Es ist ein Gespräch, das wir in der Region Hildesheim regelmäßig führen, und es beginnt fast immer gleich: Der Betrieb zahlt seit Jahren zuverlässig für seine Website, die Rechnung kommt pünktlich, alles läuft. Dann steht ein Relaunch an, der Mail-Server soll umziehen oder es soll schlicht eine Telefonnummer geändert werden - und plötzlich zeigt sich, dass niemand im Haus die Zugangsdaten zur Domain-Verwaltung hat, dass als Domaininhaber noch der frühere Dienstleister eingetragen ist und dass in keinem Vertrag steht, ob am individuell programmierten Teil der Seite überhaupt Nutzungsrechte eingeräumt wurden. Das ist selten Absicht. In den allermeisten Fällen ist es gewachsene Schlamperei auf beiden Seiten: Damals ging es schnell, jemand hat die Domain nebenbei registriert, und danach hat zehn Jahre lang niemand mehr hingeschaut. Dieser Beitrag ist deshalb weder Alarm noch Vorwurf an Dienstleister, sondern eine Inventur in drei Kapiteln: Domain, Zugänge, Rechte. Sie können sie vollständig selbst abarbeiten - als Internetagentur aus der Region Hildesheim sagen wir Ihnen hier vor allem, worauf Sie schauen müssen.
Das Wichtigste in Kürze
- Zahlen, verwalten und Inhaber sein sind drei getrennte Rollen. Inhaber einer .de-Domain ist allein, wer als Vertragspartner der DENIC eG eingetragen ist; der Rechnungsempfänger ist im Domainvertrag keine Rolle und erwirbt durch Zahlung keine Inhaberstellung.
- Bei juristischen Personen zeigt die DENIC-Domainabfrage seit dem 6. Dezember 2025 (DENIC eG) den Inhaber wieder öffentlich, bei natürlichen Personen nur Registrierungsdatum und Provider. Veraltete Angaben können bis zur Dekonnektierung der Domain führen (DENIC eG).
- Der Providerwechsel läuft über die AuthInfo: 8 bis 16 Zeichen (DENIC eG), gültig 30 Tage (DENIC eG), die Domain bleibt dabei erreichbar. Fehlt ein aktiver Provider, verschickt die DENIC den Code per Einschreiben an die hinterlegte Adresse.
- Eine Website hängt an sechs Zugängen: Domain-Verwaltung, Hosting, DNS, CMS-Administration, E-Mail und Analyse-Werkzeug. Jede Kennung muss eindeutig einer Person zuzuordnen sein (BSI, ORP.4.A1), und Konten laufen auf Firmenadressen statt auf private Postfächer.
- Wer eine Website bezahlt, erwirbt nicht automatisch alle Rechte an ihren Inhalten. Ohne ausdrücklich bezeichnete Nutzungsarten richtet sich der Umfang nach dem Vertragszweck (§ 31 UrhG); Fotos sind auch ohne Werkhöhe geschützt (§ 72 UrhG), Individualcode nach § 69a UrhG.
- Zum Hosting gehört ein Auftragsverarbeitungsvertrag mit acht Pflichtpunkten (Art. 28 DSGVO), elektronisches Format genügt. Die komplette Inventur aus Domain, Zugängen und Rechten dauert einen Nachmittag und wird mit Datum versehen nach zwölf Monaten wiederholt.
Der unbequeme Fall: bezahlt, aber nicht eingetragen
Der Kern des Problems ist eine Verwechslung, die im Alltag völlig harmlos wirkt: Wer zahlt, wer verwaltet und wer Inhaber ist, sind drei verschiedene Dinge. Eine Domain ist kein Gegenstand, den man im Regal stehen hat, sondern ein Vertragsverhältnis. Bei einer .de-Domain ist der Inhaber - im DENIC-Sprachgebrauch der Halter - der Vertragspartner der DENIC eG, also der Genossenschaft, die alle .de-Domains verwaltet. Mit inzwischen 18 Millionen (DENIC eG) registrierten .de-Domains, die Marke wurde im Juni 2026 überschritten, ist statistisch fast jede sechste Person in Deutschland Halter einer .de-Adresse (DENIC eG). Ein erheblicher Teil davon gehört kleinen Betrieben, die mit der Registrierung genau einmal zu tun hatten: am Anfang.
