Auftragsverarbeitungsvertrag (AVV): Was Shopbetreiber mit Supabase, Hosting & Co. wissen müssen

Wer einen Onlineshop oder eine Website betreibt, arbeitet fast immer mit externen Dienstleistern – etwa einem Datenbank- oder Hosting-Anbieter wie Supabase. Dabei stellt sich eine Frage, die viele Betreiber erst spät auf dem Schirm haben: Brauche ich mit diesem Anbieter einen besonderen Vertrag? Die Antwort lautet häufig ja, und der Vertrag hat einen Namen: Auftragsverarbeitungsvertrag, kurz AVV. Dieser Artikel erklärt, wann er nötig ist und worauf es bei Supabase & Co. ankommt.

Was ist ein Auftragsverarbeitungsvertrag?

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen einem Website- oder Shopbetreiber und einem externen Dienstleister, der in dessen Auftrag personenbezogene Daten verarbeitet. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen – zum Beispiel Namen, E-Mail-Adressen, aber auch IP-Adressen (die numerische Adresse, über die ein Gerät im Internet erreichbar ist).

Die Pflicht zu diesem Vertrag steht in Art. 28 DSGVO. DSGVO ist die Abkürzung für die Datenschutz-Grundverordnung, die europäische Regelung zum Schutz personenbezogener Daten. Der Grundgedanke: Der Betreiber bleibt für die Daten verantwortlich, auch wenn ein Dienstleister sie technisch verarbeitet. Deshalb muss vertraglich geregelt sein, was der Dienstleister mit den Daten tun darf – und was nicht.

Wann brauche ich einen AVV?

Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet. Das klingt abstrakt, ist aber im Alltag schnell erreicht – und betrifft mehr, als viele denken. Nicht nur die Newsletter-Anmeldung fällt darunter. Zwei alltägliche Beispiele:

• Admin-Login: Wenn sich der Betreiber (oder ein Redakteur) ins System einloggt, werden Zugangsdaten verarbeitet. Auch das ist eine Verarbeitung personenbezogener Daten.
• Server-Logs: Jede Website protokolliert beim Aufruf automatisch die IP-Adresse des Besuchers. Eine IP-Adresse ist ein personenbezogenes Datum – und damit liegt Auftragsverarbeitung vor, ganz ohne Formular oder Anmeldung.

Ein anschauliches Beispiel: Eine Gründerin baut einen kleinen Shop und nutzt Supabase als Datenbank. Sie hat weder Newsletter noch Kundenkonten eingerichtet. Trotzdem braucht sie einen AVV, denn allein über die Server-Logs und ihren eigenen Admin-Login werden personenbezogene Daten bei Supabase verarbeitet.

Wie funktioniert das bei Supabase konkret?

Supabase stellt dafür ein standardisiertes Data Processing Addendum (DPA) bereit – ein fertiges Vertragsdokument zur Datenverarbeitung, das denselben Zweck erfüllt wie ein AVV. Es ist öffentlich einsehbar unter supabase.com/legal/dpa.

Der praktische Teil ist erfreulich unkompliziert: Die Zustimmung zu Supabases Nutzungsbedingungen hat laut Stand 1. August 2026 denselben rechtlichen Effekt wie eine separate Unterschrift. Ein zusätzlicher manueller Schritt – etwa ein Dokument ausdrucken, unterschreiben und einsenden – ist in der Regel nicht nötig. Wer Supabase nutzt, hat die vertragliche Grundlage damit bereits abgedeckt.

Was gehört zusätzlich in die Datenschutzerklärung?

Der Vertrag allein reicht nicht; auch die Datenschutzerklärung muss stimmen. Drei Punkte sollten Betreiber dort aufnehmen:

• Hosting-Region: Die Wahl der EU-Hosting-Region (zum Beispiel Frankfurt oder Irland) beeinflusst, wo die Daten tatsächlich gespeichert werden. Das gehört transparent in die Datenschutzerklärung.
• Auftragsverarbeiter nennen: Der Einsatz von Supabase als Auftragsverarbeiter sollte selbst erwähnt werden – also dass ein externer Dienstleister Daten im Auftrag verarbeitet.
• Unterauftragsverarbeiter: Supabase setzt seinerseits Dritte ein (zum Beispiel AWS oder Cloudflare). Es sollte ein Hinweis aufgenommen werden, dass eine Liste dieser Unterauftragsverarbeiter auf Anfrage verfügbar ist.

Wie passt das zum technischen Grundschutz?

Der AVV regelt die vertragliche Seite – wer mit den Daten was tun darf. Er ersetzt aber nicht die technische Absicherung der Datenbank selbst. Wer Supabase nutzt, sollte zusätzlich verstehen, wie der Zugriffsschutz auf Datenebene funktioniert: Dazu haben wir einen eigenen Beitrag zu Row Level Security und Grundschutz bei No-Code-Shops. Beides zusammen – sauberer Vertrag plus sauber abgesicherte Datenbank – macht den Shop auf der Datenseite belastbar. Wie Shops mit einer solchen Supabase-Basis arbeiten, zeigt etwa der Eintrag zur Verwaltungssoftware für Vereine und Non-Profits im Archiv.

Kurz gesagt: Sobald ein Dienstleister personenbezogene Daten verarbeitet – und dazu reichen schon Server-Logs –, ist ein AVV Pflicht. Bei Supabase ist das über das DPA und die Nutzungsbedingungen weitgehend automatisch geregelt; die eigene Aufgabe bleibt eine ehrliche, vollständige Datenschutzerklärung.

Allgemeine Information, keine Rechtsberatung. Stand: 17.09.2026.