AV-Vertrag bei netcup: im CCP abschließen und was sich seit 2023 geändert hat
Teil 12 der Reihe netcup Spezial: den Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO im netcup-CCP erstellen, Anhang 3 richtig ausfüllen und die Unterschiede zwischen der Fassung von 2021 und 2026 kennen.
Geprüft am 04.11.2026 · für netcup CCP 2.9.0, netcup AVV 4.5 (Stand 2021/11)
WerbelinksMit * markierte Links sind Werbelinks: Bei einem Kauf erhalten wir eine Provision, der Preis bleibt gleich. Als Amazon-Partner verdiene ich an qualifizierten Verkäufen. Mehr dazu
Wer auf einem netcup-Server personenbezogene Daten verarbeitet, etwa Kundendaten, Logins oder Mails, kann einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO brauchen. netcup schreibt selbst, dass er erforderlich sein kann. netcup bietet dafür im Customer Control Panel einen Generator an, der den Vertrag in wenigen Minuten erzeugt. Diese Anleitung zeigt Schritt für Schritt, wo Sie ihn finden, wie Sie Anhang 3 ausfüllen und worauf Sie beim Abschluss achten. Außerdem haben wir einen Vertrag vom Februar 2023 (Version 4.5, Stand 2021/11) mit einem vom November 2026 (Version 7, Stand 2026/07) verglichen. Wer vor Jahren abgeschlossen hat, sieht hier, was sich seitdem geändert hat.
Dies ist Teil 12 der Reihe „netcup Spezial“.
Diese Anleitung beschreibt, was im CCP und in den Vertragstexten steht. Sie ist keine Rechtsberatung. Ob und welchen Vertrag Sie brauchen, klären Sie mit Ihrem Datenschutzbeauftragten oder einer Anwältin. Das empfiehlt auch netcup auf der Seite selbst.
Voraussetzungen
- Ein Kundenkonto bei netcup mit mindestens einem Produkt
- Zugang zum Customer Control Panel (CCP) mit vollständigen Stammdaten, denn Name und Anschrift landen im Vertrag
- Eine Übersicht, welche Daten Sie auf Ihren netcup-Produkten verarbeiten, zum Beispiel aus Ihrem Verzeichnis der Verarbeitungstätigkeiten
- Etwa 15 Minuten
Schritt 1: Den Generator im CCP öffnen
Melden Sie sich im CCP an und öffnen Sie links Stammdaten. Oben rechts finden Sie die Reiter Stammdaten, Zahlungsanbieter, API und Auftragsverarbeitung. Hatten Sie schon einmal einen Vertrag erstellt, steht er oben im grünen Kasten Letzter erstellter Vertrag als PDF zum Herunterladen:
Darunter steht der komplette Vertragstext, bereits mit Ihrer Kundennummer, Ihrem Namen und Ihrer Anschrift aus den Stammdaten. Rechts erklärt netcup, dass für den Generator keine zusätzlichen Gebühren anfallen, dass netcup eine Kopie speichert und dass die elektronische Unterschrift zum Abschluss reicht. Wer möchte, kann eine unterschriebene Fassung zusätzlich per Post schicken.
Neben dem PDF steht ein Papierkorb-Symbol. Klicken Sie es nicht versehentlich an, wenn Sie nur herunterladen wollen.
Verifizieren: Sie sehen den Reiter Auftragsverarbeitung und darunter den Vertrag mit Ihren Stammdaten. Stimmen Name oder Anschrift nicht, korrigieren Sie zuerst den Reiter Stammdaten.
Schritt 2: Altes PDF sichern, bevor Sie neu erstellen
Das ist der wichtigste Schritt, auch wenn Sie gleich zu Schritt 5 springen möchten. Das CCP zeigt immer nur den zuletzt erstellten Vertrag. Als wir einen neuen erstellt hatten, war das PDF von 2023 dort nicht mehr zu finden. Laden Sie einen vorhandenen Vertrag deshalb vorher herunter und legen Sie ihn bei Ihren Vertragsunterlagen ab. Ein Klick auf den Dateinamen startet den Download. Ist das alte PDF schon weg, können Sie den netcup-Support nach der gespeicherten Kopie fragen, denn netcup schreibt, dass es eine Kopie des Vertrages speichert.
Der Dateiname folgt dem Muster DSGVO-Kundennummer-Datum-Nummer.pdf, zum Beispiel DSGVO-12345-20230224-5653.pdf. Am Datum erkennen Sie, wann der Vertrag erstellt wurde.
Verifizieren: Das bisherige PDF liegt in Ihrer eigenen Ablage, und es lässt sich öffnen.
