Liste mit AV-Verträgen: 580+ Anbieter & Tools im Überblick
Hier findest du eine Übersicht über AV-Verträge für verschiedene Dienste, z. B. Hoster, Newsletter-Tools, Cloud-Dienste und mehr (inkl. Links zu den Verträgen).
Mit * gekennzeichnete Links sind Affiliate-Links. Kommt über solche Links ein Kauf zustande, bekommen wir eine Provision.
Als Blogger, Website-Betreiber oder Online-Unternehmer arbeitet man mit vielen verschiedenen Diensten, Tools oder Apps, die personenbezogene Daten im Auftrag verarbeiten.
Mit dieser Liste möchte ich einen Überblick schaffen, welche Anbieter einen Vertrag anbieten und wo du diesen findest.
Ergänzungen sind jederzeit willkommen!
TL;DRDas Wichtigste in Kürze
Sobald ein Dienst personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen AV-Vertrag. Prüfe deshalb genau, ob ein Anbieter als Auftragsverarbeiter agiert.
Die Liste enthält über 580 Dienste inklusive Logo, Standort, Vertragsstatus und direkten Links zu den jeweiligen AV-Verträgen.
Die FAQ klären die wichtigsten Begriffe, Rechtsgrundlagen und Folgen eines fehlenden AV-Vertrags.
1. Wann benötige ich einen AV-Vertrag?
Bitte beachte, dass du nicht unbedingt mit jedem hier gelisteten Anbieter einen AV-Vertrag benötigst, auch wenn du dessen Dienste nutzt.
Ein Auftragsverarbeitungs-Vertrag (kurz AV-Vertrag/AVV), auch Auftragsdatenverarbeitungs-Vertrag (ADV-Vertrag) oder Data Processing Agreement (DPA) auf Englisch, ist immer dann erforderlich, wenn ein Unternehmen in deinem Auftrag Daten verarbeitet.
Das heißt, wenn es als „Auftragsverarbeiter“ fungiert (siehe Definition Art. 4 DSGVO Abs. 8 und Kapitel 4 DSGVO).
Hier findest du eine kleine Übersicht darüber, bei welchen Diensten, Tools und Anbietern du einen AV-Vertrag abschließen musst und bei welchen nicht:
Bei manchen Dienstleistern handelt es sich wiederum um Datenverantwortliche und nicht um Auftragsverarbeiter, das heißt diese legen die Mittel und Zwecke der Datenverarbeitung fest, nicht du.
Das ist z. B. bei Google Adsense oder bei Affiliate-Netzwerken wie AWIN oder Webgains der Fall, wenn du dort als Publisher und nicht als Advertiser angemeldet bist.
Wann es sich um einen Auftragsverarbeiter handelt und wann nicht, wird auch ausführlich in diesem Artikel von Regina Stoiber behandelt.
Zusätzlich empfehle ich dir immer, beim Support eines Anbieters nachzufragen oder in dessen Dokumentation zu schauen, ob dieser als Auftragsverarbeiter fungiert oder nicht.
Das Data Processing Addendum (Auftragsverarbeitungsvertrag) steht im Legal Center öffentlich zum Download bereit (Englisch). Eine unterschriftsreife Fassung gibt es auf Anfrage beim Vertrieb.
3CX (3CX Ltd.) bietet ein Data Processing Addendum (DPA) nach DSGVO. Es greift, wenn 3CX die Cloud-Variante hostet, und ist zudem im Kundenkonto unter My Subscriptions > License key details hinterlegt.
AB Tasty agiert nach eigener Angabe als Auftragsverarbeiter, der Kunde als Verantwortlicher. Ein Auftragsverarbeitungsvertrag (DPA) wird angeboten, jedoch nicht öffentlich zum Download. Er ist per E-Mail beim Datenschutzbeauftragten unter dpo@abtasty.com anzufordern. Details unter AB Tasty (Personal data, Customers).
Acast (Acast AB, Schweden) stellt als Auftragsverarbeiter einen DPA für Podcaster bereit, der Teil der Hauptvereinbarung ist. Den Volltext bietet das Acast Data Processing Agreement.
