Warum ich als Solopreneur für jedes Tool einen AV Vertrag brauche

Ein Impressum ist Pflicht, das weiß mittlerweile jede Solopreneurin – ein AV-Vertrag dagegen gilt bei vielen als Kür, die man notfalls auch weglassen kann. Das ist falsch, und zwar ziemlich gründlich falsch: Artikel 28 DSGVO verlangt für jedes einzelne Tool, das in meinem Auftrag personenbezogene Daten verarbeitet, einen eigenen schriftlichen Vertrag – vom Newsletter-Tool bis zum Terminplaner. Diesen Denkfehler hatte ich selbst monatelang, und ich bin längst nicht die Einzige mit einer rechtssicheren Website, die genau hier stolpert.

Kurzer Zwischenstopp, bevor es weitergeht: Dieser Text enthält Affiliate-Links zu Tools, die ich für meine eigene DSGVO-Praxis geprüft oder genutzt habe. Kaufst du darüber, bekomme ich eine kleine Provision, ohne dass für dich etwas teurer wird. Und ja, ich bin Texterin und keine Juristin – was hier steht, ist mein Erfahrungswissen, keine Rechtsberatung für deinen Einzelfall.

Ein akzeptiertes AGB-Fenster ersetzt keinen AV-Vertrag

Der teuerste Denkfehler, den ich gemacht habe: Ich dachte, wer die AGB eines Software-Anbieters akzeptiert, hat automatisch auch die Auftragsverarbeitung mit abgehakt. Stimmt nicht. Ein Klick auf "Ich stimme zu" ist kein Vertrag über die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung – dafür braucht es ein eigenes Dokument, das beide Seiten regelt: was verarbeitet werden darf, wie lange, und was bei einem Datenleck passiert.

Woher ich das weiß? Weil mein eigenes Kontaktformular monatelang ohne Checkbox für den Datenschutzhinweis online stand, bevor mir das überhaupt auffiel. Niemand hat mich deswegen abgemahnt, aber sauber war das nicht, und genau daran sieht man, wie leicht ausgerechnet die harmlos wirkenden Stellen durchrutschen.

Für die tägliche DSGVO-Praxis heißt das: Bevor ich einem Tool vertraue, prüfe ich nicht nur die AGB, sondern gezielt, ob ein AV-Vertrag oder seine englische Variante, das Data Processing Agreement, überhaupt existiert.

Was verlangt Artikel 28 DSGVO eigentlich konkret von mir?

Artikel 28 DSGVO regelt in einem Satz Folgendes: Sobald ein externer Dienstleister in meinem Auftrag personenbezogene Daten verarbeitet – etwa ein Newsletter-Tool, ein Hosting-Anbieter oder eine Analyse-Software –, muss ein schriftlicher Auftragsverarbeitungsvertrag vorliegen, bevor überhaupt eine einzige Zeile Daten fließt. Nicht danach, nicht "irgendwann noch nachreichen", sondern vorher.

Meine Nachbarin Christel aus dem Treppenhaus, die in Leipzig-Gohlis Yogastunden gibt, fragt bei solchen Themen lieber dreimal nach, als einmal etwas falsch zu machen – und genau das hat sie getan, als sie ihr erstes Online-Buchungstool einrichtete. Ihre Frage: Braucht sie jetzt auch so einen Vertrag, nur weil Leute online einen Termin reservieren? Die Antwort war ja. Jedes Tool, das dabei Namen, E-Mail-Adressen oder Telefonnummern verarbeitet, fällt unter dieselbe Pflicht – unabhängig davon, ob man Texte schreibt, Yoga unterrichtet oder Illustrationen verkauft.

Für den technischen Rahmen meiner eigenen Seite hatte ich mir das Leben vorher schon leichter gemacht, weil ich meine Website von Anfang an mit easyRechtssicher aufgebaut hatte – das ersetzt zwar keinen AV-Vertrag mit jedem einzelnen Tool, sorgt aber wenigstens dafür, dass die Grundstruktur stimmt. In meinen zwei Jahren als Solopreneurin habe ich gelernt, dass genau diese Trennung – Grundgerüst der Seite gegenüber AV-Vertrag pro Tool – der Punkt ist, an dem die meisten den Überblick verlieren.

