Auftragsverarbeitungsvertrag fürs Gästebuch

Ein Auftragsverarbeitungsvertrag fürs Gästebuch klingt zunächst nach einem Behörden-Wortungetüm, ist aber im Kern eine klare Sache: Sobald ein anderes Unternehmen für Sie personenbezogene Daten verarbeitet, verlangt die Datenschutz-Grundverordnung (DSGVO) einen schriftlichen Vertrag darüber. Bei einem Gästebuch betrifft das vor allem die Daten, die Besucher beim Eintragen hinterlassen: Name, E-Mail-Adresse, IP-Adresse und der Kommentartext selbst.

Die gute Nachricht für Einsteiger: Sie müssen diesen Vertrag in den allermeisten Fällen nicht selbst aufsetzen. Ihr Hosting-Anbieter stellt ihn fertig bereit. Wichtig ist nur, dass Sie wissen, wann Sie ihn brauchen, wo Sie ihn bekommen und was er regelt.

Was ist ein Auftragsverarbeitungsvertrag fürs Gästebuch überhaupt?

Die DSGVO unterscheidet zwischen zwei Rollen. Sie als Betreiber der Webseite sind der "Verantwortliche": Sie entscheiden, dass es ein Gästebuch gibt und welche Daten dort erhoben werden. Der Hoster, auf dessen Servern das Gästebuch-Script läuft, ist der "Auftragsverarbeiter": Er speichert die Daten technisch, trifft aber keine eigenen Entscheidungen darüber.

Damit diese Arbeitsteilung rechtlich sauber ist, schreibt Artikel 28 der DSGVO einen Vertrag vor. Er wird meist mit der Abkürzung AVV bezeichnet (englisch: Data Processing Agreement, DPA). Der Vertrag legt fest, dass der Hoster die Daten nur in Ihrem Auftrag und nach Ihren Weisungen verarbeitet und sie nicht für eigene Zwecke nutzt. Ohne diesen Vertrag wäre die Speicherung der Gästebuch-Einträge auf einem fremden Server formal ein Datenschutzverstoß, selbst wenn technisch alles korrekt läuft.

Wann brauchen Sie einen AVV und wann nicht?

Nicht jede Zusammenarbeit löst die AVV-Pflicht aus. Entscheidend ist, ob der Dienstleister tatsächlich personenbezogene Daten Ihrer Besucher verarbeitet. Die folgende Tabelle zeigt typische Konstellationen rund um ein Gästebuch.

In der Praxis betreiben fast alle privaten und kleinen gewerblichen Webseiten ihr Gästebuch bei einem Webhoster. Damit gilt für die große Mehrheit: Ja, ein AVV mit dem Hoster ist erforderlich. Liegen Ihre Daten zusätzlich bei spezialisierten Diensten, brauchen Sie mit jedem dieser Dienste einen eigenen Vertrag.

So sieht ein Auftragsverarbeitungsvertrag inhaltlich aus

Ein AVV ist kein Freitext, sondern folgt einem festen Aufbau, weil die DSGVO bestimmte Punkte ausdrücklich verlangt. Sie müssen den Inhalt nicht auswendig kennen, sollten aber wiedererkennen, ob ein vorgelegter Vertrag vollständig ist. Diese Bestandteile gehören hinein:

• Gegenstand und Dauer: Was wird verarbeitet (z. B. Hosting des Gästebuchs) und wie lange.
• Art und Zweck der Verarbeitung: Etwa das Speichern und Anzeigen von Einträgen.
• Kategorien betroffener Personen: In diesem Fall die Webseiten-Besucher.
• Datenarten: Name, E-Mail-Adresse, IP-Adresse, Kommentartext.
• Technische und organisatorische Maßnahmen (TOM): Wie der Hoster die Daten schützt, etwa durch Verschlüsselung und Zugriffsbeschränkungen.
• Unterauftragsverarbeiter: Ob und welche weiteren Dienstleister der Hoster einsetzt.
• Pflichten bei Datenpannen: Wer Sie wie schnell informiert.

Seriöse Hoster halten genau diese Punkte vorbereitet. Oft finden Sie den AVV im Kundenkonto unter einem Menüpunkt wie "Datenschutz" oder "Auftragsverarbeitung" zum Herunterladen oder zur elektronischen Bestätigung. Ein Klick genügt dann häufig, und der Vertrag ist geschlossen.

Praktische Schritte für Ihr Gästebuch

Damit Sie das Thema strukturiert abhaken können, hilft eine kurze Reihenfolge. So gehen Sie sicher vor, ohne sich in Paragraphen zu verlieren.

1. Prüfen Sie, wo das Gästebuch-Script gehostet wird, also bei welchem Anbieter die Daten liegen.
2. Suchen Sie im Kundenkonto oder auf der Anbieter-Seite nach dem AVV und schließen Sie ihn ab.
3. Speichern Sie den unterzeichneten oder bestätigten Vertrag zusammen mit Ihren Datenschutz-Unterlagen.
4. Listen Sie das Gästebuch in Ihrem Verzeichnis der Verarbeitungstätigkeiten auf, falls Sie ein solches führen müssen.
5. Wiederholen Sie die Prüfung, sobald Sie weitere Dienste anbinden, etwa einen Newsletter-Versand.

Das Gästebuch-Script selbst gibt Ihnen dabei einen Vorteil: Weil es als eigenes Script auf Ihrem Webspace läuft, behalten Sie die Kontrolle über die gespeicherten Daten und haben es nicht mit zahlreichen fremden Drittanbietern zu tun. Denken Sie aber an den Mailversand. Das Script verschickt bei jedem Eintrag Name und E-Mail-Adresse per Mail. Tragen Sie unter „Mail-Einstellungen“ einen externen SMTP-Dienst ein, bekommt auch dieser die Daten. IP-Adressen speichert das Script gar nicht. Die E-Mail-Adresse ist dagegen ein Pflichtfeld und erscheint als Link hinter dem Namen. Das gehört in Ihre Datenschutzerklärung. Der Auftragsverarbeitungsvertrag bleibt trotzdem nötig, ist aber mit den genannten Schritten schnell erledigt.

Verwandte Themen

Diese Beiträge führen das Thema weiter und helfen Ihnen beim nächsten Schritt:

• Verantwortlicher für das Gästebuch nach DSGVO
• DSGVO-konformes Gästebuch einrichten
• Datenschutzerklärung fürs Gästebuch erstellen
• Gästebuch selbst hosten oder Anbieter nutzen
• Welche Daten darf ein Gästebuch erheben
• Speicherdauer von Gästebucheinträgen

Dieser Beitrag wurde von der Redaktion von gaestebuch-script.de erstellt und zuletzt im Juni 2026 fachlich überprüft.