Warum die DSGVO Ihr Hosting betrifft
Wer eine Website betreibt, braucht DSGVO-konformes Hosting. Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 in der gesamten EU. Sie betrifft praktisch jede Website, denn schon beim Aufruf einer Seite verarbeitet der Server personenbezogene Daten: Die IP-Adresse eines Besuchers gilt nach der Rechtsprechung des Europäischen Gerichtshofs als personenbezogen. Hinzu kommen Daten aus Kontaktformularen, Kundenkonten, Newslettern oder Bestellungen.
Verantwortlich für diese Daten sind Sie als Betreiber der Website. Ihr Hosting-Anbieter verarbeitet die Daten in Ihrem Auftrag. Deshalb hat die Wahl des Anbieters direkte Folgen für Ihren Datenschutz, und DSGVO-konformes Hosting ist die Grundlage jeder datenschutzkonformen Website.
Anforderungen an DSGVO-konformes Hosting
Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO brauchen Sie mit Ihrem Hosting-Anbieter einen Vertrag zur Auftragsverarbeitung. Darin ist geregelt, wofür der Anbieter die Daten verwenden darf, welche Schutzmaßnahmen er trifft, welche Subunternehmer er einsetzt und was nach Vertragsende mit den Daten geschieht. Seriöse Anbieter stellen den AVV in der Kundenverwaltung bereit, oft zum Abschluss per Klick. Fehlt der AVV, liegt der Verstoß bei Ihnen als Verantwortlichem.
Serverstandort und Datenübermittlung in Drittländer
Die DSGVO verlangt keinen Serverstandort in Deutschland. Innerhalb der EU und des Europäischen Wirtschaftsraums dürfen Daten frei fließen. Problematisch wird es bei Übermittlungen in Drittländer außerhalb der EU. Dafür braucht es eine Grundlage nach Art. 44 ff. DSGVO, etwa einen Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln.
Für die USA gilt seit Juli 2023 das EU-U.S. Data Privacy Framework. Übermittlungen an US-Unternehmen, die danach zertifiziert sind, sind damit grundsätzlich zulässig. Ob dieser Rahmen dauerhaft Bestand hat, ist allerdings offen, und US-Anbieter können auch bei Servern in Europa US-Behörden gegenüber zur Herausgabe von Daten verpflichtet sein. Ein Serverstandort in der EU bei einem Anbieter mit Sitz in der EU ist deshalb der einfachste Weg zu DSGVO-konformem Hosting.
Technische und organisatorische Maßnahmen (TOM)
Art. 32 DSGVO verlangt ein angemessenes Schutzniveau. Für Ihr Hosting bedeutet das unter anderem:
- Verschlüsselung: Die Website sollte vollständig per HTTPS erreichbar sein. Ein SSL-Zertifikat ist bei Formularen oder Logins faktisch Pflicht und bei fast allen Anbietern kostenlos.
- Backups: Regelmäßige Sicherungen schützen vor Datenverlust. Klären Sie, wo die Sicherungen liegen und wie lange sie aufbewahrt werden.
- Zugriffsschutz: Sichere Passwörter, Zwei-Faktor-Anmeldung für Kundenkonto und CMS sowie verschlüsselte Zugänge wie SFTP und SSH statt unverschlüsseltem FTP.
- Aktuelle Software: Updates für CMS, Plugins und PHP-Version. Bei Shared Hosting erledigt der Anbieter den Server, für Ihre Anwendung sind Sie selbst zuständig.
- Rechenzentrum: Physischer Zugangsschutz, Brandschutz und Stromversorgung. Zertifizierungen wie ISO/IEC 27001 belegen ein geprüftes Sicherheitsmanagement.
Die meisten Anbieter beschreiben ihre TOM als Anlage zum AVV. Sehen Sie sich diese Anlage an, bevor Sie zustimmen.
Server-Logfiles
Webserver protokollieren standardmäßig jeden Zugriff mit IP-Adresse, Zeit und aufgerufener Seite. Das ist zur Fehlersuche und Abwehr von Angriffen in der Regel durch ein berechtigtes Interesse gedeckt (Art. 6 Abs. 1 lit. f DSGVO), aber nur für einen begrenzten Zeitraum. Viele Anbieter löschen Zugriffslogs nach wenigen Tagen oder kürzen die IP-Adressen. Prüfen Sie die Aufbewahrungsdauer und erwähnen Sie die Logfiles in Ihrer Datenschutzerklärung.
