Niemand gründet eine Firma, um AVVs zu unterschreiben. Aber wer in der EU Website-Daten anfasst, hält mit vier kleinen Dokumenten das Ganze aufrecht. Hier sind sie, ohne Nebel.
Die vier Dokumente
| Dokument | Was es ist | Wann du es brauchst |
|---|---|---|
| Auftragsverarbeitungsvertrag (AVV / DPA) | Vertrag mit dem Anbieter, der in deinem Auftrag Personendaten verarbeitet | Sobald du irgendeinen Tracking- oder Analytics-Anbieter nutzt |
| Verarbeitungsverzeichnis (Art. 30) | Interne Liste, was du warum verarbeitest | Bei Mitarbeitenden oder systematischer Verarbeitung — praktisch fast immer |
| Meldeplan für Datenpannen | Kurzes internes Dokument: wer macht was, wenn etwas leakt | Vor dem Ernstfall, nicht danach |
| Rechnung + Aufbewahrungsregeln | Standard-Rechnungslegung + wie lange du Besucherdaten hältst | Laufend |
1. Der AVV in einem Absatz
Ein AVV ist ein Vertrag, der sagt: "du verarbeitest die Daten nur für die vereinbarten Zwecke, verkaufst sie nicht, löschst sie auf Anfrage, meldest dich, wenn etwas schiefgeht." Seriöse Anbieter stellen ihn in zwei Klicks bereit. Wer es kompliziert macht, sagt damit etwas aus.
Bewahre die unterschriebene Kopie so auf, dass dein Team sie im Notfall findet. Wenn die Einkaufsabteilung eines Kunden fragt, willst du einen Link parat haben, keine Schnitzeljagd.
2. Verarbeitungsverzeichnis (Art. 30)
Eine einseitige Liste dessen, was dein Unternehmen mit Personendaten macht: Newsletter, Sales-CRM, Website-Analytics, Lohnbuchhaltung. Zu jedem: Zweck, Datenkategorien, Empfänger, Aufbewahrungsdauer. Langweilig, aber das nützlichste Dokument, wenn eine Behörde fragt.
3. Meldeplan — vor dem Ernstfall schreiben
Bei einem Datenleck gilt in der EU als Faustregel: 72 Stunden zur Meldung. Du willst den Prozess nicht in Stunde 71 erfinden. Ein einseitiger "wer ruft wen"-Zettel reicht für kleine Teams.
- Wer entdeckt → wer bestätigt → wer meldet (Name + Telefon)
- Wo die AVV-Kopie liegt
- Kurze Meldevorlage — vorab ausgefüllt
Keine Rechtsberatung
Regeln und Schwellen unterscheiden sich je Land und Situation. Startpunkt, kein Ersatz für ein Gespräch mit deinem DSB oder Anwalt.
4. Rechnung und Aufbewahrung — langweilig, aber wichtig
Rechnung ist Standard: USt-ID, Abo einzeln ausgewiesen, Währung. Aufbewahrung ist die Schwachstelle: Teams richten Tracking ein und legen nie fest, wie lange Besucherdaten leben. Zahl wählen (12 Monate ist ein häufiger Default), aufschreiben, Team informieren.
In einem Satz
AVV unterschreiben, Art.-30-Liste führen, einseitigen Meldeplan schreiben, Aufbewahrungsdauer festlegen. 90 % der Compliance-Nervosität sind weg.
- Verwandt: [Ist Besucher-Identifikation DSGVO-konform?](/blog/is-website-visitor-identification-gdpr-compliant)
- Verwandt: [Die Compliance-Fragen deines CFO — beantwortet](/blog/compliance-questions-your-cfo-will-ask-and-the-answers)
- Verwandt: [Was in deiner Datenschutzerklärung stehen muss](/blog/privacy-policy-paragraph-when-you-identify-companies)
Veröffentlicht von
lead.box Team
Weitere Artikel
Seh dir lead.box auf deinem eigenen Traffic an
Kostenlos starten — ohne Karte, ohne Sales-Call. Oder buch dir eine 20-minütige Führung, wenn du es geführt haben willst.