Versanddienstleister: wann brauchst du einen AV-Vertrag?

Du schließt einen Versandvertrag und möchtest die Datenschutzunterlagen vollständig haben. Die naheliegende Frage lautet: Wo ist der AV-Vertrag? Bevor du danach suchst, solltest du die Leistung zerlegen. Ein Unternehmen kann Pakete transportieren, eine Adressdatenbank für deinen Shop bereitstellen und zusätzlich andere digitale Funktionen anbieten. Hinter einem Firmennamen können damit unterschiedliche Verarbeitungen stehen.

Die folgende Prüfung richtet sich an deutsche Onlinehändler, die ihre eigenen Kundenbestellungen verschicken lassen. Quellen und AirPost-Preisbestandteile wurden am 14. Oktober 2026 geprüft. Das öffentlich verfügbare DHL-Dokument trägt den Stand Januar beziehungsweise Februar 2019. Es dient hier als konkretes Beispiel für einen abgegrenzten Vertragsumfang. Für deinen Abschluss brauchst du die aktuell auf deine Leistung anwendbaren Unterlagen.

Welche Entscheidung macht einen Dienstleister zum Auftragsverarbeiter? #

Artikel 4 Nummer 7 DSGVO definiert den Verantwortlichen über die Entscheidung über Zwecke und Mittel. Nummer 8 definiert den Auftragsverarbeiter über die Verarbeitung im Auftrag dieses Verantwortlichen. Beginne deshalb mit einer Beschreibung der Tätigkeit: Welche Daten werden verwendet, wofür werden sie verwendet und wer entscheidet darüber? Die Antwort Versand reicht nicht aus, wenn darunter auch ein dauerhaftes Adressbuch oder eine eigene Analyse des Dienstleisters fällt.

Die Auswahl eines Druckers oder einer internen Arbeitsreihenfolge macht einen Dienstleister nicht automatisch zum eigenen Verantwortlichen. Bei der Einordnung zählen die tatsächlichen Entscheidungen über den Verarbeitungszweck und die wesentlichen Mittel. Die EDSA-Leitlinien 07/2020 erläutern diese funktionale Prüfung. Schreibe die Antworten für die konkrete Leistung auf, statt sie nur aus dem Werbetext des Anbieters abzuleiten.

Ein Vertrag kann diese Rolle beschreiben und die Umsetzung regeln. Er kann aber eine Verarbeitung für selbst bestimmte Zwecke nicht allein durch die Bezeichnung im Auftrag umwandeln. Umgekehrt ist ein selbstständiger Unternehmer nicht schon wegen seiner Rechtsform unabhängiger Verantwortlicher für alle Aufgaben. Ein selbstständiger Packer kann für eine abgegrenzte Verarbeitung nach deinen Weisungen tätig sein. Prüfe die Datenaufgabe, nicht nur den Gewerbestatus.

Was zeigt das DHL-Beispiel über einen begrenzten Vertragsumfang? #

Die öffentlich zugängliche DHL-Paket-Vereinbarung beschreibt zusätzliche Onlinefunktionen zur dauerhaften und sendungsunabhängigen Verwaltung von Kundenadressen. Sie grenzt diese Adressbuchfunktionen ausdrücklich von der für Postdienstleistungen erforderlichen Verarbeitung ab. Das ist ein brauchbares Beispiel dafür, warum du eine gefundene AVV nicht ungeprüft auf den gesamten Transport übertragen solltest.

Das Dokument bezeichnet die Nutzung der Adressbuchfunktionen als optional. Es nennt die Einstellung dieser Nutzung und die Löschung der dort gespeicherten Daten als Weg zur Beendigung der Vereinbarung. Daraus folgt für deine Unterlagen eine einfache Frage: Nutzt dein Shop diese Funktion tatsächlich, oder erzeugst du nur einzelne Sendungen? Halte den genutzten Funktionsumfang fest und verlange die dazu passenden Vertragsdokumente.

