DSGVO: Berliner Datenschutzbehörde prüft Verträge mit Webhostern

Webseitenbetreiber müssen mit ihrem Webhoster meist einen Auftragsverarbeitungsvertrag schließen. Ist dieser fehlerhaft, kann es teuer werden.

Artikel veröffentlicht am 19. Juli 2022, 17:05 Uhr, Moritz Tremmel

Die DSGVO schreibt einen AV-Vertrag vor, wenn ein Webhoster mit der Verarbeitung personenbezogener Daten beauftragt wird. (Bild: Gerd Altmann/Pixabay)

Die meisten Unternehmen oder Organisationen betreiben ihre Internetseite oder ihren Onlineshop über einen Webhoster. Anfallende personenbezogene Daten verarbeitet entsprechend der externe Dienstleister, mit dem ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen werden muss. Nun hat die Berliner Datenschutzbehörde eine Prüfungsverfahren eingeleitet, da die AVV häufig nicht der Datenschutzgrundverordnung (DSGVO) entsprächen.

Ziel sei es, Webhoster und Verantwortliche beim Abschluss von rechtskonformen AVV zu unterstützen, erklärt die Behörde in einer Pressemitteilung (PDF). Dazu prüfe die Behörde die Musterverträge von ausgewählten großen Webhostern aus Berlin auf Basis einer Checkliste (PDF), die auch den Webhostern zur Verfügung gestellt werde.

"Mit unserer heute beginnenden Prüfung von AV-Verträgen reagieren wir auf viele Anfragen von Berliner Unternehmen und anderen Organisationen. Immer wieder berichten sie uns von mangelhaften Standardverträgen, die die Webhoster nicht gewillt sind zu ändern", erklärte Volker Brozio, kommissarischer Dienststellenleiter der Berliner Datenschutzbehörde. Erstmals gebe es mit der Checkliste einen Standard für die AVV-Prüfung, der auch in anderen Bereichen angewendet werden könne.

IT-Dienstleister sollen auch selbst prüfen

"Wir ermuntern alle IT-Dienstleister, ihre Standardverträge selbstständig zu prüfen und an das Gesetz anzupassen", betonte Brozio. Schließlich könnten hohe Bußgelder nicht nur gegen Verantwortliche verhängt werden, die IT-Dienstleister ohne ordnungsgemäßen AV-Vertrag einsetzen, sondern auch gegen die IT-Dienstleister selbst.

Häufig fehlen demnach ausreichende Nachweise des Webhosters darüber, dass dieser die im AVV vereinbarten Datenschutzmaßnahmen auch umsetzt. Das kann auch zum Problem für die Seitenbetreiber werden, die als Verantwortliche den Datenschutzbehörden sowie den betroffenen Personen letztlich nachweisen können müssen, dass die Datenschutzvorgaben eingehalten werden.

An der Prüfung der AV-Verträge beteiligen sich neben der Berliner Behörde auch die Datenschutzaufsichtsbehörden aus Niedersachsen, Rheinland-Pfalz, Sachsen, Sachsen-Anhalt und Bayern.