Genau deshalb lohnt der nüchterne Blick. Wenn die Domain vor Jahren vom damaligen Webdesigner, vom Neffen des Chefs oder von der Agentur registriert wurde, die die erste Seite gebaut hat, dann steht dort oft bis heute deren Name. Nicht, weil jemand sich die Adresse sichern wollte, sondern weil es der schnellste Weg war und niemand nach dem Formularfeld gefragt hat. Unterstellungen sind hier fehl am Platz: Die meisten Dienstleister geben eine Domain auf Zuruf heraus. Unangenehm wird es erst, wenn der Betrieb gar nicht weiß, dass er fragen müsste - oder wenn der Dienstleister nicht mehr erreichbar ist.
Drei Fragen, die den Kern treffen
Der Moment, in dem die Lücke auffällt, ist fast immer der schlechteste: kurz vor dem Umzug, mitten im Relaunch oder an dem Tag, an dem die E-Mails nicht mehr ankommen. Dann fehlt die Zeit, die ein Providerwechsel per Einschreiben nun einmal braucht. Eine Inventur im ruhigen Betrieb kostet dagegen einen Nachmittag - und sie ist der unspektakulärste Teil jedes Projekts, den wir kennen (Projekterfahrung).
Die Inventur ist kein Misstrauensvotum
Domain: Inhaber, Ansprechpartner und Provider
Bei einer .de-Domain gibt es Rollen, die im Alltag gern in einen Topf geworfen werden. Der Inhaber ist der Vertragspartner der DENIC und damit derjenige, dem die Domain im praktischen Sinne zusteht - das, was man umgangssprachlich Eigentümer nennt, auch wenn Juristen hier genauer formulieren würden. Der administrative Ansprechpartner ist die Person, die für die Domain kontaktiert wird; das ist eine Kontaktrolle, keine Inhaberschaft. Der Provider schließlich ist der DENIC-Mitgliedsbetrieb, über den die Domain technisch verwaltet wird - der Dienstleister, bei dem sie liegt. Und der Rechnungsempfänger ist überhaupt keine Domain-Rolle, sondern eine Frage der Buchhaltung.
| Rolle | Was sie bedeutet | Was sie nicht bedeutet |
|---|---|---|
| Inhaber (Halter) | Vertragspartner der DENIC eG; entscheidet über Bestand, Umzug und Übertragung der Domain (DENIC eG) | nicht automatisch derjenige, der zahlt oder die Seite betreut |
| Administrativer Ansprechpartner | benannte Kontaktperson für die Domain | keine Inhaberstellung, kein Verfügungsrecht über den Bestand |
| Provider | DENIC-Mitglied, über das die Domain technisch verwaltet wird; erzeugt auf Wunsch die AuthInfo (DENIC eG) | kein Inhaber, auch wenn der eigene Name in der Domainabfrage auftaucht |
| Rechnungsempfänger | wer die Kosten trägt | keine Rolle im Domainvertrag - Zahlung begründet keine Inhaberschaft |
Diese Trennung erklärt den häufigsten Irrtum überhaupt: "Wir zahlen doch seit acht Jahren dafür, also gehört sie uns." Die Rechnung belegt, dass Sie Kosten tragen. Sie belegt nicht, wer im Domainvertrag steht. Umgekehrt gilt aber auch: Steht der Dienstleister als Inhaber drin, heißt das nicht, dass Sie ein Problem haben - es heißt zunächst nur, dass eine Formalie offen ist, die sich in aller Regel unaufgeregt korrigieren lässt.
Die entscheidende Frage ist nicht, wer die Domain bezahlt hat, sondern wer sie umziehen lassen kann, wenn Sie es morgen wollen.
