Wenn du ein Webinar-Tool nutzt, gibst du ihm die Daten deiner Gäste in die Hand: Namen, E-Mail-Adressen, Chatnachrichten, Teilnahmezeiten. Damit das nach der DSGVO in Ordnung ist, brauchst du mit dem Anbieter einen Vertrag zur Auftragsverarbeitung, kurz AVV. Dieser Artikel erklärt, wann ein AVV für ein Webinar-Tool nötig ist, was drinstehen muss und wie du ihn in einer halben Stunde sinnvoll prüfst, statt ihn nur abzuhaken.
Wann ein Webinar-Tool Auftragsverarbeiter ist
Die DSGVO unterscheidet zwischen dem Verantwortlichen, der über Zweck und Mittel einer Verarbeitung entscheidet, und dem Auftragsverarbeiter, der Daten in dessen Auftrag und nach dessen Weisungen verarbeitet. Bei deinem Webinar bist du der Verantwortliche. Du entscheidest, wen du einlädst, welche Daten du abfragst und was du mit ihnen machst.
Ein Webinar-Tool ist typischerweise dein Auftragsverarbeiter. Es speichert die Anmeldungen, verschickt Bestätigungen, spielt das Webinar ab und zeigt dir die Auswertung, aber es tut das für dich und nicht für eigene Zwecke. Dasselbe gilt meist für weitere Dienstleister rund ums Webinar:
- den Hoster deiner Anmeldeseite, falls sie nicht im Tool selbst liegt,
- den E-Mail-Versanddienst, falls du einen eigenen nutzt,
- einen KI-Dienst, den du direkt beauftragst, etwa für Antworten im Chat.
Nicht jeder Dienstleister ist automatisch Auftragsverarbeiter. Zahlungsdienste etwa handeln oft als eigene Verantwortliche, weil sie gesetzliche Pflichten zur Prüfung von Zahlungen haben. Und nutzt ein Anbieter die Daten deiner Gäste auch für eigene Zwecke, ist er insoweit kein reiner Auftragsverarbeiter mehr. Dann reicht ein AVV allein nicht.
Ob der Dienst kostenlos oder bezahlt ist, spielt keine Rolle. Sobald personenbezogene Daten in deinem Auftrag verarbeitet werden, verlangt Art. 28 DSGVO einen Vertrag.
Was in einem AVV stehen muss
Art. 28 Abs. 3 DSGVO legt fest, was ein AVV mindestens regeln muss. Zuerst die Eckdaten der Verarbeitung:
- Gegenstand und Dauer,
- Art und Zweck,
- Art der personenbezogenen Daten,
- Kategorien betroffener Personen,
- Pflichten und Rechte des Verantwortlichen.
Danach folgen die Pflichten des Auftragsverarbeiters. In verständlichen Worten:
| Pflicht | Was das im Webinar-Alltag bedeutet |
|---|---|
| Nur auf dokumentierte Weisung | Der Anbieter nutzt die Daten deiner Gäste nur für deine Webinare, nicht für eigene Werbung oder Auswertungen. |
| Vertraulichkeit | Mitarbeitende mit Zugriff sind zur Verschwiegenheit verpflichtet. |
| Sicherheit nach Art. 32 | Es gibt angemessene technische und organisatorische Maßnahmen, meist in einer Anlage beschrieben. |
| Regeln für Unterauftragsverarbeiter | Weitere Dienstleister nur mit deiner Genehmigung und unter denselben Pflichten. |
| Hilfe bei Betroffenenrechten | Du kannst Auskunft geben und Gäste löschen, und der Anbieter unterstützt dich dabei. |
| Hilfe bei weiteren Pflichten | Unterstützung bei Datensicherheit, Meldung von Datenpannen und Folgenabschätzungen. |
| Löschen oder Rückgabe am Ende | Nach Vertragsende werden die Daten gelöscht oder dir herausgegeben. |
| Nachweise und Kontrollen | Der Anbieter stellt Informationen bereit und ermöglicht Überprüfungen. |
Der Vertrag muss schriftlich vorliegen, ein elektronisches Format genügt (Art. 28 Abs. 9). Bei Webinar-Tools ist es üblich, dass der Anbieter einen Standardvertrag im Kundenkonto bereitstellt, den du per Klick annimmst oder herunterlädst. Das ist in Ordnung. Die EU-Kommission hat zudem Standardvertragsklauseln für das Verhältnis zwischen Verantwortlichen und Auftragsverarbeitern veröffentlicht, die manche Anbieter verwenden.