Accountable (Accountable SA, Belgien, mit Niederlassung in Berlin) stellt einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO auf Anfrage bereit. Laut Datenschutzerklärung genügt dafür eine kurze E-Mail an den Support.
Data Processing Addendum (Englisch). Die Online-Vorlage ist nicht automatisch bindend, der Abschluss erfolgt separat als ausgefertigte Version im Account-Dashboard.
ADCELL (Betreiber Firstlead GmbH, Berlin) bietet keinen klassischen Auftragsverarbeitungsvertrag an, sondern eine Vereinbarung zur gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO. Da ADCELL gemeinsam Verantwortlicher und nicht reiner Auftragsverarbeiter ist, ist ein AVV nach Art. 28 DSGVO hier nicht nötig. Die Vereinbarung ist als Anlage zum Hauptvertrag hinterlegt, Infos unter adcell.de/datenverarbeitung.
Für Adobe Business- und Enterprise-Kunden steht ein Data Processing Agreement (DPA, entspricht einem AVV) zur Verfügung. Es wird über das Adobe Data Privacy Center angefordert und liegt auf Deutsch und Englisch vor. Für Einzel- und kostenlose Konten gilt es nicht.
Adyen stellt Händlern auf Anfrage ein Data Processing Agreement (AVV) zur Verfügung und agiert für bestimmte Dienste (z. B. Betrugsprävention) als Auftragsverarbeiter. Den Vertrag erhält man per Formular, das auf der Seite GDPR: What it means for customer payments data (englisch) verlinkt ist.
Afterbuy (ViA-Online GmbH, Krefeld) verarbeitet die Daten der Endkunden eines Händlers als Auftragsverarbeiter nach Art. 28 DSGVO. Laut AGB (Ziffer 13.1) wird der Auftragsverarbeitungsvertrag (AVV) im Registrierungsprozess bereitgestellt und mit Abschluss der Registrierung Vertragsbestandteil. Ein gesonderter Abschluss ist daher nicht nötig.
Agorapulse stellt einen DSGVO-konformen Auftragsverarbeitungsvertrag bereit. Eine unterschriebene Fassung ist per Anfrage an legal@agorapulse.com erhältlich, die Gegenzeichnung erfolgt innerhalb von 10 Werktagen. Infos auf der DSGVO-Seite.
Aha! bietet seinen AV-Vertrag (DPA) als PDF zum Download. Kunden füllen ihn aus, unterschreiben und senden ihn an support@aha.io. Die EU-Standardvertragsklauseln (SCC) sind enthalten.
Ahrefs bietet ein Data Processing Addendum nach Art. 28 DSGVO, das als Teil der Vertragsbedingungen gilt und die EU-Standardvertragsklauseln (Modul 2 und Modul 3) einbindet. Abrufbar unter Data Processing Addendum.
Die DPA ist auf der Website einsehbar (Englisch). Eine unterschriebene Fassung kann über ein Formular angefordert werden und wird per DocuSign zugestellt.
Aiven (Sitz in Helsinki, Finnland) stellt den Auftragsverarbeitungsvertrag (DPA) öffentlich als Volltext bereit. Er ist Bestandteil der allgemeinen Geschäftsbedingungen und enthält u. a. Standardvertragsklauseln sowie technische und organisatorische Maßnahmen. Volltext unter aiven.io/dpa.
Kann im Kundencenter unter Persönliche Daten > Auftragsverarbeitung heruntergeladen werden. Den vollständig ausgefüllten Vertrag anschließend per Mail an avv@alfahosting.de schicken.
alfaview (Videokonferenz-Software der alfaview gmbh aus Karlsruhe) bietet einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO samt technischen und organisatorischen Maßnahmen. Die deutsche Fassung ist verbindlich und nennt die eingesetzten Unterauftragnehmer (u. a. Hetzner, noris, IONOS). Die Seite AVV und TOM stellt das Dokument bereit.
Anexia (Österreich) stellt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit. Auf der Datenschutz-Seite stehen die AVV-Dokumente als PDF zum Download (u. a. für die österreichische und die deutsche Gesellschaft). Ein individueller AVV ist zudem über das Datenschutz-Team erhältlich.