Prüfen, wo Sie stehen: die Domainabfrage
Die DENIC betreibt eine öffentliche Domainabfrage, früher unter dem Namen whois bekannt. Wie viel dort zu sehen ist, hat sich zweimal grundlegend geändert. Seit dem 25. Mai 2018 (DENIC eG) - dem Geltungsbeginn der DSGVO - werden Inhaberdaten natürlicher Personen nicht mehr angezeigt; sichtbar blieben nur das Registrierungsdatum und der verwaltende Provider. Seit dem 6. Dezember 2025 (DENIC eG) gilt eine neue Stufe: Mit der nationalen Umsetzung der europäischen NIS-2-Richtlinie werden die Daten juristischer Personen wieder öffentlich angezeigt - Name und Anschrift des Inhabers, E-Mail-Adresse und Telefonnummer, dazu Registrierungsdatum und Provider (DENIC eG).
Für die Inventur heißt das konkret: Ist Ihr Betrieb eine GmbH, UG, AG, eine Genossenschaft oder ein eingetragener Verein, können Sie in der Domainabfrage der DENIC in wenigen Sekunden selbst nachsehen, wer als Inhaber eingetragen ist. Sind Sie Einzelunternehmer oder Freiberufler und damit natürliche Person, sehen Sie dort weiterhin nichts als Registrierungsdatum und Provider (DENIC eG) - dann führt der Weg über den Provider oder über die eigenen Unterlagen.
- Domainabfrage aufrufen: Domain eingeben und prüfen, ob überhaupt Inhaberdaten erscheinen. Erscheinen sie, lesen Sie Name und Anschrift genau - steht dort Ihr Betrieb oder ein Dienstleister?
- Provider notieren: Der verwaltende DENIC-Mitgliedsbetrieb wird in jedem Fall angezeigt (DENIC eG). Er ist Ihr Ansprechpartner, wenn Sie an die restlichen Daten wollen.
- Bei natürlichen Personen: Fordern Sie beim Provider einen Auszug Ihrer Domaindaten an. Als eingetragener Inhaber haben Sie darauf Zugriff - über das Kundenkonto oder auf Anfrage.
- Anschrift und Telefonnummer prüfen: Beides muss aktuell sein. Eine Adresse, unter der Sie vor drei Umzügen erreichbar waren, ist im Ernstfall wertlos.
- E-Mail-Adresse prüfen: Sie muss zu einem Postfach führen, das jemand liest. Alte Dienstleister-Adressen sind hier ein Klassiker.
- Ergebnis schriftlich festhalten: Datum, Domain, eingetragener Inhaber, Provider. Diese vier Zeilen sind der Anfang Ihrer Inventurliste.
Wenn die Abfrage nichts zeigt
Die NIS-2-Umsetzung hat noch eine zweite Folge, die in der Inventur oft übersehen wird: Bei der Registrierung müssen seit dem 6. Dezember 2025 zusätzlich eine Telefonnummer sowie die Einordnung als natürliche oder juristische Person und bei juristischen Personen die Rechtsform angegeben werden (DENIC eG). Die Daten werden risikobasiert geprüft - in einer ersten Stufe per Syntax- und Plausibilitätsprüfung, ab dem 14. April 2026 (DENIC eG) in einer zweiten Stufe mit gezielten Verifizierungsanfragen bei Auffälligkeiten. Bleibt eine Verifizierung aus, kann die Domain dekonnektiert und nach Fristsetzung gekündigt und gelöscht werden (DENIC eG). Veraltete Inhaberdaten sind damit kein rein kosmetisches Thema mehr. Nebenbei: Die in den Domaindaten hinterlegte Anschrift ist nicht dieselbe Angabe wie die ladungsfähige Anschrift im Impressum - laufen beide auseinander, stimmt mindestens eine von ihnen nicht. Was dort hineingehört, steht in unserem Beitrag zu den Pflichtangaben im Impressum nach DDG.
