Webhosting und Datenschutz

Worum geht's?

Auftragsverarbeitungsverträge sind oft nicht das Erste, woran Webhoster und ihre Kunden denken. Wenn trotz Pflicht jedoch kein Auftragsverarbeitungsvertrag (AV-Vertrag) abgeschlossen wird, hat das fatale Folgen. Ein Verstoß gegen die Datenschutz-Grundverordnung (DSGVO) kann schnell 20 Millionen Euro kosten. Informieren Sie sich jetzt rund um das Thema AV-Vertrag & Webhoster und erfahren Sie, wann Sie als Hoster einen AV-Vertrag brauchen und wie Sie diesen DSGVO-konform mit Ihren Kunden schließen.

1. Was versteht man unter Webhosting?

2. Ist Hosting Auftragsverarbeitung?

Eine Auftragsverarbeitung liegt immer dann vor, wenn personenbezogene Daten weisungsgebunden im Auftrag verarbeitet werden.

Bei Vorliegen dieser drei Kriterien handelt es sich also um Auftragsverarbeitung. Wenn Sie sich ausführlicher zur Auftragsverarbeitung an sich informieren wollen, lesen Sie unseren Artikel “Was ist die DSGVO Auftragsverarbeitung und was geht mich das an?”.

3. Wann brauchen Sie als Hoster einen Auftragsverarbeitungsvertrag?

Sobald die drei Kriterien für eine Auftragsverarbeitung vorliegen, muss nach Art. 28 DSGVO auch ein Auftragsverarbeitungsvertrag (AV-Vertrag) geschlossen werden. Schließen Sie den AV-Vertrag nicht ab, drohen beiden Parteien Abmahnungen und Bußgelder.

Übrigens: Ihre Kunden müssen die Datenverarbeitung im Rahmen des Webhosting in Ihre Datenschutzerklärung aufnehmen. Weisen Sie daher bei Bedarf Ihre Kunden darauf hin.

4. Wann brauchen Sie keinen Auftragsverarbeitungsvertrag beim Webhosting?

Nur wenn keine personenbezogenen Daten auf der Webseite Ihres Kunden verarbeitet werden, brauchen Sie auch keinen AV-Vertrag abzuschließen. Da jedoch nahezu alle Webseiten in irgendeiner Weise personenbezogene Daten verarbeiten, ist auch ein AV-Vertrag im Regelfall erforderlich.

5. Brauche ich als Agentur, die Webseiten hostet, einen AV-Vertrag?

Wenn Sie als Agentur Ihren Kunden ein Rundumpaket anbieten wollen, gehört meist auch das Hosting dazu. Viele Agenturen schließen dazu einen Vertrag mit einem Hosting-Anbieter, um Hosting in Ihrem Portfolio anbieten zu können. Sie gelten dann als “Hosting-Reseller” und kommen nicht um das Thema AV-Vertrag & Webhoster herum. Zum einen müssen Sie einen AV-Vertrag mit dem Hosting-Anbieter schließen und zum anderen müssen Sie einen AV-Vertrag mit Ihren Kunden schließen.

6. Webhosting & Datenschutz: Was müssen Sie im AV-Vertrag regeln?

Neben der Sicherheit der Verarbeitung regelt ein AV-Vertrag, in welchem Rahmen Sie als Webhoster die Daten der Webseiten-Besucher verarbeiten. Gesetzlich ist festgelegt (Art. 28 DSGVO), welche Inhalte im AV-Vertrag stehen müssen. Demnach muss ein AV-Vertrag zunächst folgende allgemeine Punkte umfassen:

Beschreibung der Verarbeitung & Rechte und Pflichten des Kunden

• Gegenstand und Dauer der Verarbeitung
• Art und Zweck der Verarbeitung
• Art der personenbezogenen Daten
• Kategorien der betroffenen Personen
• Rechte und Pflichten des Kunden (u.a. Dokumentation der Weisungen und Kontrollrecht des Kunden)

Darüber hinaus ergeben sich aus Art. 28 DSGVO weitere Punkte, die Ihr AV-Vertrag enthalten sollte und die für Sie als Webhoster besonders relevant sind:

Pflichten für Webhoster

• Weisungsgebundenheit
• Vertraulichkeitsverpflichtung
• Ergreifen geeigneter technische und organisatorische Maßnahmen (TOMs)
• Regelung zum Einsatz von Dienstleistern bzw. Subunternehmern
• Unterstützung bei Geltendmachung von Betroffenenrechten
• Unterstützung bei Meldepflicht im Fall von Verstößen gegen die DSGVO
• Rückgabe und/oder Löschung der personenbezogenen Daten nach Beendigung der Verarbeitungsleistungen
• Hinweis- bzw. Informationspflichten

Achten Sie als Webhoster darauf, dass Ihre Kunden Ihnen keine unverhältnismäßigen Einsichtsrechte in die interne Dokumentation vorschreiben.