E-Mail-Hosting
Auch Postfächer enthalten personenbezogene Daten, oft sogar sensible. Achten Sie darauf, dass der AVV das E-Mail-Hosting umfasst, die Verbindungen zum Mailserver verschlüsselt sind und der Anbieter Mails zwischen Servern per TLS überträgt.
Was der Hoster nicht für Sie erledigt
DSGVO-konformes Hosting ist eine Voraussetzung, macht Ihre Website aber nicht automatisch datenschutzkonform. Diese Punkte bleiben Ihre Aufgabe:
- Datenschutzerklärung: Sie muss das Hosting, die Logfiles und alle eingebundenen Dienste nennen.
- Einwilligung für Cookies und Tracking: Nach § 25 TDDDG (früher TTDSG) brauchen Sie eine Einwilligung, wenn Sie Informationen auf dem Gerät des Besuchers speichern oder auslesen, die nicht unbedingt erforderlich sind, etwa für Statistik oder Werbung. Für technisch notwendige Cookies ist kein Banner nötig.
- Externe Dienste: Eingebundene Schriftarten, Karten, Videos oder Analysewerkzeuge übertragen oft Daten an Dritte. Binden Sie Schriftarten lokal ein und laden Sie externe Inhalte erst nach Zustimmung.
- Formulare: Fragen Sie nur Daten ab, die Sie wirklich brauchen, und löschen Sie Anfragen, wenn sie erledigt sind.
Checkliste: DSGVO-konformes Hosting auswählen
- ☑ Anbieter mit Sitz in der EU, Server in der EU oder im EWR
- ☑ AVV nach Art. 28 DSGVO verfügbar, inklusive Liste der Subunternehmer
- ☑ TOM dokumentiert, idealerweise Rechenzentrum nach ISO/IEC 27001 zertifiziert
- ☑ kostenloses SSL-Zertifikat und HTTPS für alle Domains
- ☑ regelmäßige Backups mit bekannter Aufbewahrungsdauer und Speicherort
- ☑ kurze Aufbewahrung oder Anonymisierung der Server-Logfiles
- ☑ verschlüsselte Zugänge (SFTP, SSH) und Zwei-Faktor-Anmeldung im Kundenkonto
- ☑ E-Mail-Hosting im AVV enthalten, Transport per TLS
Häufige Fragen zu DSGVO und Hosting
Muss der Server in Deutschland stehen?
Nein. Die DSGVO verlangt keinen deutschen Serverstandort; Server in der EU oder im EWR sind gleichwertig. Ein Standort in Deutschland kann trotzdem sinnvoll sein, etwa wegen kurzer Wege, deutschsprachigem Support oder Vorgaben von Kunden und Berufsverbänden.
Reicht ein AVV allein aus?
Nein. Der AVV regelt das Verhältnis zum Hoster. Ihre Website braucht außerdem eine vollständige Datenschutzerklärung, gegebenenfalls Einwilligungen und sichere Einstellungen der eingesetzten Software.
Was passiert, wenn kein AVV abgeschlossen ist?
Dann fehlt eine Pflicht nach Art. 28 DSGVO. Aufsichtsbehörden können das beanstanden und Bußgelder verhängen. Holen Sie den Abschluss nach, sobald Sie es bemerken; bei den meisten Anbietern geht das in wenigen Minuten online.
Fazit: Worauf es bei DSGVO-konformem Hosting ankommt
Für DSGVO-konformes Hosting brauchen Sie keinen besonderen Tarif, sondern einen Anbieter, der einen AVV anbietet, seine Schutzmaßnahmen offenlegt und die Daten in der EU verarbeitet. Anbieter mit Sitz und Rechenzentrum in Deutschland oder der EU erfüllen das in der Regel ohne Zusatzaufwand. Den Rest, also Datenschutzerklärung, Einwilligungen und den sparsamen Umgang mit externen Diensten, regeln Sie auf Ihrer Website.
Anbieter mit Serverstandort in Deutschland finden Sie in unserer Anbietersuche. Für Berufsgruppen mit besonders sensiblen Daten haben wir eigene Übersichten, etwa für Arztpraxen und Rechtsanwälte. Weitere Begriffe erklärt unser Glossar, zum Beispiel unter DSGVO.
Jetzt Anbieter mit Serverstandort Deutschland finden
Hinweis: Dieser Artikel gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Bei konkreten Fragen wenden Sie sich an Ihren Datenschutzbeauftragten oder einen Fachanwalt.