Ein Sonderfall am Rande: Wenn tatsächlich Streit über eine Domain entsteht - etwa weil jemand Ihren Firmennamen als Adresse registriert hat -, kennt die DENIC den DISPUTE-Eintrag. Er verhindert, dass die Domain an Dritte übertragen wird, und verschafft Zeit für die rechtliche Klärung; wer ihn beantragt, muss ein berechtigtes Interesse belegen, etwa Namens- oder Kennzeichenrechte (DENIC eG). Über die Rechtmäßigkeit des Anspruchs entscheidet die DENIC dabei ausdrücklich nicht. Für die normale Inventur ist das kein Werkzeug, sondern der Notnagel für den seltenen Ernstfall.
Providerwechsel und Inhaberwechsel: wie es abläuft
Angenommen, die Prüfung ergibt: Die Domain liegt beim alten Dienstleister und soll umziehen. Das ist der Normalfall und technisch unspektakulär. Für .de-Domains gibt es dafür das passwortgeschützte AuthInfo-Verfahren, das die DENIC ausdrücklich so beschreibt, dass die Domain während des Wechsels im Internet erreichbar bleibt (DENIC eG). Die Website geht also nicht offline, nur weil der Provider wechselt - eine Sorge, die uns in Gesprächen ständig begegnet.
- Inhaber beauftragt den aktuellen Provider, eine AuthInfo zu erzeugen. Wichtig: Der Auftrag kommt vom Inhaber - deshalb ist die Frage, wer eingetragen ist, dem Wechsel logisch vorgelagert.
- Der Provider übermittelt die verschlüsselte AuthInfo an die DENIC und teilt sie dem Inhaber mit (DENIC eG).
- Der Inhaber gibt die AuthInfo an den neuen Provider weiter - über einen Weg, der nicht die offene E-Mail-Signatur ist.
- Der neue Provider stellt mit der AuthInfo den Wechselantrag bei der DENIC.
- Stimmt die AuthInfo überein, wird die Domain sofort umgestellt (DENIC eG). Ein Inhaberwechsel kann im selben Schritt mitlaufen.
Ein paar technische Eckdaten, die man kennen sollte, weil sie den Zeitplan bestimmen: Die AuthInfo muss 8 bis 16 Zeichen (DENIC eG) lang sein, wobei leicht verwechselbare Zeichen wie I, l, O, o, 0 und 1 nicht zulässig sind. Die DENIC speichert nur eine verschlüsselte Version, den Hash, und nicht das Passwort im Klartext (DENIC eG). Und: Der Code verfällt nach 30 Tagen (DENIC eG) automatisch und muss dann neu angefordert werden. Wer die AuthInfo im Januar besorgt und den Umzug im März plant, fängt von vorn an.
Wenn kein aktiver Provider mehr da ist
Beim Inhaberwechsel gibt die bisherige Inhaberin ihre Position auf, und ein neuer Inhaber tritt an ihre Stelle - vertraglich endet der alte Domainvertrag mit der DENIC und ein neuer entsteht. Die DENIC nennt dafür zwei Wege: Entweder beauftragen alter und künftiger Inhaber gemeinsam den aktuellen Provider, der die Inhaberdaten aktualisiert. Oder der Wechsel läuft zusammen mit dem Providerwechsel über die AuthInfo, sodass Provider- und Inhaberwechsel in einem Schritt erfolgen (DENIC eG). In der Praxis ist der zweite Weg der bequemere, wenn ohnehin umgezogen wird.
Erreichbarkeit bleibt
Das AuthInfo-Verfahren ist darauf ausgelegt, dass die Domain während des Wechsels erreichbar bleibt (DENIC eG). Was Ausfälle verursacht, sind meist ungeplante DNS- und Mail-Umstellungen drumherum - nicht der Wechsel selbst.
Zeitfenster einplanen
Die AuthInfo gilt 30 Tage (DENIC eG). Läuft der Weg über ein Einschreiben, kommen Postlaufzeiten dazu. Wer den Wechsel an einen festen Termin koppelt, plant Puffer ein - vor allem, wenn E-Mail mitzieht.
E-Mail mitdenken
Am Domainumzug hängen oft Postfächer. Was dabei zu beachten ist, steht in unserem Beitrag zur professionellen E-Mail mit eigener Domain - Postfächer sichern, bevor irgendetwas umgestellt wird.