DPD erklärt auf seiner deutschen Seite für Versender, dass die gewöhnliche Übermittlung von Versanddaten zweckgebunden direkt an DPD erfolgt und keine Auftragsverarbeitung nach Artikel 28 darstellt. DPD schließt nach dieser Information dafür keine AV-Verträge mit Kunden. Zusammen mit dem DHL-Adressbuchbeispiel hast du zwei konkrete Anbieterinformationen mit unterschiedlichem Leistungsumfang. Verwende sie für die jeweils beschriebene Funktion, statt aus einem Dokument eine Regel für alle Versandsoftware abzuleiten.

Das Beispiel beantwortet nicht abschließend die Rolle jeder heutigen DHL-Leistung und auch nicht die anderer Paketdienste. Es zeigt einen konkreten Unterschied innerhalb eines Angebots. Lade deshalb beim Vertragsschluss nicht einfach irgendein Datenschutz-PDF herunter. Notiere Anbieter, Funktion, Versionsstand und Bezug zu deinem Account. Ein vorhandenes Dokument hilft erst dann, wenn du seinen Geltungsbereich deiner tatsächlichen Nutzung zuordnen kannst.

Welche Unterlagen gehören zu welcher Versandfunktion? #

Ein Datenschutzkontakt ist ebenfalls kein Ersatz für die passende Vereinbarung. Du kannst wissen, wohin Rückfragen gehen, und trotzdem einen unvollständigen Vertragsumfang haben. Prüfe beides: die rechtliche Beschreibung der Aufgabe und den praktischen Kontakt für ihre Durchführung. Wenn der Anbieter die Rolle nicht klar erklären kann, stelle die Frage anhand einer echten Funktion und eines bestimmten Datenfelds erneut.

Was muss eine AVV für ausgelagerte Packarbeit konkret regeln? #

Artikel 28 Absatz 3 verlangt unter anderem Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen. Für einen Packer heißt das: nicht bloß Kundendaten, sondern die Daten, die für deine Bestellungen tatsächlich benötigt werden. Beschreibe auch, welche Tätigkeit endet, wenn eine Bestellung abgeschlossen ist, und welche Informationen bei einer berechtigten Reklamation noch gebraucht werden können.

Die Vereinbarung muss dokumentierte Weisungen, Vertraulichkeit und geeignete Sicherheitsmaßnahmen berücksichtigen. Sie muss außerdem die erforderliche Unterstützung bei Betroffenenrechten und Datenschutzvorfällen regeln. Schreibe dazu erreichbare Ansprechpartner und einen nutzbaren Übermittlungsweg auf. Ein Vertrag, dessen einzige Kontaktadresse niemand überwacht, kann in einem dringenden Fall seine praktische Aufgabe nicht erfüllen.

Artikel 28 Absatz 9 lässt eine schriftliche Vereinbarung einschließlich eines elektronischen Formats zu. Ein Papierstapel mit Unterschriften ist daher nicht die einzige mögliche Form. Entscheidend bleibt, dass die bindende Vereinbarung vorhanden ist und die notwendigen Inhalte enthält. Eine unverbindliche Checkliste oder ein allgemeines Versprechen, die DSGVO einzuhalten, erledigt diese Aufgabe nicht von selbst.

Darf die Packperson eine Vertretung oder ein weiteres Tool einsetzen? #

Artikel 28 Absatz 2 verlangt vor der Einschaltung eines weiteren Auftragsverarbeiters eine spezifische oder allgemeine schriftliche Genehmigung. Bei allgemeiner Genehmigung müssen geplante Ergänzungen oder Wechsel mitgeteilt werden, damit du widersprechen kannst. Prüfe eine Vertretung daher anhand ihrer Stellung: Handelt eine befugte Person unter der Verantwortung des bestehenden Dienstleisters, oder wird ein zusätzlicher externer Verarbeiter beauftragt?

