Auftragsverarbeitungsvertrag (AVV): Was ist das – und brauchst du einen als Selbständiger?
ℹ️ Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung. Gesetze und Anforderungen können sich ändern – prüfe aktuelle Regelungen bei der WKO oder einem Rechtsexperten. Alle genannten Tools und Informationen entsprechen dem Stand Juni 2026.
Du nutzt WordPress, hast ein Hosting-Paket gebucht, verschickst Newsletter mit Mailchimp – und vielleicht lässt du die Website von einem externen IT-Dienstleister warten. Alles ganz normal für Selbständige in Österreich. Was viele dabei nicht wissen: Viele dieser Tools verarbeiten personenbezogene Daten weisungsgebunden in deinem Auftrag. Und genau dafür sieht die DSGVO in Art. 28 einen Auftragsverarbeitungsvertrag vor, kurz AVV. Fehlt dieser dort, wo er erforderlich wäre, kann die Datenverarbeitung als nicht regelkonform eingestuft werden – selbst wenn die Technik an sich sicher ist.
Dieser Artikel erklärt, was ein AVV genau ist, wer ihn braucht und welche Tools in einem typischen WordPress-Setup fast immer einen AVV erfordern – inklusive der häufigsten Fehler, die ich bei Kunden immer wieder sehe.
Was ist ein AVV – und was regelt er genau?
Ein AVV – ausgeschrieben „Auftragsverarbeitungsvertrag“ – ist ein schriftlicher Vertrag nach Art. 28 DSGVO zwischen dir und einem externen Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitet. Das Wort „Auftrag“ ist dabei entscheidend: Der Dienstleister handelt weisungsgebunden. Er verarbeitet die Daten nicht für eigene Zwecke, sondern ausschließlich nach deinen Vorgaben und in deinem Interesse.
Was der AVV konkret regelt: Pflichtinhalte nach Art. 28 DSGVO
Im AVV steht, welche Daten verarbeitet werden, für welchen Zweck, wie lange und unter welchen Sicherheitsmaßnahmen. Außerdem: Welche Subdienstleister darf der Anbieter einsetzen? Was passiert bei einer Datenpanne? Wie werden die Daten am Ende der Zusammenarbeit gelöscht oder zurückgegeben? Das sind keine optionalen Punkte – sie sind Pflichtinhalt nach Art. 28 Abs. 3 DSGVO. Ein AVV ohne diese Angaben erfüllt die rechtliche Anforderung nicht.
Vor dem ersten Datenfluss – nicht erst danach
Ein häufig übersehener Punkt: Der AVV sollte vorliegen, bevor du zum ersten Mal personenbezogene Daten an einen Dienstleister überträgst – nicht erst nachdem du bereits 500 Kontakte in Mailchimp gespeichert hast. Wer ein neues Tool einrichtet und erst danach nach dem Vertrag fragt, riskiert eine Lücke in der Dokumentation. Das gilt auch für Tools, die du schon seit Jahren nutzt und bei denen du noch nie an den AVV gedacht hast – der Zeitpunkt zum Nachholen ist trotzdem: jetzt.
Wer braucht einen AVV? – Die drei Voraussetzungen
Ein AVV ist typischerweise dann erforderlich, wenn diese drei Voraussetzungen gleichzeitig erfüllt sind:
- Es werden personenbezogene Daten verarbeitet – das betrifft z. B. IP-Adressen, E-Mail-Adressen, Namen, Kontaktdaten oder Website-Verhaltensdaten
- Ein externer Dienstleister ist an der Verarbeitung beteiligt
- Dieser Dienstleister handelt weisungsgebunden – er entscheidet also nicht selbst über Zweck und Art der Verarbeitung, sondern folgt deinen Vorgaben
Auch als Einzelunternehmer ohne Angestellte? Entscheidend ist die Funktion, nicht die Rechtsform.
Für den AVV ist nicht entscheidend, ob du Einzelunternehmer, GmbH oder Verein bist – sondern ob ein externer Dienstleister personenbezogene Daten weisungsgebunden in deinem Auftrag verarbeitet. Das ist für Selbständige genauso relevant wie für größere Unternehmen, sobald die drei Voraussetzungen erfüllt sind. Einer der häufigsten Irrtümer, dem ich bei Kunden begegne: die Annahme, dass diese Pflicht erst ab einer bestimmten Betriebsgröße oder Mitarbeiterzahl einsetzt.