Die Zugangs-Inventur: sechs Türen, ein Schlüsselbund
Der zweite Teil der Inventur ist der undankbarste, weil er nach Bürokratie aussieht und trotzdem entscheidend ist. Eine Website hängt nicht an einem Zugang, sondern an sechs - und sie liegen fast nie beim selben Anbieter. Die Frage lautet nicht: "Haben wir irgendwo ein Passwort?", sondern: "Kommen wir heute, ohne jemanden anzurufen, in jede dieser sechs Türen?"
Domain-Verwaltung
Das Konto beim Provider, über das die Domain verwaltet wird: Hier wird die AuthInfo erzeugt, hier stehen die Inhaberdaten. Der wichtigste Zugang von allen - und der, den am seltensten jemand im Haus hat.
Hosting und Server
Wo die Dateien liegen: Kundenkonto beim Hoster, FTP oder SFTP, Datenbank. Ohne diesen Zugang gibt es kein Backup und keinen Umzug. Was gutes Webhosting leisten muss, beschreiben wir separat.
DNS-Einträge
Die Verteilerstelle: Sie entscheidet, welcher Server die Website ausliefert und wohin E-Mails gehen. DNS liegt manchmal beim Domain-Provider, manchmal beim Hoster, manchmal bei einem Dritten.
CMS-Administration
Der Redaktionszugang mit Administratorrechten. Ein Redakteurskonto reicht nicht: Ohne Adminrechte lassen sich weder Benutzer verwalten noch Erweiterungen aktualisieren.
E-Mail-Postfächer
Postfächer und Weiterleitungen - inklusive der Frage, welche Adresse eigentlich in den Domaindaten hinterlegt ist. Häufig ist es eine, die niemand mehr abruft.
Analyse-Werkzeug
Reichweitenmessung und Statistik. Der Zugang ist selten dringend, aber er trägt Ihre Daten. Wer hier keinen eigenen Administratorzugang hat, verliert bei einem Wechsel die Historie.
Für die Frage, wie man solche Zugänge sauber ordnet, muss man nichts erfinden: Das BSI beschreibt das im IT-Grundschutz im Baustein ORP.4 zum Identitäts- und Berechtigungsmanagement. Zwei Basis-Anforderungen daraus sind für kleine Betriebe unmittelbar praktisch. Erstens muss geregelt sein, wie Benutzerkennungen eingerichtet und gelöscht werden, und jede Kennung muss eindeutig einer Person zugeordnet werden können (BSI, ORP.4.A1). Das ist das Ende des Sammelzugangs "info@", den vier Leute benutzen. Zweitens dürfen Kennungen und Berechtigungen nur nach tatsächlichem Bedarf vergeben werden - Prinzip der geringsten Berechtigungen und Erforderlichkeitsprinzip -, und bei personellen Veränderungen müssen nicht mehr benötigte Kennungen und Berechtigungen entfernt werden (BSI, ORP.4.A2).
- Liste anlegen: Sechs Zeilen, je Zugang: Anbieter, Kontoname, wer im Haus kommt hinein, wer betreut es extern. Mehr braucht die erste Fassung nicht.
- Eigene Accounts statt Sammelkonten: Jede Person bekommt eine eigene Kennung, damit sie eindeutig zuordenbar ist (BSI, ORP.4.A1). Geteilte Logins machen jede spätere Nachvollziehbarkeit unmöglich.
- Firmen-Mail statt privat: Konten auf eine Adresse der eigenen Domain registrieren, nicht auf das private Postfach eines Mitarbeiters oder Dienstleisters. Sonst wandert der Zugang mit der Person aus dem Haus.
- Rechteebenen trennen: Redaktion braucht Redakteursrechte, nicht Administratorrechte. Berechtigungen über den Standard hinaus nur nach Begründung und Prüfung (BSI, ORP.4.A2).
- Dokumentieren und prüfen: Welche Kennungen und Rechteprofile es gibt, muss dokumentiert und regelmäßig darauf geprüft werden, ob es dem tatsächlichen Stand entspricht (BSI, ORP.4.A3). Einmal im Jahr genügt für die meisten Betriebe.