Das ist auch bei kleinen Shops relevant. Ein zusätzlicher Cloudordner, ein externes Druckangebot oder eine zweite selbstständige Packperson kann eine neue Datenstation schaffen. Ob darin tatsächlich ein weiterer Auftragsverarbeiter liegt, ergibt sich aus der konkreten Nutzung. Lass dir keine beliebige Liste möglicher Tools schicken, sondern die tatsächlich für deine Daten eingesetzten Leistungen und ihre Aufgaben.

Artikel 28 Absatz 4 verlangt, dem weiteren Auftragsverarbeiter dieselben Datenschutzpflichten aufzuerlegen; der ursprüngliche Auftragsverarbeiter bleibt dir gegenüber für deren Einhaltung verantwortlich. Praktisch solltest du deshalb wissen, wer eine Änderung ankündigt und wer einen neuen Zugang freigibt. Eine mündliche Vertretungsabsprache kann eine betriebliche Lücke schließen, ohne die erforderliche Datenschutzkette zu schließen.

Was prüfst du beim Start und beim Ende der Zusammenarbeit? #

1. 1

   Tätigkeit abgrenzen

   Beschreibe Packarbeit, benötigte Bestelldaten und zulässige Verwendung. Ordne Plattform, Packperson und Paketdienst jeweils ihrer tatsächlichen Aufgabe zu.

2. 2

   Nachweise vor dem Zugang prüfen

   Prüfe geeignete Maßnahmen und die erforderliche bindende Vereinbarung. Kläre offene Rollenfragen, bevor echte Kundendaten übergeben werden.

3. 3

   Änderungen nachvollziehbar machen

   Halte neue Funktionen, Datenfelder und weitere Dienstleister fest. Ein anderer Versandablauf kann eine erneute Prüfung benötigen, auch wenn der Firmenname gleich bleibt.

4. 4

   Rückgabe und Löschung durchführen

   Artikel 28 Absatz 3 Buchstabe g verlangt nach deiner Wahl Rückgabe oder Löschung nach Ende der Verarbeitung sowie Löschung vorhandener Kopien, sofern keine gesetzliche Speicherungspflicht entgegensteht. Prüfe auch lokale Ausdrucke.

Verlange am Ende einen verständlichen Abschlussnachweis über die vereinbarten Aufgaben. Die Rückgabe deiner Waren sagt noch nichts darüber aus, ob ein Download mit Kundenadressen gelöscht wurde. Umgekehrt kann ein Packer seine Arbeitskopien entfernen, während dein Shop weiterhin zulässig erforderliche Geschäftsunterlagen behält. Trenne Warenbestand, Zugänge und Datenbestände in der Übergabe, damit keiner dieser Punkte unsichtbar bleibt.

Wie ordnest du Kosten und Vertragsfragen bei AirPost ein? #

Die AirPost-Produktcopy beschreibt Bestand bei einer lokalen Versandperson, Packarbeit und Abgabe am Paketpunkt. Wenn du Versand lokal auslagerst, prüfst du deshalb mehrere Beteiligte mit unterschiedlichen Aufgaben. Die Plattformnutzung allein bestimmt nicht sämtliche Datenschutzrollen zwischen deinem Shop, dieser Person und dem ausgewählten Paketdienst. Fordere die Unterlagen für den tatsächlich vorgesehenen Ablauf an.

Rechnung für ein reguläres Paket, auf Basis der am 14. Oktober 2026 geprüften Konstanten: 3,00 € empfohlene Packvergütung und 0,85 € Plattformgebühr ergeben 3,85 €. Transport und Material sind zusätzlich zu berücksichtigen; die vereinbarte Packvergütung kann abweichen. Diese Trennung erklärt, warum der Preis für Packarbeit nicht zugleich sämtliche Leistungen eines Transportvertrags beschreibt.

Wenn du erstmals Bestand abgibst, hilft außerdem die erste Bestellung ohne Lager beim Ablauf. Ergänze deine wirtschaftliche Vorbereitung um die oben genannten Funktionsfragen. Entscheidend ist, dass du jede Kundendatenstation erklären kannst und die passende Vereinbarung vorliegt, bevor der nächste Arbeitsschritt beginnt.