Die technischen und organisatorischen Maßnahmen lesen
Die Anlage mit den technischen und organisatorischen Maßnahmen, oft TOM genannt, wird gern überblättert. Dabei steht dort, wie die Daten deiner Gäste tatsächlich geschützt werden. Achte auf konkrete Aussagen statt allgemeiner Formeln:
- Verschlüsselung bei der Übertragung und möglichst auch bei der Speicherung.
- Zugriffsrechte, also wer beim Anbieter auf Kundendaten zugreifen darf und wie das protokolliert wird.
- Sicherungen, wo sie liegen und wie lange sie aufbewahrt werden.
- Löschung, auch in Sicherungen, mit nachvollziehbaren Fristen.
- Anmeldeschutz für dein Konto, etwa eine Zwei-Faktor-Anmeldung.
- Umgang mit Vorfällen, also wer bei einer Datenpanne was tut.
Ein Satz wie „Wir treffen alle erforderlichen Maßnahmen nach dem Stand der Technik“ sagt wenig. Eine knappe, aber konkrete Liste ist ein besseres Zeichen.
Unterauftragsverarbeiter im Blick
Kaum ein Webinar-Tool macht alles selbst. Hinter dem Anbieter stehen meist weitere Dienstleister: ein Rechenzentrum, ein E-Mail-Versanddienst, ein Speicher für Videos und Folien, ein Supportsystem, bei KI-Funktionen ein Sprachmodell oder ein Dienst für synthetische Stimmen. Das sind Unterauftragsverarbeiter.
Art. 28 Abs. 2 und 4 DSGVO regeln, wie das läuft:
- Der Anbieter darf Unterauftragsverarbeiter nur mit deiner vorherigen Genehmigung einsetzen. Üblich ist eine allgemeine Genehmigung im AVV, verbunden mit einer Liste der aktuellen Dienstleister.
- Bei einer allgemeinen Genehmigung muss er dich über geplante Änderungen informieren, und du musst widersprechen können.
- Er muss den Unterauftragsverarbeitern dieselben Datenschutzpflichten auferlegen und haftet dir gegenüber, wenn sie diese nicht erfüllen.
Für dich heißt das: Lass dir die Liste zeigen und prüfe, ob sie zu den Funktionen passt, die du nutzt. Steht dort jeder Dienstleister mit Zweck und Ort der Verarbeitung? Wie erfährst du von Änderungen, per E-Mail oder nur über eine Seite, die du selbst regelmäßig besuchen musst? Gerade bei KI-Funktionen lohnt der genaue Blick, denn hier kommen oft Anbieter außerhalb der EU ins Spiel. Was dabei sonst zu beachten ist, beschreibt der Artikel KI und Datenschutz bei Webinar-Werkzeugen.
Nutzt du in einem Tool einen eigenen KI-Schlüssel, ändert sich die Kette. Dann schließt du den Vertrag mit dem KI-Anbieter selbst ab, und der Dienst steht nicht mehr nur als Unterauftragsverarbeiter in der Liste des Tools. Die Vor- und Nachteile beschreibt BYOK, der eigene KI-Schlüssel im Webinar-Tool.
Daten außerhalb der EU
Werden Daten in ein Land außerhalb der EU und des Europäischen Wirtschaftsraums übermittelt, braucht es eine zusätzliche Grundlage nach Art. 44 ff. DSGVO. Das betrifft nicht allein Server im Ausland. Auch ein Fernzugriff, etwa durch ein Supportteam in einem Drittland, kann eine Übermittlung sein.
Die gängigen Grundlagen sind:
- Angemessenheitsbeschluss der EU-Kommission für das Zielland. Für die USA gibt es seit Juli 2023 das EU-US Data Privacy Framework, das aber nur für Unternehmen gilt, die sich darunter zertifiziert haben.
- Standardvertragsklauseln der Kommission, ergänzt um eine Einschätzung, ob die Daten im Zielland ausreichend geschützt sind.
Ein guter AVV sagt klar, ob und wohin Daten übermittelt werden und auf welcher Grundlage. Steht dazu nichts, frag nach. Ein Anbieter mit Servern in der EU macht vieles einfacher, beantwortet die Frage aber erst dann vollständig, wenn auch seine Unterauftragsverarbeiter in der EU arbeiten.
