Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.
Kurz gesagt: Hosting ist nicht dadurch DSGVO-konform, dass der Server in Deutschland steht. Entscheidend sind ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, angemessene technische und organisatorische Maßnahmen, transparente Unterauftragnehmer und eine Rechtsgrundlage für jede Übermittlung außerhalb der EU. Ein deutscher Serverstandort macht vieles einfacher, ersetzt diese Punkte aber nicht.
Muss mein Hosting in Deutschland stehen?
Nein, Hosting muss für die DSGVO nicht in Deutschland sein. Die DSGVO gilt in der ganzen EU und im Europäischen Wirtschaftsraum. Ein Server in Frankreich, den Niederlanden oder Finnland ist datenschutzrechtlich nicht schlechter als einer in Deutschland. Schwieriger wird es bei Anbietern oder Dienstleistern außerhalb der EU, etwa in den USA: Dann braucht jede Übermittlung eine eigene Rechtsgrundlage, zum Beispiel einen Angemessenheitsbeschluss oder Standardvertragsklauseln.
Ein Standort in Deutschland hat trotzdem praktische Vorteile: deutsches Vertragsrecht, deutsche Ansprechpartner und eine einfachere Erklärung gegenüber Ihren Kunden.
1. Der Auftragsverarbeitungsvertrag (AVV)
Sobald auf Ihrem Hosting personenbezogene Daten liegen, zum Beispiel Kontaktformulare, Kundenkonten, Bestellungen oder E-Mails, verarbeitet der Hoster diese Daten in Ihrem Auftrag. Dafür schreibt Art. 28 DSGVO einen Vertrag vor. Er regelt unter anderem:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- dass der Hoster nur nach Ihrer Weisung handelt
- welche Sicherheitsmaßnahmen gelten
- welche Unterauftragnehmer eingesetzt werden
- was nach Vertragsende mit den Daten passiert
Seriöse Hoster stellen den AVV ohne Aufpreis bereit, oft zum Abschluss im Kundenportal. Bei GB Hosting finden Sie ihn hier: Auftragsverarbeitungsvertrag (AVV).
2. Technische und organisatorische Maßnahmen (TOM)
Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist. Fragen Sie Ihren Hoster nach:
- Rechenzentrum: Zertifizierungen wie ISO 27001, Zutrittskontrolle, Brandschutz, redundante Stromversorgung
- Trennung der Kunden: Wie wird verhindert, dass ein anderer Kunde auf Ihre Daten zugreift?
- Verschlüsselung: TLS für alle Verbindungen, verschlüsselte Backups
- Updates: Wer spielt Sicherheitspatches ein, und wie schnell?
- Zugriffsrechte: Wer beim Hoster kann auf Ihre Daten zugreifen, und wird das protokolliert?
3. Unterauftragnehmer
Kaum ein Hoster macht alles selbst. Rechenzentrumsbetreiber, DNS- und CDN-Dienste, Backup-Speicher und Zahlungsdienstleister sind oft Unterauftragnehmer. Sie haben ein Recht darauf zu erfahren, wer das ist und wo diese Dienstleister Daten verarbeiten. Achten Sie besonders auf Dienstleister mit Sitz außerhalb der EU.
4. Backups und Löschung
Backups enthalten dieselben personenbezogenen Daten wie Ihre Website. Klären Sie:
- Wo liegen die Backups (Standort)?
- Wie lange werden sie aufbewahrt?
- Werden sie nach Vertragsende gelöscht, und wann?
5. Ihre eigenen Pflichten
Der Hoster ist nur ein Teil. Für die DSGVO-Konformität Ihrer Website sind Sie selbst verantwortlich, zum Beispiel für:
- Datenschutzerklärung und Impressum
- Einwilligung für Cookies und Tracking, wo erforderlich
- eingebundene Dienste wie Schriftarten, Karten, Videos oder Analyse-Tools, die Daten an Dritte senden
- Verzeichnis von Verarbeitungstätigkeiten
Bei WordPress-Hosting liegt das DSGVO-Risiko deshalb selten beim Server, sondern bei Plugins und eingebundenen Diensten, die Daten an Dritte senden.
Checkliste: Ist mein Hosting DSGVO-konform?
Die DSGVO-Anforderungen an Hosting auf einen Blick, egal ob Webhosting, VPS oder Cloud:
- [ ] AVV nach Art. 28 DSGVO abgeschlossen
- [ ] TOM des Hosters liegen vor
- [ ] Liste der Unterauftragnehmer liegt vor, Drittland-Übermittlungen sind geregelt
- [ ] Server- und Backup-Standort in der EU/im EWR bekannt
- [ ] Aufbewahrung und Löschung der Backups geklärt
- [ ] Datenschutzerklärung nennt den Hoster
- [ ] Eingebundene Drittdienste geprüft
So erfüllt GB Hosting diese Punkte
- Serverstandort: Tier-III-Rechenzentrum in Falkenstein, Backups in Nürnberg
- Rechenzentrum: ISO-27001-zertifiziertes Informationssicherheits-Managementsystem des Betreibers
- Trennung: jede Website in einem eigenen Container, Windows-Server als eigene VM
- AVV: für jeden Tarif ohne Aufpreis, Details zum AVV