- Austritte nachziehen: Wenn jemand geht - intern oder extern -, werden die Zugänge entfernt (BSI, ORP.4.A2). Das ist der Punkt, der in der Praxis am häufigsten liegen bleibt.
Passwörter: was das BSI dazu sagt
Der Test, der zehn Minuten dauert
Rechte an Texten, Bildern und Code
Der dritte Teil ist der, den am wenigsten Betriebe auf dem Schirm haben. Wer eine Website bezahlt, erwirbt damit nicht automatisch alle Rechte an ihren Inhalten. Das Urheberrecht kennt keinen Verkauf des Urheberrechts selbst; es bleibt beim Urheber. Was übertragen wird, sind Nutzungsrechte. § 31 UrhG formuliert das so: Der Urheber kann anderen das Recht einräumen, sein Werk zu nutzen, und dieses Nutzungsrecht kann als einfaches oder ausschließliches Recht sowie räumlich, zeitlich oder inhaltlich beschränkt eingeräumt werden (§ 31 UrhG). Ein einfaches Nutzungsrecht erlaubt die Nutzung, ohne andere auszuschließen; das ausschließliche Recht berechtigt dazu, das Werk unter Ausschluss aller anderen Personen zu nutzen (§ 31 UrhG).
Texte
Von einer Texterin oder Agentur geschriebene Inhalte sind urheberrechtlich geschützt, wenn sie die nötige Schöpfungshöhe erreichen. Ob Sie sie nach einem Wechsel weiterverwenden dürfen, hängt an den eingeräumten Nutzungsrechten (§ 31 UrhG) - nicht an der Rechnung.
Bilder
Fotos sind auch ohne künstlerischen Anspruch geschützt: § 72 UrhG schützt Lichtbilder in entsprechender Anwendung der Vorschriften für Lichtbildwerke, das Recht steht dem Lichtbildner zu und erlischt fünfzig Jahre nach Erscheinen (§ 72 UrhG). Das gilt auch für das schnelle Baustellenfoto.
Individualcode
Individuell programmierte Teile sind Computerprogramme nach § 69a UrhG - geschützt sind alle Ausdrucksformen einschließlich Entwurfsmaterial, Ideen und Grundsätze dagegen nicht. Auf Qualität oder Ästhetik kommt es für den Schutz ausdrücklich nicht an (§ 69a UrhG).
Die praktisch wichtigste Regel steht in § 31 Abs. 5 UrhG - der Zweckübertragungsregel. Sind die Nutzungsarten nicht ausdrücklich einzeln bezeichnet, bestimmt sich der Umfang des Nutzungsrechts nach dem von beiden Partnern zugrunde gelegten Vertragszweck (§ 31 UrhG). Das gilt auch für die Frage, ob das Recht einfach oder ausschließlich ist und welchen Beschränkungen es unterliegt. Im Klartext: Schweigt der Vertrag, wird im Zweifel eng ausgelegt - der Urheber gibt nur so viel, wie der Vertragszweck erfordert. Wer eine Website beauftragt, wird sie betreiben dürfen; ob er den Code auch weitergeben, ein Schwesterunternehmen damit ausstatten oder die Texte in eine ganz neue Seite übernehmen darf, ist damit noch nicht gesagt.
Auch das ist selten Absicht
Drei Sonderfälle gehören in dieselbe Zeile der Inventurliste. Erstens Stock-Material: Wurden Bilder oder Schriften unter einer Lizenz eingekauft, hängt alles an deren Bedingungen - Lizenzen laufen oft auf den Käufer und sind nicht ohne Weiteres übertragbar. Fragen Sie deshalb nicht nur, ob Sie die Bilder nutzen dürfen, sondern auf wen die Lizenz läuft. Zweitens das Standard-System: Läuft die Seite auf einem verbreiteten Content-Management-System, betrifft die Rechtefrage nicht dessen Kern, sondern die individuell gebauten Teile - Templates, Erweiterungen, Anpassungen. Wo die Grenze zwischen Standard und Individualarbeit liegt, ist einer der Unterschiede zwischen Baukasten und Agenturlösung, den man erst beim Wechsel bemerkt. Drittens maschinell erzeugte Inhalte: Wer Texte oder Bilder von einem KI-Werkzeug erstellen lässt, hat es nicht nur mit der Rechtefrage zu tun, sondern zusätzlich mit der KI-Kennzeichnung ab August 2026 - beides gehört in dieselbe Zeile der Liste.