Sören SiebertRechtsanwalt

7. Prüfung von AV-Verträgen durch Landesdatenschutzbehörden

Immer wieder prüfen Landesdatenschutzbehörden die AV-Verträge zwischen Hostern und ihren Kunden. Innerhalb des Prüfungsverfahrens ist das Ziel der Landesdatenschutzbehörden, fehlerhafte AV-Verträge aufzudecken. Dabei stehen aber nicht Sanktionen im Vordergrund, sondern vielmehr Sie als Webhoster. Die Behörden wollen Sie beim Abschluss korrekter AV-Verträge unterstützen. Anhand einer Checkliste prüfen die Behörden die Verträge und beurteilen, ob Nachbesserungsbedarf besteht. Dennoch sollten Sie nicht auf eine Prüfung durch die Landesdatenschutzbehörden warten.

8. Form des AV-Vertrags

Nach Art. 28 Absatz 9 DSGVO muss der AV-Vertrag schriftlich geschlossen werden, jedoch reicht ein elektronisches Format. Was das genau heißt, ist rechtlich noch nicht final geklärt. Laut dem Bayerischen Landesamt für Datenschutzaufsicht ist keine qualifizierte elektronische Signatur erforderlich. Wichtig ist allerdings, dass Sie den Abschluss des AV-Vertrags hinreichend und beweiskräftig dokumentieren. Es kann also bereits ausreichen, wenn Sie den AV-Vertrag per Klick auf eine Checkbox schließen. Wer jedoch sichergehen möchte, schließt AV-Verträge in Textform, etwa per E-Mail-Kommunikation, oder mittels elektronischer Signatur ab.

9. Abschluss von AV-Verträgen

Ein fehlender oder fehlerhafter AV-Vertrag kann Bußgelder in Höhe von mehreren Millionen Euro nach sich ziehen. Laut DSGVO haften der Hoster und der Webseitenbetreiber gemeinsam. Der Abschluss eines AV-Vertrages liegt daher sowohl im Interesse des Webseitenbetreibers als auch im Interesse des Webhosters. Nichtsdestotrotz stehen Hoster häufig vor dem Problem, dass sie jedem einzelnen Kunden “hinterherrennen” müssen, damit diese ihren AV-Vertrag unterzeichnen.

Daher stellen sich viele Webhoster die Frage, ob Sie den AV-Vertrag in Ihre AGB integrieren können. Dies ist möglich, allerdings können Sie den Text Ihres AV-Vertrags nicht einfach in Ihre AGB kopieren. Stattdessen müssen Sie den AV-Vertrag gesondert einbeziehen und eindeutig als solchen kennzeichnen. Außerdem müssen Ihre Kunden die Möglichkeit der ausdrücklichen Zustimmung haben.

Wir empfehlen Ihnen, die Einbindung des AV-Vertrags in Ihre AGB nur mit anwaltlicher Unterstützung vorzunehmen, da spezielle Vorkehrungen getroffen werden müssen und die Anforderungen an die DSGVO einzuhalten sind.

10. Wie erhalte ich einen DSGVO-konformen AV-Vertrag?

Es reicht nicht aus, einfach irgendeinen AV-Vertrag aus dem Internet zu verwenden. Viele AV-Vertragsmuster enthalten rechtliche Fehler oder sind schlicht veraltet. Das kann Ihnen im Falle einer datenschutzrechtlichen Prüfung schnell auf die Füße fallen. Als Webhoster sollten Sie sich daher rechtlich beraten lassen und einen auf Ihre Bedürfnisse zugeschnittenen AV-Vertrag erstellen lassen.

• Zurück zur Übersicht: "Datenschutz"
• Auftragsverarbeitungsvertrag & AV-Vertrag

• Mehr lesen zum Thema "Domain & Hosting"