Inhaltsübersicht 5 Kapitel
Datenzugriffe statt Paketnamen betrachten
Entscheidend ist nicht, ob das Angebot „Wartung“, „Hosting“ oder „Support“ heißt. Erfassen Sie, auf welche personenbezogenen Daten der Anbieter zugreifen kann, zu welchem Zweck und ob die Verarbeitung auf dokumentierte Weisung des verantwortlichen Unternehmens erfolgt.
Auch ein selten genutzter Administrationszugang kann relevant sein. Gleichzeitig führt nicht jeder theoretische Kontakt automatisch zur gleichen datenschutzrechtlichen Rolle. Die konkrete Einordnung sollte mit Datenschutzfachleuten oder Rechtsberatung geprüft werden.
- Formulare und E-Mail-Zustellung
- Shopbestellungen und Kundenkonten
- Nutzerverwaltung und Mitgliederbereiche
- Server-, Sicherheits- und Fehlerprotokolle
- Backups produktiver Datenbestände
Vertrag nach Art. 28 DSGVO separat vollständig regeln
Liegt Auftragsverarbeitung vor, verlangt Art. 28 DSGVO einen Vertrag oder ein anderes Rechtsinstrument mit bestimmten Inhalten. Dazu gehören unter anderem Gegenstand und Dauer, Art und Zweck, Datenarten, betroffene Personen sowie Rechte und Pflichten des Verantwortlichen.
Die Website-Wartungsvorlage dient als Schnittstelle: Sie verweist auf den gesonderten AV-Vertrag und hält fest, welche technische Leistung betroffen ist. Sie ersetzt die vollständigen Pflichtinhalte nicht. Als Ausgangspunkt können auch die von der EU-Kommission veröffentlichten Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter geprüft werden.
Technische und organisatorische Maßnahmen konkret zuordnen
Zugriffsschutz, Mehrfaktor-Authentifizierung, Verschlüsselung, Protokollierung, Wiederherstellung und regelmäßige Wirksamkeitsprüfung werden risikobezogen beschrieben. Eine allgemeine TOM-Liste ohne Bezug zur betreuten Umgebung hilft bei einer tatsächlichen Störung wenig.
Trennen Sie Maßnahmen des Hostinganbieters, des Wartungsdienstleisters und des Auftraggebers. Beispielsweise kann der Hoster Speicherverschlüsselung bereitstellen, während der Wartungsdienstleister Administrationsrechte und sichere Übertragung kontrolliert.
Unterauftragnehmer und internationale Datenwege erfassen
Hosting, Monitoring, Ticketsysteme, Passwortmanager oder Remote-Support können weitere Anbieter einbeziehen. Der AV-Vertrag regelt Genehmigung und Information über Unterauftragsverarbeiter; die Systemübersicht hält den tatsächlichen Einsatz aktuell.
Bei Anbietern außerhalb des Europäischen Wirtschaftsraums sind zusätzliche Übermittlungsfragen zu prüfen. Der bloße Sitz einer Marke sagt nicht immer, wo Support, Logs oder Sicherungen verarbeitet werden.
Vorfälle, Betroffenenrechte und Vertragsende vorbereiten
Der Wartungsanbieter benötigt einen klaren Meldeweg, sobald er eine Verletzung des Schutzes personenbezogener Daten erkennt. Inhalt, Ansprechpartner und Dringlichkeit der Meldung werden mit dem Incident-Prozess abgestimmt, damit das verantwortliche Unternehmen seine Pflichten bewerten kann.
Unterstützung bei Auskunft, Löschung oder Datenexport wird in Umfang und Abrechnung geklärt. Bei Vertragsende folgen Rückgabe und Löschung den dokumentierten Weisungen, vereinbarten Sicherungszyklen und rechtlichen Aufbewahrungspflichten.
Kurz beantwortet
Häufige Fragen
Braucht jede Website-Wartung einen AV-Vertrag?
Nicht allein wegen der Bezeichnung. Entscheidend sind tatsächliche Datenverarbeitung, Rollen und Zugriffe; die Einordnung sollte für den Einzelfall geprüft werden.
Reicht eine Datenschutzklausel im Wartungsvertrag?
Wenn Art. 28 DSGVO anwendbar ist, müssen dessen Pflichtinhalte vollständig geregelt sein. Ein kurzer allgemeiner Satz reicht dafür regelmäßig nicht.
Sind Backups ebenfalls relevant?
Ja, wenn sie personenbezogene Daten enthalten. Zugriff, Schutz, Aufbewahrung, Wiederherstellung und Löschung müssen mit der Vereinbarung zusammenpassen.
