Auftragsverarbeitungsvertrag (AVV) beim Hosting: Was du nach DSGVO brauchst

von Robert Klikics 5 Min Lesezeit veröffentlicht 2. Oktober 2026 zuletzt geändert 5. Oktober 2026

Sobald deine Website auf dem Server eines Hosters liegt, verarbeitet dieser Hoster personenbezogene Daten für dich: IP-Adressen in den Server-Logs, Nachrichten aus dem Kontaktformular, E-Mails im Postfach, Kundendaten im Shop. Die DSGVO verlangt dafür einen Vertrag, den Auftragsverarbeitungsvertrag (AVV). Dieser Artikel erklärt, wann du ihn brauchst, was drinstehen muss, welche Rolle der Serverstandort spielt und welche Pflichten der Hoster dir nicht abnehmen kann.

Hinweis: Dieser Artikel erklärt die Grundlagen und ist keine Rechtsberatung. Im Zweifel hilft eine Anwältin oder ein Anwalt für Datenschutzrecht.

Kurz gefasst

• Dein Hoster ist Auftragsverarbeiter nach Art. 28 DSGVO, sobald auf deinem Hosting personenbezogene Daten liegen. Das ist praktisch bei jeder Website der Fall, schon wegen der IP-Adressen in den Logs.
• Den AVV musst du als Verantwortlicher haben. Bei seriösen Hostern ist er Teil der AGB oder lässt sich im Kundenbereich herunterladen.
• Server in Deutschland oder der EU vermeiden die zusätzlichen Fragen, die eine Übermittlung in Drittländer aufwirft.
• Cookie-Einwilligung, Datenschutzerklärung und eingebundene Drittanbieter bleiben deine Aufgabe, egal wo der Server steht.

Warum der Hoster ein Auftragsverarbeiter ist

Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zweck und Mittel der Verarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten nur in dessen Auftrag verarbeitet. Für deine Website bist du der Verantwortliche. Der Hoster speichert die Daten, betreibt den Server und erstellt Backups, entscheidet aber nicht, was mit den Daten geschieht. Damit ist er Auftragsverarbeiter, und für diese Konstellation schreibt Art. 28 DSGVO einen Vertrag vor.

Personenbezogene Daten fallen schneller an, als man denkt:

• IP-Adressen und Zeitstempel in den Zugriffs- und Fehlerprotokollen des Webservers
• Benutzerkonten in WordPress, Kommentare, Anmeldungen zum Newsletter
• Nachrichten aus Kontaktformularen, die in der Datenbank oder im Postfach landen
• Bestellungen, Adressen und Rechnungen in einem WooCommerce-Shop
• E-Mails in Postfächern, die beim Hoster liegen

Was in einem AVV stehen muss

Art. 28 Abs. 3 DSGVO legt fest, was der Vertrag mindestens regeln muss. Neben Gegenstand, Dauer, Art und Zweck der Verarbeitung, der Art der Daten und den betroffenen Personen verpflichtet er den Auftragsverarbeiter dazu,

• Daten nur auf deine dokumentierte Weisung zu verarbeiten,
• alle Beschäftigten, die Zugriff haben, zur Vertraulichkeit zu verpflichten,
• angemessene technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO zu treffen,
• weitere Dienstleister (Unterauftragsverarbeiter) nur unter den Bedingungen des Vertrags einzusetzen,
• dich bei Anfragen von Betroffenen zu unterstützen, etwa bei Auskunft oder Löschung,
• dich bei Sicherheit, Meldungen von Datenpannen und Datenschutz-Folgenabschätzungen zu unterstützen,
• die Daten nach Vertragsende zu löschen oder zurückzugeben,
• dir die Informationen zur Verfügung zu stellen, mit denen du die Einhaltung prüfen kannst, und Überprüfungen zu ermöglichen.

Die TOM sind meist eine eigene Anlage. Sie beschreiben zum Beispiel Zutrittskontrolle im Rechenzentrum, Verschlüsselung, Backups und Zugriffsrechte. Wirf beim Abschluss einen Blick hinein: Sie zeigen ziemlich genau, wie ernst ein Anbieter das Thema nimmt.

Serverstandort: Deutschland, EU oder Drittland

Die DSGVO verbietet keine Server außerhalb der EU. Werden personenbezogene Daten aber in ein Drittland übermittelt, gelten zusätzlich die Art. 44 ff. DSGVO: Es braucht einen Angemessenheitsbeschluss der EU-Kommission oder andere Garantien wie Standardvertragsklauseln. Für die USA gibt es seit 2023 das EU-U.S. Data Privacy Framework, das aber nur für zertifizierte Unternehmen gilt und dessen Bestand seit Jahren politisch umstritten ist.