Auftragsverarbeitung: der Vertrag zum Hosting
Ein Punkt fehlt noch, und er wird gern übersehen, weil er nach Datenschutz und nicht nach Eigentum klingt: Wer Ihre Website hostet, verarbeitet dabei personenbezogene Daten Ihrer Besucher in Ihrem Auftrag - Server-Logs, Formulareingaben, Postfächer. Damit sind Sie der Verantwortliche und der Hoster Ihr Auftragsverarbeiter. Art. 28 Abs. 1 DSGVO verlangt, dass Sie nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten (Art. 28 DSGVO). Und Abs. 3 verlangt einen Vertrag oder ein anderes Rechtsinstrument, das Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt - samt acht Punkten (Art. 28 DSGVO), die geregelt sein müssen.
- a) Weisungsbindung: Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 DSGVO).
- b) Vertraulichkeit: Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 DSGVO).
- c) Sicherheit: Alle nach Art. 32 DSGVO erforderlichen Maßnahmen werden ergriffen (Art. 28 DSGVO).
- d) Unterauftragsverarbeiter: Die Bedingungen für deren Einsatz nach Abs. 2 und 4 werden eingehalten (Art. 28 DSGVO).
- e) Betroffenenrechte: Unterstützung des Verantwortlichen bei Anträgen betroffener Personen (Art. 28 DSGVO).
- f) Pflichten nach Art. 32 bis 36: Unterstützung bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (Art. 28 DSGVO).
- g) Löschung oder Rückgabe: Nach Abschluss der Leistung werden die Daten gelöscht oder zurückgegeben (Art. 28 DSGVO).
- h) Nachweis und Überprüfung: Der Auftragsverarbeiter stellt Informationen zum Nachweis bereit und ermöglicht Überprüfungen (Art. 28 DSGVO).
Zwei Details lohnen den Blick. Der Vertrag ist schriftlich abzufassen, wobei auch ein elektronisches Format zulässig ist (Art. 28 DSGVO) - ein im Kundenkonto abgeschlossener Vertrag genügt also, wenn er inhaltlich passt. Und beim Thema Unterauftragsverarbeiter gilt: Ihr Hoster darf keinen weiteren Auftragsverarbeiter ohne Ihre Genehmigung hinzuziehen; bei einer allgemeinen Genehmigung muss er Änderungen mitteilen und Ihnen die Möglichkeit zum Einspruch geben (Art. 28 DSGVO). Nimmt er einen Unterauftragnehmer hinzu, sind diesem dieselben Datenschutzpflichten aufzuerlegen, und der Auftragsverarbeiter haftet, wenn der Unterauftragnehmer seinen Pflichten nicht nachkommt (Art. 28 DSGVO).
In der Praxis ist das kein großer Akt: Seriöse Hoster stellen einen Auftragsverarbeitungsvertrag bereit, meist als Dokument im Kundenkonto, das per Klick abgeschlossen wird. Der Punkt für Ihre Inventur lautet deshalb nicht "AV-Vertrag aufsetzen", sondern schlicht: Haben wir einen, und liegt er greifbar? Dasselbe gilt für jeden weiteren Dienst, der in Ihrem Auftrag Daten verarbeitet - Mail, Formulare, Reichweitenmessung. Ein AV-Vertrag ist übrigens kein Sicherheitsnachweis, sondern die dokumentierte Grundlage; was technisch abzusichern ist, gehört in die laufende Wartung der Website. Und wie die Datenverarbeitung nach außen erklärt wird, ist wiederum Thema von Datenschutzerklärung und Cookie-Banner - ein eigenes Kapitel, das mit der Eigentumsfrage nichts zu tun hat.