Schritt 3: Vertragstext und Anhänge lesen
Der Vertrag besteht aus elf Kapiteln und drei Anhängen. Anhang 1 beschreibt die technischen und organisatorischen Maßnahmen von netcup, Anhang 2 nennt die weiteren Auftragsverarbeiter, Anhang 3 enthält Ihre Angaben. Im CCP sind das scrollbare Felder. Lesen Sie mindestens diese Teile:
- Kapitel 3: die Pflichten von netcup, darunter Löschung nach Vertragsende und die Frist für Backups
- Kapitel 7: Nachweise und Kontrollen, inklusive der Kosten
- Kapitel 8 und Anhang 2: weitere Auftragsverarbeiter und Ihr Einspruchsrecht
- Anhang 1: die technischen und organisatorischen Maßnahmen, bei der Zutrittskontrolle je Standort
Im November 2026 nannte Anhang 2 drei Unternehmen der Anexia-Gruppe, zu der netcup gehört: die Anexia Holding GmbH und die Anexia Cloud Solutions GmbH in Klagenfurt sowie die Anexia Cloud Solutions GmbH in Karlsruhe. Diese Liste sehen Sie im nächsten Bild oben.
Verifizieren: Sie wissen, welche Unternehmen in Anhang 2 stehen und welche Standorte Anhang 1 nennt.
Schritt 4: Anhang 3 ausfüllen
Im unteren Teil legen Sie fest, wessen Daten und welche Arten von Daten Sie bei netcup verarbeiten. Gegenstand, Dauer und Ort sind fest vorgegeben und ergeben sich aus Ihren Verträgen mit netcup. Ankreuzen können Sie die Kategorien betroffener Personen und die Kategorien personenbezogener Daten:
Bei uns waren die Haken schon gesetzt, genau wie in unserem Vertrag von 2023. Übernehmen Sie sie nicht ungeprüft. Gleichen Sie die Auswahl mit Ihrem Verzeichnis der Verarbeitungstätigkeiten ab. Fehlt eine Kategorie, nutzen Sie das Feld Weitere Daten mit einem Eintrag pro Zeile.
Darunter folgt die Frage nach besonderen Kategorien wie Gesundheitsdaten. Hier wählen Sie entweder „keine“ oder kreuzen die zutreffenden Kategorien an. Wer etwa Daten aus einer Arztpraxis verarbeitet, prüft diesen Teil besonders sorgfältig.
Verifizieren: Jede Kategorie, die Sie angekreuzt haben, kommt in Ihrem Verzeichnis der Verarbeitungstätigkeiten vor, und umgekehrt.
Schritt 5: Zustimmen und den Vertrag erstellen
Ganz unten setzen Sie den Haken bei Ich stimme der Vereinbarung zu und klicken auf AV-Vertrag erstellen:
Danach steht der neue Vertrag oben im grünen Kasten. Das Datum im Dateinamen ist der Tag der Erstellung:
Laden Sie das PDF sofort herunter. Unser Vertrag vom 04.11.2026 hatte 15 Seiten und trug im Kopf die Angabe „Version 7, Stand: 2026/07“. Er enthält Ort, Datum und eine Unterschriftszeile für netcup sowie die drei Anhänge mit Ihren Angaben.
Verifizieren: Das PDF lässt sich öffnen, enthält Ihre Stammdaten und Ihre Auswahl aus Anhang 3 und liegt in Ihrer eigenen Ablage.
Was sich seit 2023 geändert hat
Wir haben einen Vertrag vom 24.02.2023 mit dem vom 04.11.2026 verglichen. Die ältere Datei trug die Angabe „Version 4.5, Stand: 2021/11“ und hatte 21 Seiten. Fassungen dazwischen kennen wir nicht. Die Gliederung in elf Kapitel ist gleich geblieben, der Inhalt hat sich an vielen Stellen geändert. Die wichtigsten Unterschiede:
| Punkt | Fassung 2021/11 (erstellt 2023) | Fassung 2026/07 |
|---|---|---|
| Backups nach Vertragsende | Keine Frist genannt | „nach maximal 14 Tagen gelöscht“ |
| Neue Subunternehmer | Konzernunternehmen aus Anhang 2 mit Vertragsschluss zugestimmt, weitere Subunternehmer nur mit vorheriger schriftlicher Zustimmung | netcup informiert in Textform, Einspruch aus sachlichem Grund innerhalb von 14 Kalendertagen |
| Weitere Auftragsverarbeiter (Anhang 2) | ANX Holding, ANEXIA Internetdienstleistungs GmbH, ANEXIA Deutschland, DATASIX | Anexia Holding, Anexia Cloud Solutions (Klagenfurt und Karlsruhe) |
| Ort der Verarbeitung (Anhang 3) | „ausschließlich Deutschland“ | Ergibt sich aus den Verträgen, ohne Länderangabe. Anhang 1 nennt Rechenzentren in Nürnberg und Wien |
| Kontrollen beim Anbieter | ISO 27001 genügt grundsätzlich, Teilnahme an Führungen mit vier Wochen Vorlauf, ein Termin pro Jahr, weitere Inspektionen gegen Vergütung | Prüfungen nach angemessener Vorlaufzeit, im Ausnahmefall unangemeldet, Kosten trägt grundsätzlich der Kunde, außer bei einem Verstoß von netcup |
| Haftung | Art. 82 DSGVO, weiteres in den Verträgen | Zusätzlich hält der Kunde netcup bei eigenem verschuldeten Verstoß schad- und klaglos |