Prüfliste vor dem Vertragsschluss
Nimm dir für einen neuen Anbieter eine halbe Stunde und geh diese Punkte durch:
- Es gibt einen AVV, und du weißt, wo du ihn im Konto findest oder ablegst.
- Die beschriebenen Daten und Zwecke passen zu dem, was du wirklich tust, etwa Anmeldungen, E-Mails, Chat und Auswertung.
- Der Anbieter verpflichtet sich, die Daten deiner Gäste nicht für eigene Zwecke zu nutzen, auch nicht zum Training von KI-Modellen.
- Die TOM sind konkret und enthalten Verschlüsselung, Zugriffsrechte, Sicherungen und Löschung.
- Es gibt eine Liste der Unterauftragsverarbeiter mit Zweck und Ort.
- Du wirst über Änderungen an dieser Liste informiert und kannst widersprechen.
- Drittlandübermittlungen sind benannt und abgesichert.
- Datenpannen meldet der Anbieter dir unverzüglich.
- Du kannst Auskunft geben, einzelne Gäste löschen und Daten exportieren.
- Nach Vertragsende werden die Daten gelöscht oder herausgegeben, mit klarer Frist.
Was danach bei dir bleibt
Mit dem unterschriebenen AVV ist die Arbeit nicht ganz erledigt. Ein paar Aufgaben liegen weiter bei dir:
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO): Trag das Webinar-Tool und seine Rolle ein.
- Datenschutzerklärung: Nenne das Tool als Empfänger und eine eventuelle Drittlandübermittlung. Was auf die Anmeldeseite gehört, steht im Artikel Impressum und Datenschutz auf Webinar-Anmeldeseiten.
- Änderungen verfolgen: Lies Mitteilungen über neue Unterauftragsverarbeiter, statt sie ungelesen zu archivieren.
- Einstellungen nutzen: Lege Löschfristen fest und frage nur ab, was du brauchst. Ein sauberes Anmeldeverfahren beschreibt Double-Opt-in für Webinar-Anmeldungen.
- Beim Wechsel aufräumen: Exportiere, was du behalten musst, und lass den Rest beim alten Anbieter löschen.
Verstöße gegen die Pflichten aus Art. 28 können mit Bußgeldern geahndet werden, und zwar beim Verantwortlichen wie beim Auftragsverarbeiter. Wichtiger im Alltag ist aber, dass du mit einem guten AVV jederzeit weißt, wo die Daten deiner Gäste liegen.
Häufige Fragen
Muss ich den AVV unterschreiben?
Er muss schriftlich vorliegen, ein elektronisches Format genügt. Die Annahme per Klick im Kundenkonto oder ein elektronisch unterzeichnetes Dokument reicht in der Regel aus. Speichere dir eine Fassung mit Datum ab.
Was mache ich, wenn ein Anbieter keinen AVV anbietet?
Dann solltest du das Tool nicht für personenbezogene Daten nutzen. Frag zuerst nach, manchmal liegt der Vertrag nur gut versteckt in den Bedingungen. Gibt es ihn wirklich nicht, ist das ein deutliches Warnzeichen.
Darf ich einfach den Standard-AVV des Anbieters akzeptieren?
Ja, das ist bei Online-Diensten der Normalfall. Lies ihn trotzdem und prüfe vor allem die Unterauftragsverarbeiter, Drittländer und die Nutzung der Daten für eigene Zwecke des Anbieters.
Brauche ich auch für ein kostenloses Tool einen AVV?
Ja. Ob ein Dienst etwas kostet, ist für die DSGVO unerheblich. Entscheidend ist, ob er personenbezogene Daten in deinem Auftrag verarbeitet.
Ein Vertrag, der Klarheit schafft
Ein AVV ist mehr als eine Formalie. Er zwingt dich und den Anbieter, aufzuschreiben, wer was mit den Daten deiner Gäste macht, wo sie liegen und wie sie wieder verschwinden. Wer ihn einmal gründlich prüft, hat für jedes weitere Webinar eine solide Grundlage.
Dieser Artikel ist eine allgemeine Information zum Stand Juni 2026 und keine Rechtsberatung. Für deinen konkreten Fall lass dich anwaltlich oder von deinem Datenschutzbeauftragten beraten.
