# Auftragsverarbeitung, wenn Dienstleister auf Server zugreifen

> Fernwartung, Patchen, Forensik: Was ein AVV nach Art. 28 DSGVO regelt, wenn IT-Dienstleister auf Server zugreifen, und was Sie vor dem Notfall klären.

Quelle: https://phpsos.de/blog/auftragsverarbeitung-serverzugriff/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Greift ein IT-Dienstleister auf Server zu, auf denen personenbezogene Daten liegen, ist in der Regel ein Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO nötig. Er legt fest, dass der Dienstleister nur nach Weisung handelt, Vertraulichkeit wahrt, angemessene Sicherheitsmaßnahmen trifft, weitere Partner nur mit Genehmigung einbindet und Datenpannen unverzüglich meldet. Schließen Sie den AVV ab, bevor der Notfall eintritt. Diese Seite ist allgemeine Information und keine Rechtsberatung.

## Wenn es schnell gehen muss, fehlt oft der Vertrag

In der Woche nach PHP2Shell haben viele Unternehmen kurzfristig externe Hilfe geholt. Ein Admin sollte PHP aktualisieren, eine Agentur die Prozesse neu starten, ein Forensik-Team Logs prüfen. Dafür bekamen Externe Zugang zu Servern, auf denen Kundenkonten, Bestellungen und Formulardaten liegen. Die Frage, auf welcher datenschutzrechtlichen Grundlage das geschah, stellte sich oft erst danach.

Das ist verständlich, denn im Notfall zählt Tempo. Es ist aber vermeidbar. Mit einigen Vorbereitungen lässt sich beides verbinden: schnelle Hilfe und saubere Grundlage.

## Wann ein AVV mit dem IT-Dienstleister nötig ist

Auftragsverarbeitung liegt vor, wenn ein Dienstleister personenbezogene Daten im Auftrag und nach Weisung eines Verantwortlichen verarbeitet. Bei Webservern genügt dafür häufig schon die Möglichkeit des Zugriffs: Wer mit Root-Rechten auf einem Server arbeitet, kann die Datenbank mit Kundendaten lesen, auch wenn er es nicht vorhat.

Typische Situationen mit Serverzugriff sind:

- laufende Wartung und Updates durch Agentur oder Systemhaus,
- Betrieb des Servers durch einen Hoster mit Managed-Leistungen,
- Notfallhilfe, Bereinigung und Wiederherstellung nach einem Angriff,
- forensische Untersuchung mit Kopien von Datenträgern und Logs,
- Monitoring, bei dem Logdaten an den Dienstleister fließen.

Auch kurze Einsätze zählen. Eine Fernsitzung mit Bildschirmfreigabe, bei der ein Techniker nur „kurz drüberschaut“, kann ihm Kundendaten zeigen. Ein Datenbankexport, der zur Fehlersuche per Mail verschickt wird, ist eine Weitergabe. Gerade solche Gelegenheiten laufen oft ohne Grundlage, weil sie nicht als Projekt wahrgenommen werden.

Ob im konkreten Fall eine Auftragsverarbeitung vorliegt oder eine andere Konstellation, bewertet Ihr Datenschutzbeauftragter. Wichtig ist, die Frage überhaupt zu stellen, bevor Zugänge vergeben werden.

## Was Art. 28 DSGVO im Vertrag verlangt

Art. 28 Abs. 3 DSGVO nennt Pflichtinhalte. Neben Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen muss sich der Auftragsverarbeiter unter anderem zu folgenden Punkten verpflichten. Die rechte Spalte zeigt, was das bei Serverzugriffen praktisch heißt.

| Pflicht nach Art. 28 Abs. 3 | Praktische Bedeutung beim Serverzugriff |
|---|---|
| a) Verarbeitung nur auf dokumentierte Weisung | Auftrag schriftlich, etwa per Ticket: was genau getan werden soll |
| b) Vertraulichkeit der eingesetzten Personen | nur verpflichtete, namentlich bekannte Personen erhalten Zugang |
| c) Maßnahmen nach Art. 32 | persönliche Konten, Zwei-Faktor-Anmeldung, verschlüsselte Verbindungen |
| d) Bedingungen für weitere Auftragsverarbeiter | Forensik- oder Hosting-Partner nur mit Genehmigung |
| e) Unterstützung bei Betroffenenrechten | Mithilfe, wenn Auskunft oder Löschung den Server betrifft |
| f) Unterstützung bei Art. 32 bis 36 | Mitwirkung an Sicherheit, Meldung und Folgenabschätzung |
| g) Löschung oder Rückgabe nach Abschluss | Kopien, Abbilder und Exporte werden gelöscht oder zurückgegeben |
| h) Nachweise und Überprüfungen | Protokolle der Zugriffe, Auskunft über Maßnahmen |

Zusätzlich verlangt Art. 33 Abs. 2 DSGVO, dass der Auftragsverarbeiter eine Datenpanne, von der er erfährt, unverzüglich an den Verantwortlichen meldet. Bei einem Dienstleister, der gerade einen kompromittierten Server untersucht, ist das keine Formalie: Er ist oft der Erste, der Hinweise auf einen Datenabfluss sieht. Die Frist und den weiteren Ablauf der Meldung an die Aufsichtsbehörde erklärt [DSGVO-Meldepflicht: 72 Stunden nach dem Vorfall](https://phpsos.de/compliance/dsgvo-meldepflicht-72-stunden/).