Wann kein AVV nötig ist: Der eigenständige Verantwortliche
Nicht jeder Anbieter, der irgendwie mit Daten zu tun hat, ist automatisch Auftragsverarbeiter. Entscheidend ist, ob der Anbieter die Daten weisungsgebunden in deinem Auftrag verarbeitet – oder ob er selbst als eigenständiger Verantwortlicher über Zweck und Mittel entscheidet. Bei Zahlungsdienstleistern wie Stripe ist die Einordnung komplex: Je nach Verwendungsfall und Vertrag können unterschiedliche datenschutzrechtliche Modelle greifen. Hier ist es sinnvoll, direkt beim Anbieter nachzufragen, welches Vertragsmodell für deinen konkreten Einsatz vorgesehen ist – und im Bedarfsfall kurz Rechtsberatung einzuholen. Die klare Faustregel: Prüfe für jedes Tool einzeln, ob Weisungsgebundenheit vorliegt.
Diese WordPress-Tools brauchen fast immer einen AVV: Die Praxis-Liste
Für ein typisches Setup als Selbständige oder Selbständiger in Österreich – WordPress, Hosting, Newsletter, Analytics, Formular-Plugin – ist in der Praxis bei mehreren Tools ein AVV zu prüfen. Hier die häufigsten Fälle, warum ein AVV in Frage kommen kann und worauf du dabei achten solltest.
Hosting und Managed WordPress: Der häufig vergessene Klassiker
Dein Hosting-Anbieter hat technischen Zugriff auf alle Daten, die auf deiner Website gespeichert sind – Kontaktformular-Einsendungen, Log-Dateien mit IP-Adressen, die gesamte WordPress-Datenbank. Das ist klassische Auftragsverarbeitung. Anbieter wie Hetzner, SiteGround, Raidboxes oder all-inkl stellen ihren AVV – oft als „DPA“ (Data Processing Agreement) bezeichnet – direkt im Kundenbereich oder auf Anfrage zur Verfügung. Wer neu ein Hosting-Paket abschließt: AVV vor dem ersten Upload abschließen, nicht nach dem Go-Live.
Newsletter-Tools: Kontaktdaten in fremden Systemen
Mailchimp, Brevo, Mailerlite und ähnliche Dienste speichern und verarbeiten die E-Mail-Adressen und Profildaten deiner Abonnenten in deinem Auftrag – AVV Pflicht. Wichtiger Zusatz bei US-Diensten wie Mailchimp: Die Daten werden auf Servern in den USA verarbeitet, was zusätzliche Prüfung in Sachen Drittland-Datentransfer erfordert. Das ist ein eigenes Thema – aber es fängt immer mit dem AVV an.
Kontaktformulare: Kommt auf die Speicherung an
Ob ein Formular-Plugin einen AVV erfordert, hängt davon ab, wo die Einsendungen landen. Werden die Daten lokal in der eigenen WordPress-Datenbank gespeichert und hat kein externer Anbieter Zugriff darauf? Dann kein AVV nötig. Werden die Daten aber an externe Dienste übermittelt – CRM-System, Cloud-Datenbank, Marketing-Tool – oder verarbeitet ein externer IT-Dienstleister die Datenbank? Dann schon.
Analyse-Tools: Google Analytics und Co.
Google Analytics verarbeitet Besucherdaten deiner Website – oft inklusive IP-Adressen – auf Google-Servern. Google stellt einen standardisierten AVV-Prozess bereit, der in den Google-Nutzungsbedingungen integriert ist. Wichtig: Prüfe in deinem Google-Account ob du diesen Prozess aktiv abgeschlossen hast. Das passiert nicht automatisch durch bloße Nutzung. Matomo (selbst gehostet auf deinem eigenen Server) ist in diesem Punkt datenschutzfreundlicher – dann verarbeitest du die Daten selbst und brauchst keinen externen AVV dafür.
Backup-Dienste und Cloud-Speicher: Daten in der Cloud
Wenn du dein WordPress-Backup in einem Cloud-Dienst sicherst – Google Drive, Dropbox Business, ein externes Backup-Tool mit Cloud-Anbindung – hat der Cloud-Anbieter Zugriff auf alle gespeicherten Daten, inklusive Kundendaten aus Formularen und dem Shop. Beim jeweiligen Anbieter den AVV anfordern oder im Kundenbereich aktivieren. Backup-Plugins wie UpdraftPlus bieten verschiedene Cloud-Ziele an: Beim jeweiligen Cloud-Dienst separat prüfen.
Externe IT-Wartung und Webdesigner-Zugriff: Gilt in beide Richtungen
Beauftragst du jemanden mit der Wartung oder dem Backend-Zugriff auf deine WordPress-Website, hat diese Person potenziell Zugriff auf alle gespeicherten Daten. Das gilt in beide Richtungen: Als Webdesigner der Websites für Kunden betreut, bist du selbst Auftragsverarbeiter – und solltest mit jedem Kunden, dessen Website-Daten du verwaltest, einen AVV abschließen. Das ist nicht nur DSGVO-Pflicht, sondern auch ein professionelles Zeichen gegenüber deinen Kunden.