Ein Hoster mit Servern in Deutschland, der selbst ein Unternehmen in der EU ist, erspart dir diese Prüfung für das Hosting. Achte dabei nicht nur auf den Standort des Rechenzentrums, sondern auch auf die Unterauftragsverarbeiter: Ein deutsches Rechenzentrum nützt wenig, wenn Backups, E-Mail oder Support über Dienste außerhalb der EU laufen.

Was der Hoster dir nicht abnimmt

Mit einem AVV und einem Server in Frankfurt ist deine Website noch nicht datenschutzkonform. Diese Punkte bleiben bei dir:

• Einwilligung für Cookies und Tracking: Nach § 25 TDDDG (bis Mai 2024 TTDSG) brauchst du für nicht notwendige Cookies und vergleichbare Techniken eine Einwilligung, bevor sie gesetzt werden.
• Datenschutzerklärung: Sie muss beschreiben, welche Daten deine Website verarbeitet, auch die Server-Logs beim Hoster.
• Eingebundene Drittanbieter: Schriften, Karten oder Videos, die direkt vom Server eines Drittanbieters geladen werden, übertragen die IP-Adresse deiner Besucher. Das Landgericht München I hat 2022 entschieden, dass das ungefragte Laden von Google Fonts gegen die DSGVO verstößt (Urteil vom 20.01.2022, Az. 3 O 17493/20). Am einfachsten ist es, Schriften selbst zu hosten. Ob deine Seite betroffen ist, zeigt unser kostenloser Google-Fonts-Check.
• Formulare und E-Mail: Daten aus Formularen nur so lange aufheben wie nötig, und Versand und Empfang verschlüsselt einrichten.
• Eigene Dienstleister: Newsletter-Tool, Zahlungsanbieter, Analyse-Dienst: Für jeden Auftragsverarbeiter brauchst du einen eigenen AVV.

Checkliste für die Wahl des Hosters

• Gibt es einen AVV nach Art. 28 DSGVO, und kommst du ohne Aufwand an ihn heran?
• Sind die TOM beschrieben und verständlich?
• Wo steht das Rechenzentrum, und welche Zertifizierungen hat es, etwa ISO/IEC 27001?
• Welche Unterauftragsverarbeiter setzt der Hoster ein, und wo sitzen sie?
• Wo liegen die Backups, wie lange werden sie aufbewahrt, und werden sie nach Vertragsende gelöscht?
• Sitzt der Anbieter selbst in der EU, und gilt deutsches Recht?

So ist es bei turbopress geregelt

Unsere Server stehen im Rechenzentrum Telehouse in Frankfurt am Main, das nach ISO/IEC 27001:2022 zertifiziert ist. Betreiber ist die Dipalino UG (haftungsbeschränkt) aus Dresden, der Vertrag unterliegt deutschem Recht. Der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist Bestandteil unserer AGB, du musst ihn nicht gesondert anfordern. AVV und TOM kannst du im Kundenbereich unter deinem Benutzerprofil im Menüpunkt „AVV und TOM“ herunterladen. Alles Weitere zum Datenschutz steht auf der Seite WordPress-Hosting nach DSGVO.

Häufige Fragen

Brauche ich einen AVV auch für eine kleine private Website?

Für ausschließlich persönliche oder familiäre Tätigkeiten gilt die DSGVO nach Art. 2 Abs. 2 nicht. Sobald eine Website öffentlich erreichbar ist und etwa ein Blog mit Kommentaren, ein Verein oder ein Gewerbe dahintersteht, wird es schnell mehr als privat. Ein AVV mit dem Hoster kostet dich nichts und schadet nie.

Muss ich den AVV unterschreiben?

Nein, der Vertrag kann nach Art. 28 Abs. 9 DSGVO auch in einem elektronischen Format geschlossen werden. Bei vielen Hostern, auch bei turbopress, ist er Teil der AGB und gilt mit dem Vertragsschluss.

Reicht ein Server in Deutschland für eine DSGVO-konforme Website?

Nein. Der Serverstandort klärt nur, wo die Daten beim Hosting liegen. Was deine Website darüber hinaus tut, also Cookies, Tracking, eingebundene Dienste und Formulare, musst du selbst datenschutzkonform gestalten.