AssemblyAI bietet ein öffentlich einsehbares Data Processing Addendum (DPA), das automatisch Teil der Nutzungsbedingungen ist (keine separate Unterzeichnung nötig) und EU-Standardvertragsklauseln (SCC) enthält. Die Verarbeitung erfolgt laut DPA primär in den USA. Stand des Dokuments: Januar 2026.
Kann hier als Data Processing Addendum (DPA) heruntergeladen werden. Er gilt automatisch mit dem Atlassian Customer Agreement, eine separate Unterzeichnung ist nicht noetig.
US-amerikanischer Anbieter für E-Mail-Marketing (AWeber Systems, Inc.). Stellt Data Processing and Security Terms (DPA) nach Art. 28 DSGVO inklusive EU-Standardvertragsklauseln öffentlich bereit unter aweber.com/dpst.htm.
Laut eigenen Angaben ist Awin kein Auftragsverarbeiter, sondern (gemeinsam mit den Advertisern) Verantwortlicher fuer die Datenverarbeitung. Ein Auftragsverarbeitungsvertrag mit Awin ist fuer Affiliates daher nicht erforderlich.
awork ist ein deutsches Projektmanagement-Tool der awork GmbH (Hamburg) und stellt einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO bereit. Server in der EU, ISO 27001 (laut Anbieter). Der AVV steht auf der Legal-and-Privacy-Seite als PDF zum Download bereit.
Basecamp ist ein bekanntes Projektmanagement- und Collaboration-Tool des US-Anbieters 37signals. 37signals stellt ein Data Processing Addendum (DPA) mit EU-Standardvertragsklauseln bereit (zuletzt aktualisiert im September 2025). Da der Anbieter in den USA sitzt, ist die Drittlanduebermittlung zu beachten. Das DPA ist ueber die Datenschutzrichtlinie verlinkt.
Baserow mit Sitz in den Niederlanden tritt laut seinen AGB (Art. 12.2) als Auftragsverarbeiter auf. Das Data Processing Agreement (DPA) ist dort per Verweis einbezogen und gilt, sobald Baserow personenbezogene Daten der Kunden verarbeitet. Ein eigenes öffentliches DPA-Dokument verlinkt Baserow nicht. Das Hosting erfolgt in der EU, ein Cloud-Hosting in Deutschland ist verfügbar. Baserow Terms and Conditions
US-amerikanische Newsletter-Plattform (beehiiv Inc.). Bietet ein Data Protection Addendum (DPA) nach DSGVO inklusive EU-Standardvertragsklauseln, das automatisch Bestandteil der Nutzungsbedingungen ist. Öffentlich einsehbar unter beehiiv.com/dpa.
Betreiber ist die Better Stack, Inc. aus den USA. Der AV-Vertrag (Data Processing Agreement) ist öffentlich abrufbar: betterstack.com/dpa. Die Daten werden standardmäßig in ISO/IEC 27001-zertifizierten Rechenzentren in der EU gespeichert.
BigCommerce (firmiert inzwischen unter Commerce.com) stellt für Händler ein Data Processing Addendum (Englisch, Stand 05/2026) bereit. Es ist Vertragsbestandteil, regelt die Verarbeitung nach Art. 28 DSGVO und stützt Drittlandtransfers auf die EU-Standardvertragsklauseln.
Registrierte Nutzer koennen einen Auftragsverarbeitungsvertrag (DPA) im eingeloggten Konto ueber die Datenschutz-Einstellungen abschliessen. Die Server stehen bei DigitalOcean in Frankfurt (Deutschland), siehe Datenschutzerklaerung.
Billomat (Anbieter Billomat GmbH & Co. KG aus Nürnberg) ist Auftragsverarbeiter nach Art. 28 DSGVO. Den bereits vom Anbieter unterschriebenen AVV stellt Billomat als PDF-Download in seinen Datenschutz-Bestimmungen bzw. im eigenen Konto bereit. Nach dem Ausfüllen und Unterschreiben wird er an Billomat zurückgesendet.
Bird (ehemals MessageBird) aus Amsterdam bietet APIs für SMS, Voice, WhatsApp und E-Mail und ist Auftragsverarbeiter. Das Data Processing Agreement ist öffentlich einsehbar und nennt u. a. EU-Standardvertragsklauseln für Transfers in Drittländer: Data Processing Agreement.