| Weisungen | Schriftlich, auch elektronische Textform | Schriftlich oder dokumentiert elektronisch, vom Kunden für ihre Geltungsdauer plus drei volle Kalenderjahre aufzubewahren, Weisungen über den Vertrag hinaus können kostenpflichtig sein |
| Rolle des Kunden | Verantwortlicher | Verantwortlicher oder selbst Auftragsverarbeiter, netcup dann Sub-Auftragsverarbeiter |
| Zertifizierungen | ISO 9001 und ISO 27001 der Anexia-Gruppe | Zusätzlich ISO 27701 (Datenschutz), netcup GmbH ausdrücklich genannt |
| Datenschutzkontakt | E-Mail-Adresse von Anexia für allgemeine Datenschutzfragen, Kontaktdaten des Group Data Protection Officer auf der Homepage | Nur Verweis auf die jeweils aktuellen Angaben auf der netcup-Homepage |
| Anhang 3 | Wahl zwischen „ergibt sich aus den Verträgen“ und eigenen Angaben | Nur noch Ankreuzen der Kategorien |
Auch Anhang 1 mit den technischen und organisatorischen Maßnahmen ist neu aufgebaut. Die Fassung 2026 gliedert die Zutrittskontrolle nach dem Büro in Karlsruhe und den Rechenzentren in Nürnberg und Wien. Neu genannt sind unter anderem Systeme zur Angriffserkennung und Angriffsabwehr im eigenen Einsatz, zusätzlich zum bisherigen Angebot für Kundensysteme auf Bestellung, und die Löschung von Datenträgern nach Sicherheitsstufe H-4. Einige Punkte der alten Fassung fehlen, darunter der eigene Abschnitt zur Pseudonymisierung und die namentliche Nennung des Rechenzentrumsbetreibers in Nürnberg. Als Leitgesellschaft der Gruppe nennt die Präambel früher die ANEXIA Internetdienstleistungs GmbH, heute die Anexia Cloud Solutions GmbH. Gleich geblieben sind die Pflicht, Datenschutzverletzungen unverzüglich zu melden, und die Wahl des deutschen Rechts.
Ob ein neu erstellter Vertrag einen älteren ersetzt, regelt keine der beiden Fassungen ausdrücklich. Klären Sie das bei Bedarf mit Ihrem Datenschutzbeauftragten.
Typische Fehler
| Problem | Ursache und Lösung |
|---|---|
| Alter Vertrag im CCP nicht mehr auffindbar | Das CCP zeigt nur den zuletzt erstellten. Vor jedem neuen Abschluss das bisherige PDF sichern. |
| Falscher Name oder alte Anschrift im Vertrag | Stammdaten veraltet. Zuerst den Reiter Stammdaten korrigieren, dann den Vertrag erstellen. |
| Anhang 3 passt nicht zur Verarbeitung | Vorbelegte Haken ungeprüft übernommen. Mit dem Verzeichnis der Verarbeitungstätigkeiten abgleichen. |
| Eigene Dokumentation verweist auf „ausschließlich Deutschland“ | Diese Angabe stand in der Fassung 2021/11. Die aktuelle Fassung nennt kein Land. Prüfen Sie, welcher Standort sich aus Ihren Produktverträgen ergibt, und klären Sie die Dokumentation mit Ihrem Datenschutzbeauftragten. |
Häufige Fragen
Kostet der AV-Vertrag etwas?
Nach dem Hinweis im CCP erhebt netcup für den Vertrag aus dem Generator keine zusätzlichen Gebühren. Die Fassung 2026 sieht aber vor, dass der Kunde grundsätzlich die Kosten von Kontrollen trägt und dass Weisungen, die über den Vertrag hinausgehen, kostenpflichtig sein können.
Muss ich den Vertrag unterschreiben und einschicken?
Laut CCP reicht netcup die elektronische Unterschrift. Eine unterschriebene Fassung per Post ist freiwillig, netcup legt sie dann im Archiv ab.
Gilt der Vertrag für alle meine netcup-Produkte?
Der Gegenstand ergibt sich laut Anhang 3 aus den Produkten und Services, die Sie bei netcup beziehen. Der Vertragskopf bezieht sich außerdem auf „zu den Verträgen unter der Kundennummer“. Ein Vertrag deckt also das ganze Kundenkonto ab, nicht ein einzelnes Produkt.
Wo finde ich den Datenschutzbeauftragten von netcup?
Die Fassung 2026 verweist dafür auf die jeweils aktuellen Angaben auf der Homepage von netcup. Die Fassung 2021/11 nannte zusätzlich eine feste E-Mail-Adresse für allgemeine Datenschutzfragen.
Fazit
Den AV-Vertrag bei netcup abzuschließen dauert nur wenige Minuten. Wichtiger ist die Sorgfalt davor und danach: Anhang 3 zur eigenen Verarbeitung passend ausfüllen, das PDF sofort selbst ablegen und den alten Vertrag vorher sichern, denn das CCP zeigt nur den letzten. Wer vor Jahren abgeschlossen hat, sollte die aktuelle Fassung lesen. Zwischen der Fassung 2021/11 und der Fassung 2026/07 geändert haben sich unter anderem die Regeln zu Backups, Subunternehmern, Kontrollen, Haftung und zum Ort der Verarbeitung.
