steht für geprüfte und dokumentierte Dienste, Gelb für offene Nachweise oder bald fällige Prüfungen, Rot für unklare Anbieterrollen, fehlende Verträge oder nicht mehr benötigte Tools. So sehen auch Nicht-Juristen schnell, wo Handlungsbedarf besteht, und Datenschutz bleibt nicht in Detaildokumenten verborgen. Für Agenturen ist diese Übersicht zusätzlich ein gutes Übergabedokument, wenn Betreuung, Hosting oder Marketingverantwortung wechseln. Sie zeigt neuen Ansprechpartnern sofort, welche Dienste kritisch sind und welche Unterlagen zuerst geprüft werden müssen, ohne lange Suche.
Fazit: AV-Verträge brauchen Betrieb, nicht Ablage
AV-Verträge sind keine einmalige Checkbox. Sie sind Teil des laufenden Website-Betriebs. Wer externe Tools nutzt, sollte wissen, welche Daten wohin fließen, welche Verträge gelten und wann die nächste Prüfung fällig ist. Das schützt nicht nur rechtlich, sondern macht Toolwechsel, Audits und Datenschutzanfragen deutlich entspannter.
Der beste Einstieg ist eine kleine Tabelle mit allen Website-Diensten. Schon diese Übersicht zeigt meist, welche Verträge fehlen, welche Dienste veraltet sind und wo Datenschutzerklärung oder Consent-Banner nachziehen müssen.