Die Inventur an einem Nachmittag
Fassen wir das Ganze in eine Liste, die Sie ohne uns abarbeiten können. Sie brauchen dafür ein Dokument, Zugriff auf Ihre Unterlagen und die Bereitschaft, zwei oder drei unangenehme Fragen zu stellen. Die meisten Betriebe kommen in einem Nachmittag durch; was danach offen bleibt, ist meistens genau der Punkt, der es wert war.
- Domain prüfen: Domainabfrage der DENIC aufrufen. Bei juristischen Personen sehen Sie den Inhaber direkt, bei natürlichen Personen fragen Sie den angezeigten Provider (DENIC eG).
- Inhaberdaten aktualisieren: Anschrift, E-Mail und - seit dem 6. Dezember 2025 verpflichtend - Telefonnummer auf Stand bringen (DENIC eG). Falsche Daten können bis zur Dekonnektierung führen.
- Inhaberwechsel anstoßen, falls jemand anderes eingetragen ist: über den aktuellen Provider oder zusammen mit dem Providerwechsel per AuthInfo (DENIC eG).
- Sechs Zugänge testen: Domain-Verwaltung, Hosting, DNS, CMS-Admin, E-Mail, Analyse. Einloggen, nicht nur nachschlagen.
- Konten auf Firmen-Mail umstellen und je Person eine eindeutig zuordenbare Kennung anlegen (BSI, ORP.4.A1).
- Rechte aufräumen: nicht mehr benötigte Kennungen und Berechtigungen entfernen, Rechteprofile dokumentieren und regelmäßig prüfen (BSI, ORP.4.A2, ORP.4.A3).
- Nutzungsrechte schriftlich klären: Welche Nutzungsarten sind für Texte, Bilder und Individualcode eingeräumt? Ohne ausdrückliche Bezeichnung entscheidet der Vertragszweck (§ 31 UrhG).
- Lizenzen prüfen: Auf wen laufen Stock-Bilder und Schriften, und sind sie übertragbar?
- AV-Vertrag ablegen: Für Hosting und jeden weiteren Dienst, der in Ihrem Auftrag Daten verarbeitet - schriftlich, elektronisches Format genügt (Art. 28 DSGVO).
- Datum daruntersetzen und einen Termin in zwölf Monaten eintragen. Eine Inventur, die niemand wiederholt, veraltet genauso wie die, die es nie gab.
Diese Liste ist bewusst kein Verkaufsargument. Sie funktioniert mit jedem Dienstleister und auch ganz ohne. Der Punkt, an dem wir üblicherweise ins Spiel kommen, ist ein anderer: Genau diese Inventur steht am Anfang jedes Relaunchs und jedes Anbieterwechsels. Bevor irgendjemand über Gestaltung, Struktur oder Texte spricht, muss geklärt sein, wem die Domain gehört, wer an die Zugänge kommt und was von den bestehenden Inhalten übernommen werden darf. Wenn Sie diesen Teil ordnen möchten, ohne ihn selbst zu treiben, ist die geordnete Übernahme von Domain, Hosting und Inhalten fester Bestandteil unserer Arbeit beim Website-Relaunch.
Und wenn am Ende herauskommt, dass alles sauber ist - Domain auf den Betrieb, Zugänge im Haus, Rechte geklärt -, dann haben Sie einen Nachmittag investiert und wissen es künftig sicher. Das ist kein schlechtes Ergebnis. Die Betriebe, die uns Jahre später anrufen, weil sie an ihre eigene Adresse nicht mehr herankommen, hätten diesen Nachmittag gern gehabt. Wenn Sie bei einem der Punkte nicht weiterkommen, schauen wir gemeinsam drauf: Ein Erstgespräch klärt meist in zwanzig Minuten, ob überhaupt etwas zu tun ist. Einzelne Rechtsfragen - etwa zu bestehenden Verträgen - gehören im Zweifel anwaltlich geprüft; die technische und organisatorische Seite übernehmen wir.