Du richtest gerade eine neue Website ein?
Ich richte das DSGVO Basic Setup bei jeder Website technisch sauber ein – inklusive Checkliste für AVV-relevante Tools. Du bekommst eine kostenlose Website-Vorschau mit Moodboard, Wireframe und Designvorschau – so siehst du genau, wie deine Website aussehen wird. Ohne Risiko, ohne Verpflichtung.
100% kostenlos · Unverbindlich · In 15 Minuten
So bekommst du deinen AVV – und was du dabei prüfen solltest
Bei großen Anbietern: oft ein einziger Klick
Google, Meta, Mailchimp, Hetzner, SiteGround – die meisten etablierten Anbieter haben den Prozess standardisiert. Oft reicht ein Klick im Kundenbereich unter „Datenschutz“, „Rechtliches“ oder „Konto-Einstellungen“. Manchmal ist der AVV direkt in den Nutzungsbedingungen enthalten und gilt mit der Nutzung des Dienstes als abgeschlossen – aber auch das solltest du aktiv prüfen, nicht einfach annehmen. Suche nach den Begriffen „AVV“, „DPA“ oder „Data Processing Agreement“ auf der Website des jeweiligen Anbieters.
Bei kleineren Anbietern: aktiv nachfragen
Kleinere oder österreichische Anbieter haben den Prozess manchmal noch nicht so stark standardisiert. Eine kurze E-Mail mit dem Hinweis auf Art. 28 DSGVO und der Bitte um den Auftragsverarbeitungsvertrag reicht meist aus. Kommt keine Reaktion oder wird der Vertrag verweigert, ist das ein klares Warnsignal – und du solltest überlegen, ob dieser Anbieter für deinen Zweck wirklich geeignet ist oder ob es eine datenschutzfreundlichere Alternative gibt.
Dokumentation ist Pflicht – und im Ernstfall entscheidend
Einen AVV abzuschließen reicht nicht – du musst es auch nachweisen können. Speichere alle AVV-Dokumente dauerhaft und geordnet zugänglich. Praktisch hat sich eine einfache Tabelle bewährt: Anbieter, Datenkategorie, AVV-Datum, Link zum Dokument. Das klingt aufwändig, ist aber einmalige Arbeit. Im Fall einer Datenpanne oder einer Prüfung durch die österreichische Datenschutzbehörde (DSB) kann genau diese Dokumentation den Unterschied machen.
Die häufigsten Fehler beim AVV – das sehe ich bei Kunden immer wieder
- „Als Einzelunternehmer brauche ich keinen AVV“: Das ist ein verbreiteter Irrtum. Die AVV-Pflicht hängt nicht von der Rechtsform oder der Größe des Unternehmens ab, sondern davon, ob ein externer Dienstleister personenbezogene Daten weisungsgebunden für dich verarbeitet. Das trifft Selbständige genauso wie GmbHs.
- Der AVV kommt nach dem Go-Live: Der AVV sollte vor dem ersten Datenfluss vorliegen, nicht nachdem die Website schon Monate online ist. Wer ihn rückwirkend abschließt, schließt zumindest die laufende Lücke – besser spät als nie.
- Deutsche AVV-Muster für Österreich: Die DSGVO gilt EU-weit, aber österreichische Zusatzgesetze (DSG) können eigene Anforderungen stellen. Besser: Auf österreichische Informationsquellen wie WKO oder DSB setzen oder Rechtsberatung in Anspruch nehmen.
- Neue Plugins ohne AVV-Check: Jedes neue Plugin, das Daten an externe Anbieter sendet oder externe Dienste einbindet, muss neu geprüft werden. Ein einmaliger Check beim Website-Launch reicht nicht für die gesamte Laufzeit.
- AVV abgeschlossen, aber nicht dokumentiert: Mündliche Zusagen oder E-Mails ohne strukturierte Ablage helfen im Ernstfall nicht weiter. Gültige AVV-Dokumente müssen sicher gespeichert und im Zweifelsfall schnell auffindbar sein.
- Art. 26 mit Art. 28 DSGVO verwechselt: Bei gemeinsamer Verantwortlichkeit (z.B. beim Betreiben einer Facebook-Fanpage) ist Art. 26 DSGVO relevant, nicht Art. 28. Das sind zwei verschiedene Konstrukte mit unterschiedlichen vertraglichen Anforderungen. Im Zweifel nachfragen oder beraten lassen.