Blog2Social vom deutschen Anbieter Adenion GmbH wertet die Nutzung als Funktionsübertragung und hält einen AVV daher in der Regel für nicht erforderlich. Begründung in den FAQ.
Google stellt für Blogger (kostenloses Verbraucherprodukt) keinen AV-Vertrag bereit. Für eine DSGVO-konforme Nutzung muss man zu einem Anbieter mit AVV wechseln.
bookingkit (bookingkit GmbH, Berlin) bietet eine Buchungssoftware v. a. für Anbieter von Freizeitaktivitäten, Touren und Events. Der Auftragsverarbeitungsvertrag (AVV) wird laut Anbieter bereits bei der Kontoerstellung mit abgeschlossen. Fragen dazu klärt der Support per E-Mail an dataprotection@bookingkit.de. Hinweise im bookingkit Hilfe-Center.
Selbst gehostetes WordPress-Plugin der Borlabs GmbH (Deutschland). Die Einwilligungen bleiben auf deinem eigenen Server, an Borlabs werden keine Besucherdaten übertragen. Für den reinen Plugin-Betrieb ist daher streng genommen kein AVV nötig. Borlabs stellt dennoch einen herunterladbaren Vertrag zur Auftragsverarbeitung bereit, relevant z. B. bei Support-Zugriff auf dein WordPress.
3. FAQ
Hier findest du Antworten auf häufige Fragen rund um AV-Verträge:
Häufig gestellte Fragen
Was bedeutet AV-Vertrag auf Englisch?
Im Englischen spricht man von Data Processing Addendum oder Data Processing Agreement, oft abgekürzt durch DPA.
Der Data Processer bezeichnet den Auftragsverarbeiter. Der Data Controller ist der Datenverantwortliche.
Was ist der Unterschied zwischen ADV- und AV-Vertrag?
Der Unterschied ist recht simpel:
Auftragsdatenverarbeitung (ADV) ist die alte Bezeichnung in Deutschland für die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch einen Dienstleister im Auftrag des Verantwortlichen (laut BDSG von 2009).
Mit Anwendung der DSGVO am 25.05.2018 werden solche Dienstleister als Auftragsverarbeiter (vgl. Art 28 DSGVO) und der Vorgang entsprechend als Auftragsverarbeitung (ohne die Daten in der Mitte) bezeichnet.
Wo kann ich über Auftragsverarbeiter in der DSGVO nachlesen?
Relevante Artikel in der DSGVO sind Art. 4, Art. 27, Art. 28, Art. 29, Art. 30, Art. 42, Art. 44, Art. 45, Art. 46, Art. 47 und Art. 82.
Welche Konsequenzen kann ein fehlender AV-Vertrag haben?
Wenn ein AV-Vertrag fehlt, ist dies (möglicherweise) abmahnfähig.
Zudem kann die zuständige Datenschutzbehörde ein Bußgeld verhängen. So wurde z. B. Ende 2018 ein Hamburger Unternehmen wegen eines fehlenden AV-Vertrags zu einem Bußgeld von 5.000 € verurteilt.
Reicht ein AV-Vertrag aus, um rechtlich auf der sicheren Seite zu sein?
Ein AV-Vertrag ist nur ein Schritt auf dem Weg zur DSGVO-Konformität.
Je nach Dienst oder Anbieter können noch weitere Schritte erforderlich sein. Um z. B. Google Analytics rechtssicher auf einer Website zu nutzen, musst du einen Passus in der Datenschutzerklärung ergänzen, die IP-Anonymisierung einschalten und diverse weitere Einstellungen vornehmen. Du benötigst ggf. auch ein Cookie-Plugin, um dir die Einwilligung zur Datenverarbeitung von Nutzern einzuholen.