## Zugriffe datenschutzgerecht organisieren

Ein unterschriebener AVV ist die Grundlage. Ob die Zusagen eingehalten werden, entscheidet sich in der täglichen Praxis. Diese Schritte haben sich bewährt:

1. **Eigene, persönliche Zugänge** für jede Person des Dienstleisters, nie geteilte Admin-Konten. Wie Sie diese absichern, steht unter [Zwei-Faktor-Anmeldung für Admin-Zugänge](https://phpsos.de/ratgeber/zwei-faktor-admin/).
2. **Zeitlich begrenzen:** Zugänge für einen Einsatz nach Abschluss deaktivieren, Daueraccounts regelmäßig überprüfen.
3. **Protokollieren:** Anmeldungen und Befehle der Dienstleisterkonten aufzeichnen, damit nachvollziehbar bleibt, wer was getan hat.
4. **Datensparsam arbeiten:** Für Analysen nur die nötigen Daten kopieren, Kopien verschlüsselt ablegen, Speicherort und Löschdatum festhalten.
5. **Abschluss dokumentieren:** Zugänge entzogen, Kopien gelöscht oder übergeben, Bestätigung schriftlich.

> **Wichtig:**
> Eine forensische Untersuchung erzeugt oft vollständige Abbilder von Servern, einschließlich aller Kundendaten. Regeln Sie im Voraus, wo solche Abbilder liegen, wer darauf zugreift und wann sie gelöscht werden, ohne die Beweissicherung zu gefährden.

## AVV vor dem Notfall abschließen

Der beste Zeitpunkt für den AVV ist ein ruhiger Tag. Benennen Sie die Dienstleister, die im Notfall tätig werden sollen, also Hoster, Agentur und gegebenenfalls ein Team für Vorfallsbearbeitung und Forensik, und schließen Sie mit ihnen die Verträge vorab. Halten Sie dabei auch fest, welche weiteren Partner der Dienstleister einsetzen darf.

Legen Sie die unterschriebenen Verträge dort ab, wo der Notfallplan liegt, und vermerken Sie in der Kontaktliste, mit wem ein AVV besteht. Die übrigen Sicherheitspflichten, etwa Updatefristen und Nachweise, gehören in den Leistungsvertrag; dazu mehr unter [IT-Dienstleister-Verträge: Sicherheitspflichten klar regeln](https://phpsos.de/blog/dienstleistervertrag-sicherheit/). Für alle rechtlichen Fragen sind Ihr Datenschutzbeauftragter und ein Anwalt die richtigen Ansprechpartner.

## Wie hilft PHP SOS konkret?

- Wir klären vor dem ersten Zugriff, welche Daten auf den betroffenen Systemen liegen, und stimmen den Rahmen mit Ihrem Datenschutzbeauftragten ab.
- Wir arbeiten mit persönlichen, protokollierten Zugängen und dokumentieren jeden Eingriff nachvollziehbar.
- Wir benennen die spezialisierten Partner, die wir etwa für [IT-Forensik](https://phpsos.de/leistungen/it-forensik/) einbinden würden, damit Sie vorab entscheiden können.
- Nach Abschluss einer [Incident Response](https://phpsos.de/leistungen/incident-response/) bestätigen wir Entzug der Zugänge und Löschung oder Übergabe aller Kopien schriftlich.

**Fazit:** Datenschutz und schnelle Hilfe schließen sich nicht aus, wenn die Grundlage vorher steht. Ein AVV mit den Dienstleistern für den Ernstfall gehört in jede Notfallvorsorge. Diese Seite ist allgemeine Information und keine Rechtsberatung.


## Häufige Fragen

**Ist jede Fernwartung eine Auftragsverarbeitung?**  
Nicht automatisch. Entscheidend ist, ob der Dienstleister personenbezogene Daten im Auftrag verarbeitet oder darauf zugreifen kann. Bei Webservern mit Kundenkonten, Bestellungen oder Formularen ist das meist der Fall. Die Einordnung im Einzelfall nimmt Ihr Datenschutzbeauftragter vor.

**Kann ich einen AVV noch während eines Vorfalls abschließen?**  
Möglich ist es, aber unter Zeitdruck fehlt oft die Ruhe für eine Prüfung. Besser ist es, mit Dienstleistern, die im Notfall tätig werden sollen, den AVV vorab abzuschließen. Dann kann die Arbeit sofort beginnen.

**Muss mich der Dienstleister informieren, wenn er eine Datenpanne bemerkt?**  
Ja. Nach Art. 33 Abs. 2 DSGVO meldet der Auftragsverarbeiter dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt wurde. Die Meldung an die Aufsichtsbehörde bleibt Sache des Verantwortlichen.

**Darf der Dienstleister weitere Partner hinzuziehen, etwa für Forensik?**  
Nach Art. 28 Abs. 2 DSGVO nur mit vorheriger schriftlicher Genehmigung des Verantwortlichen, die einzeln oder allgemein erteilt werden kann. Bei einer allgemeinen Genehmigung muss der Dienstleister über Änderungen informieren, damit Sie widersprechen können.

## Quellen

- [DSGVO Art. 28: Auftragsverarbeiter](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [DSGVO Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)