Fazit: Einmal sauber aufräumen – langfristig auf der sicheren Seite
Der AVV klingt bürokratisch – ist in den meisten Fällen aber gar nicht so aufwändig. Bei den großen Anbietern wie Google, Mailchimp oder Hetzner ist er oft mit einem einzigen Klick im Kundenbereich erledigt. Die eigentliche Arbeit liegt im Überblick: Welche Tools nutze ich, welche davon verarbeiten personenbezogene Daten weisungsgebunden für mich – und habe ich für alle den AVV nachweisbar abgeschlossen?
Wer jetzt einmal sauber aufräumt und dokumentiert, ist langfristig auf der sicheren Seite. Und wenn du gerade eine neue Website aufbaust: Geh deine Tool-Liste einmal komplett durch. Hosting, Newsletter, Formular-Plugin, Backup, Analyse, IT-Wartung. Bei jedem Tool eine Frage: „Verarbeitet dieser Anbieter personenbezogene Daten in meinem Auftrag?“ Wenn ja – AVV prüfen, abschließen, archivieren.
Häufige Fragen: Auftragsverarbeitungsvertrag Österreich
Brauche ich als Einzelunternehmer in Österreich wirklich einen AVV?
In vielen Fällen ja – aber entscheidend ist nicht deine Rechtsform, sondern ob ein externer Dienstleister personenbezogene Daten weisungsgebunden für dich verarbeitet. Das ist für Einzelunternehmer genauso relevant wie für größere Unternehmen, sofern die drei Voraussetzungen (Daten, externer Dienstleister, Weisungsgebundenheit) gleichzeitig erfüllt sind. Hosting, Newsletter-Tools und Backup-Dienste sind typische Fälle, bei denen ein AVV zu prüfen ist.
Ist ein AVV auch für kostenlose Tools wie Google Analytics nötig?
Ja. Der Preis ist für die AVV-Pflicht vollständig irrelevant. Entscheidend ist, ob der Anbieter personenbezogene Daten weisungsgebunden in deinem Auftrag verarbeitet. Google Analytics ist kostenlos – hat aber einen standardisierten AVV-Prozess, den du in den Google-Einstellungen aktiv abschließen musst. Das passiert nicht automatisch durch bloße Nutzung des Dienstes.
Was passiert, wenn ich keinen AVV habe?
Fehlt ein AVV dort, wo er nach Art. 28 DSGVO erforderlich wäre, kann die Datenverarbeitung als nicht regelkonform eingestuft werden – selbst wenn die Technik sicher ist und nichts schiefgelaufen ist. Das kann zu Bußgeldern durch die österreichische Datenschutzbehörde (DSB), zu Abmahnungen durch Mitbewerber oder Verbände und zu Haftungsrisiken führen. In der Praxis fallen solche Lücken oft dann auf, wenn eine Datenpanne oder eine Beschwerde den Fall ins Rollen bringt.
Wie lange muss ein AVV aufbewahrt werden?
Für die gesamte Dauer der Zusammenarbeit mit dem Dienstleister und darüber hinaus, solange Haftungsrisiken bestehen. Als Richtwert gilt in der Praxis: mindestens 3 Jahre nach Ende der Zusammenarbeit. Eine sichere digitale Ablage – geordnet und schnell auffindbar – reicht für die meisten Fälle aus. Wichtiger als das genaue Datum ist, dass du im Ernstfall schnell nachweisen kannst, dass ein gültiger AVV existiert hat.
Gibt es kostenlose AVV-Vorlagen für Österreich?
Für Standardsituationen stellen die meisten Anbieter eigene AVV-Muster bereit – direkt im Kundenbereich oder auf Anfrage. Das ist der einfachste Weg und gilt für Hosting, Newsletter-Tools, Analytics etc. Für eigene Auftragsverarbeitungsverträge – zum Beispiel wenn du als Webdesigner Kundendaten verwaltest – empfehle ich die WKO-Informationen zum Datenschutz als Ausgangspunkt oder österreichische Rechtsberatung für deinen spezifischen Fall.
Alex Wagner ist Webdesigner aus Schwaz, Tirol. Er erstellt professionelle WordPress-Websites für Selbstständige und kleine Unternehmen in Tirol und im gesamten DACH-Raum – persönlich, transparent und alles inklusive. Das DSGVO Basic Setup richtet er bei jedem Projekt technisch sauber ein und begleitet Kunden durch den gesamten Freigabe-Prozess.
Neue Website – von Anfang an richtig aufgesetzt.
Das DSGVO Basic Setup inklusive Hinweis auf AVV-relevante Tools ist bei jedem meiner Pakete dabei. Du bekommst eine kostenlose Website-Vorschau mit Moodboard, Wireframe und Designvorschau – so siehst du genau, wie deine Website aussehen wird. Ohne Risiko, ohne Verpflichtung.
100% kostenlos · Unverbindlich · In 15 Minuten