Changelog
Die neuesten Updates und Verbesserungen unseres AV-Vertragsliste
4.230. Juni 2026
Logos für alle Dienste und 60 weitere Einträge
• Jeder Dienst hat jetzt ein Logo, das in der Listen- und Kartenansicht angezeigt wird
• Alle Logos werden selbst gehostet (kein Laden von Drittanbieter-Servern), passend zur DSGVO-Ausrichtung der Seite
• 60 weitere Dienste ergänzt, u. a. SEO-Tools (Semrush, Ahrefs, SISTRIX), KI-Schreibtools (Grammarly, Writesonic, Copy.ai), Box, Sync.com, MEGA, Mattermost, Wire, Sage, Taxdoo und Vistaprint
• Insgesamt jetzt 587 Dienste in der Übersicht
4.129. Juni 2026
87 weitere Dienste aus Nischen und Branchen-Software
• 87 neue Dienste ergänzt, u. a. Recruiting (softgarden, Recruitee), Legal-Tech (ContractHero, fynk), Cloud-Telefonie (Placetel, 3CX, NFON), E-Signatur (SignNow), KI-Video und KI-Audio (HeyGen, Synthesia, Descript), KI-Recherche (Perplexity) und Dev-Tools (GitHub)
• Neue Kategorien abgedeckt: Dokumentenmanagement, Vereins- und Mitgliederverwaltung, Fundraising, sicherer Datenraum, Fitness- und Beauty-Branchensoftware sowie Print-on-Demand
• Insgesamt jetzt 527 Dienste in der Übersicht
4.028. Juni 2026
Vollständige Überprüfung aller Einträge und 158 neue Dienste
• Alle 282 bestehenden Dienste per Web-Recherche auf Aktualität geprüft (Verfügbarkeit, Standort, Abschluss-Weg und Links)
• Defekte und veraltete AV-Vertrag-Links repariert oder durch aktuelle Quellen ersetzt
• Übernahmen und Umbenennungen aktualisiert (u. a. Adgoal zu Takeads, lexoffice zu Lexware Office, Mandrill zu Mailchimp Transactional, plentymarkets zu plentyONE)
• Verfügbarkeit korrigiert, wo Anbieter inzwischen einen AV-Vertrag anbieten (z. B. Algolia, Matomo Cloud, Whereby)
• 158 neue Dienste ergänzt, darunter KI-Tools (ElevenLabs, Mistral AI, Cursor), Zahlungsdienstleister (Mollie, SumUp, Adyen), Newsletter-Tools (beehiiv, AWeber), Passwort-Manager, VPN-Dienste, E-Signatur, Zeiterfassung, HR-, Buchhaltungs- und Podcast-Hosting-Tools
• Insgesamt jetzt 440 Dienste in der Übersicht
3.08. Februar 2026
Neue interaktive Tabelle, 83 neue Dienste und Korrekturen
• Neue filterbare und sortierbare Tabelle mit Suchfunktion, Kategorie-, Standort- und Verfügbarkeits-Filtern
• Umschaltbare Ansicht zwischen Listen- und Karten-Layout
• Farbige Badges für AV-Verfügbarkeit (Ja, Nein, Nicht nötig, In Arbeit), Kategorie und Standort
• 83 neue Dienste hinzugefügt (u. a. Vercel, Netlify, Notion, OpenAI, Anthropic, DeepL, Asana, monday.com, Pipedrive, Plausible, Fathom und viele mehr)
• Verbesserte Standort-Erkennung für EU/EWR-Länder (28 Ländernamen werden jetzt korrekt erkannt)
• HTTP-Links zu HTTPS korrigiert und Tippfehler behoben
• Insgesamt jetzt 282 Dienste in der Übersicht
2.030. April 2024
Große Aktualisierung der AV-Vertragsliste
• Zahlreiche neue Dienste und Tools ergänzt
• Bestehende Einträge auf Aktualität geprüft und aktualisiert
• Links zu AV-Verträgen aktualisiert
1.05. März 2020
Erstveröffentlichung
• Erste Version der AV-Vertragsliste mit ca. 100 Diensten
• Übersicht mit AV-Verfügbarkeit, Kategorie, Standort und Anmerkungen
Finn Hillebrandt ist der Gründer von Blogmojo und SEO-Experte mit 15+ Jahren Erfahrung
Er hilft Online-Unternehmern, mehr Kunden über Google zu bekommen und einen besucherstarken Blog aufzubauen.
Finn teilt sein Wissen hier auf dem Blog in 140+ Fachartikeln zu Bloggen, WordPress und SEO sowie über seinen SEO-Kurs „New Level SEO“ mit 300+ Teilnehmern.