AVV - was ist das und warum brauchen wir sie?
Die AVV (Auftragsverarbeitervereinbarung) hält schriftlich fest, welche personenbezogenen Daten wir in Ihrem Auftrag verarbeiten, zu welchem Zweck, mit welchen Schutzmaßnahmen und über welche weiteren Dienstleister (Sub-Auftragsverarbeiter) das geschieht.
Warum überhaupt eine AVV?
Seit die DSGVO 2018 in Kraft getreten ist, gilt: Sobald ein Dienstleister personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet, muss dieses Verhältnis nach Art. 28 DSGVO vertraglich geregelt werden.
In diesem Verhältnis gibt es zwei Rollen:
- Der Verantwortliche (das sind Sie als unsere Kundin oder unser Kunde) entscheidet, welche Daten zu welchem Zweck verarbeitet werden.
- Der Auftragsverarbeiter (das sind wir, webgras) verarbeitet diese Daten ausschließlich nach Ihren Weisungen – zum Beispiel, wenn wir Ihre Website warten, Backups erstellen oder ein Kontaktformular einrichten.
Die AVV ist also kein bürokratischer Selbstzweck, sondern Ihre Absicherung: Sie dokumentiert, dass Ihre Daten bei uns nach klaren Regeln behandelt werden.
Was in unserer AVV geregelt ist
Unsere AVV besteht aus einem Hauptteil (§§ 1–7) und drei Anlagen. Der Hauptteil regelt unter anderem:
Den Gegenstand und Zweck der Verarbeitung – also welche Aufgaben wir übernehmen (Wartung, Updates, Backups, Formulare, Shop, Hosting usw.) und welche Datenkategorien dabei anfallen. Die Pflichten von webgras als Auftragsverarbeiter, etwa Vertraulichkeit, technische Sicherheitsmaßnahmen und Unterstützung bei Betroffenenrechten. Den Ort der Verarbeitung, der grundsätzlich in Österreich bzw. der EU/dem EWR liegt. Den Umgang mit Sub-Auftragsverarbeitern – also weiteren Dienstleistern wie Hosting-Anbietern, die wir zur Leistungserbringung heranziehen.
Dazu kommen drei Anlagen, die den Vertrag ergänzen: die technischen und organisatorischen Maßnahmen (Anlage 1), die Liste der Sub-Auftragsverarbeiter (Anlage 2) und die eingesetzten KI-Systeme (Anlage 3).
Was sich 2026 geändert hat
Wir haben die AVV aus zwei Gründen überarbeitet:
Neue Tools und Sub-Auftragsverarbeiter. Unser Werkzeugkasten entwickelt sich weiter. Damit die AVV den tatsächlichen Stand abbildet, haben wir die Liste der eingesetzten Dienstleister aktualisiert.
Anpassung an den EU AI Act. Der EU AI Act ist die europäische Verordnung zur Regulierung Künstlicher Intelligenz. Da auch wir bei unserer Arbeit KI-gestützte Werkzeuge einsetzen, haben wir einen eigenen Paragrafen (§ 6) aufgenommen. Dieser regelt unter anderem, dass wir keine personenbezogenen Daten ungefragt in öffentliche KI-Systeme eingeben, dass KI-Ergebnisse immer von einem Menschen geprüft werden (Human in the Loop) und dass die Transparenzpflichten des EU AI Act eingehalten werden.
Der modulare Aufbau mit separaten Anlagen ist bewusst gewählt: Wenn sich künftig etwa ein Dienstleister ändert, können wir die betroffene Anlage aktualisieren, ohne dass der gesamte Vertrag neu unterschrieben werden muss.
Und jetzt?
Wenn Sie eine E-Mail von uns mit der Bitte um Unterschrift erhalten haben, finden Sie dort alle nötigen Schritte. Die AVV selbst können Sie dann per Link ansehen und direkt online unterschreiben.
Häufig gestellte Fragen zu "AVV"
Für welche Daten brauche ich eine AVV?
Eine AVV wird immer dann relevant, wenn wir personenbezogene Daten in Ihrem Auftrag verarbeiten. In der Praxis ist das meist der Fall, sobald Ihre Website eine der folgenden Funktionen enthält:
- Kontaktformular
- Tracking- und Analyse-Tools wie Google Analytics
- Newsletter-Anmeldung
- Login- oder Mitgliederbereich
Sobald eine dieser Funktionen im Einsatz ist, verarbeiten wir bei Betrieb und Wartung Ihrer Website personenbezogene Daten – und dafür braucht es eine AVV.
Ich speichere keine Kund:innen-Daten auf meiner Website. Brauche ich trotzdem eine AVV?
Häufig ja. Auch wenn auf Ihrer Website selbst keine personenbezogenen Daten anfallen, haben wir in der Zusammenarbeit oft Zugriff auf Ihren Server oder auf die Zugangsdaten Ihres Providers. Sobald wir technisch auf solche Daten zugreifen könnten, liegt eine Auftragsverarbeitung vor – und dann ist eine AVV erforderlich.
Wenn Sie unsicher sind, ob das auf Sie zutrifft: Melden Sie sich einfach kurz, wir klären das gemeinsam.
Muss ich die AVV jedes Jahr neu unterschreiben?
Nein. Die AVV wird auf unbestimmte Zeit geschlossen und gilt fortlaufend – ein jährliches Neu-Unterschreiben ist nicht nötig. Beide Seiten können sie mit einer Frist von einem Monat zum Monatsletzten kündigen.
Ändern sich einzelne Anlagen – etwa weil ein neuer Sub-Auftragsverarbeiter dazukommt –, informieren wir Sie darüber schriftlich. Dank des modularen Aufbaus muss dafür aber nicht der gesamte Vertrag neu unterzeichnet werden. Nur bei grundlegenden Änderungen des Hauptteils kommen wir wieder auf Sie zu.
Was passiert mit meinen Daten, wenn die Zusammenarbeit endet?
Nach Ende der Vereinbarung übergeben wir Ihnen alle verarbeiteten Daten und Unterlagen – oder vernichten sie auf Ihren Wunsch. Sie entscheiden, welcher Weg für Sie passt.
Bei der Übergabe erhalten Sie die Daten wahlweise in dem Format, in dem wir sie von Ihnen erhalten haben, oder in einem anderen gängigen Format.