So finde ich heraus, ob ein Tool einen AV-Vertrag anbietet

Der erste Blick geht immer ins Untermenü "Rechtliches", "Privacy" oder "Billing" – dort verstecken die meisten Anbieter ihren Vertragstext, oft als PDF zum Herunterladen und digitalen Unterschreiben. Findet sich dort nichts, schreibe ich den Support direkt an und frage nach dem Auftragsverarbeitungsvertrag oder, bei US-Anbietern, nach dem Data Processing Agreement. Bekomme ich innerhalb weniger Tage keine klare Antwort, werte ich das als Warnsignal und suche nach einer Alternative.

Weil sich diese Suche für jedes einzelne Tool wiederholt, hatte ich irgendwann Lust, das systematischer anzugehen, statt jedes Mal von vorne zu recherchieren. Der DSGVO Schritt-für-Schritt Generator führt genau durch diese Fragen – welches Tool nutze ich, welche Daten verarbeitet es –, ohne dass man sich vorher durch juristisches Deutsch kämpfen muss. Als Einmalkauf ohne laufende Kosten war das für mich in der Startphase angenehmer als ein weiteres Abo, auch wenn sich das Tool bewusst aufs Datenschutz-Thema konzentriert und kein AGB- oder Impressum-Modul mitbringt.

Der AV-Vertrag als nur ein Baustein von vielen

Der AV-Vertrag klärt ausschließlich das Verhältnis zwischen mir und einem einzelnen Dienstleister – für alles andere braucht die Website eigene Bausteine. Die Impressumspflicht regelt, wer überhaupt hinter der Seite steckt, komplett unabhängig von jeder Auftragsverarbeitung. Die Datenschutzerklärung erklärt Besucherinnen, was mit ihren Daten passiert, während die Cookie-Einwilligung nur die Frage betrifft, ob vor dem Laden bestimmter Dienste aktiv nachgefragt werden muss. Die DSGVO-Grundlagen als Ganzes sind wieder ein eigenes, größeres Thema, genauso wie das lokale Einbinden von Google Fonts, das mit Schriftdateien und nicht mit Verträgen zu tun hat. Beim Newsletter kommt dazu noch das Double-Opt-in, eine Bestätigungslogik mit eigenen Regeln – als bei mir die erste Bestätigungsmail sauber im Postfach landete, ohne Fehlermeldung und ohne Rückfrage beim Support, wusste ich: Wenigstens dieser Baustein hält, was er verspricht. Und wer freiberuflich Verträge mit Kundinnen schließt, kommt an eigenen AGB ohnehin nicht vorbei. Selbst das Einbinden eines YouTube-Videos ist noch mal ein separates technisches Puzzle, wenn man es ohne Tracking lösen will.

Für die Pflichttexte selbst vertraue ich inzwischen lieber einem Generator als einer alten Vorlage, weil sich Gesetze ändern und ich keine Zeit habe, das laufend selbst zu kontrollieren. Wer dagegen von Anfang an eine breitere Lösung sucht, die neben Pflichttexten auch laufende Aktualisierungen mitliefert, findet bei easyRechtssicher ein Angebot, das seit acht Jahren am Markt ist und bei dem monatliche Updates greifen, sobald sich die Gesetzeslage ändert.

Wofür sich welches Tool eignet

Reicht es, den AV-Vertrag-Irrtum einmal aufzulösen und Anbieter für Anbieter selbst durchzugehen, genügt ein einmaliger, günstiger Einstieg wie der DSGVO Schritt-für-Schritt Generator, gerade wenn das Budget in der Gründungsphase knapp ist. Wächst die Website dagegen, kommen laufend neue Tools dazu oder soll sich die Pflege künftig eher nebenbei erledigen, ist eine Lösung mit regelmäßigen Updates wie easyRechtssicher der praktischere Weg – dafür zahlt man dann eben fortlaufend statt einmalig.

Der wichtigste Punkt bleibt einfach: Ein akzeptiertes AGB-Fenster ist kein AV-Vertrag, egal wie überzeugend der Zustimmen-Button aussieht. Sobald ein Tool personenbezogene Daten in meinem Auftrag verarbeitet, gehört ein schriftlicher Vertrag dazu, unterschrieben oder digital bestätigt, bevor die erste Zeile Daten fließt. Wer noch ganz am Anfang steht und nicht weiß, wo er anfangen soll, dem hat der DSGVO Schritt-für-Schritt Generator geholfen, aus fünfzehn offenen Baustellen eine klare Liste mit Häkchen zu machen.