Serverstandort und DSGVO: Worauf Website-Betreiber achten

Datenschutz ist beim Webhosting kein Randthema. Jeder Seitenaufruf überträgt die IP-Adresse des Besuchers an den Server, und die meisten Hoster speichern diese in Logdateien. Kontaktformulare, Kommentare, Shops und Mitgliederbereiche verarbeiten weitere Daten. Damit ist der Hoster in aller Regel an der Verarbeitung personenbezogener Daten beteiligt, und Sie als Website-Betreiber sind dafür verantwortlich, dass das rechtmäßig geschieht. Diese Seite erklärt die wichtigsten Punkte. Sie ersetzt keine Rechtsberatung; bei konkreten Fragen wenden Sie sich an eine Datenschutzberatung oder Anwältin beziehungsweise einen Anwalt.

Der Hoster als Auftragsverarbeiter

Nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) verarbeitet ein Dienstleister personenbezogene Daten im Auftrag eines Verantwortlichen, wenn er sie nach dessen Weisung und nicht für eigene Zwecke verarbeitet. Genau das tut ein Webhoster. Daraus folgt:

• Sie schließen mit dem Hoster einen Vertrag zur Auftragsverarbeitung (AV-Vertrag, AVV).
• Der Vertrag regelt unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die technischen und organisatorischen Schutzmaßnahmen sowie den Einsatz von Unterauftragnehmern.
• Sie sollten den Vertrag ablegen und bei Änderungen der Unterauftragnehmer informiert werden.

Dasselbe gilt für weitere Dienste, die Daten Ihrer Besucher verarbeiten: externe Mailanbieter, CDN, Backup-Speicher, Newsletter-Werkzeuge oder Formulardienste.

Warum der Serverstandort zählt

Innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums gilt die DSGVO einheitlich. Ein Hoster mit Rechenzentrum in Deutschland, Österreich, den Niederlanden oder Finnland unterliegt also denselben Regeln. Anders ist es bei einer Verarbeitung in sogenannten Drittländern:

Situation	Was zu prüfen ist
Anbieter und Rechenzentrum in der EU	AV-Vertrag, Schutzmaßnahmen, Unterauftragnehmer
Rechenzentrum in der EU, Mutterkonzern außerhalb	Zusätzlich: mögliche Zugriffe nach ausländischem Recht, vertragliche Zusagen
Verarbeitung in einem Land mit Angemessenheitsbeschluss	Übermittlung auf Grundlage des Beschlusses, Anbieter gegebenenfalls zertifiziert
Verarbeitung in einem Drittland ohne Angemessenheitsbeschluss	Geeignete Garantien wie Standardvertragsklauseln plus Prüfung des Schutzniveaus

Für die USA gilt seit Juli 2023 ein Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Übermittlungen an Unternehmen, die nach diesem Rahmen zertifiziert sind, sind damit grundsätzlich zulässig. Der Beschluss wird jedoch weiter rechtlich und politisch diskutiert, weshalb viele Unternehmen zusätzlich auf Standardvertragsklauseln setzen oder Anbieter mit Verarbeitung ausschließlich in der EU bevorzugen.

Weitere Gründe für einen Standort in der Nähe

Neben dem Datenschutz spricht auch die Technik für einen Standort nahe bei Ihren Besuchern: kürzere Wege bedeuten geringere Latenz und damit schnellere Antwortzeiten. Für eine Website, die sich an Besucher in Deutschland, Österreich und der Schweiz richtet, ist ein Rechenzentrum in Mitteleuropa naheliegend. Für internationale Zielgruppen kann ein CDN die Auslieferung beschleunigen, während die eigentliche Anwendung in der EU bleibt.

Technische und organisatorische Maßnahmen

Art. 32 DSGVO verlangt angemessene Maßnahmen zum Schutz der Daten. Beim Hosting sind das zum Beispiel:

• verschlüsselte Übertragung (HTTPS, SFTP),
• Zugriffsschutz im Rechenzentrum und im Kundenmenü,
• Trennung der Kundenkonten,
• regelmäßige Backups und ein Verfahren zur Wiederherstellung,
• zeitnahe Sicherheitsupdates,
• Protokollierung und begrenzte Aufbewahrung von Logdaten.

Seriöse Hoster beschreiben ihre Maßnahmen in einer Anlage zum AV-Vertrag. Manche verweisen auf Zertifizierungen ihrer Rechenzentren, etwa nach ISO/IEC 27001. Was Sie selbst zur Sicherheit beitragen, steht unter Hosting-Sicherheit.

Server-Logs und Aufbewahrung

Webserver protokollieren Zugriffe, um Fehler zu finden und Angriffe abzuwehren. Diese Logs enthalten in der Regel IP-Adressen. Klären Sie mit dem Hoster, wie lange Logs gespeichert und ob sie gekürzt oder anonymisiert werden. In Ihrer Datenschutzerklärung beschreiben Sie diese Verarbeitung und die Rechtsgrundlage, häufig das berechtigte Interesse an einem sicheren Betrieb.

E-Mail, CDN und weitere Dienste

Eine Website besteht selten nur aus dem Webspace. Prüfen Sie für jeden Dienst Standort, AV-Vertrag und Rechtsgrundlage:

• E-Mail-Postfächer beim Hoster oder bei einem separaten Mailanbieter,
• CDN und DNS-Dienste, die Anfragen Ihrer Besucher entgegennehmen,
• externe Backups in einem Cloud-Speicher,
• Formular- und Newsletter-Dienste,
• eingebettete Inhalte wie Videos, Karten oder Schriftarten von Drittservern; Schriftarten lassen sich meist problemlos selbst hosten.

Datenpannen und Meldepflicht

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, etwa durch einen Hack mit Zugriff auf Kundendaten, müssen Verantwortliche diese nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen besteht. Der Hoster als Auftragsverarbeiter muss Sie unverzüglich informieren, wenn er eine Panne bemerkt. Auch deshalb gehören aktuelle Kontaktdaten ins Kundenkonto.

Checkliste für die Anbieterwahl

1. Sitz des Anbieters und Standort der Rechenzentren bekannt?
2. AV-Vertrag verfügbar und abgeschlossen?
3. Liste der Unterauftragnehmer einsehbar?
4. Technische und organisatorische Maßnahmen beschrieben?
5. Aufbewahrungsdauer der Logs bekannt?
6. Zusatzdienste (Mail, CDN, Backup) ebenfalls geprüft?

Für Unternehmen mit weitergehenden Compliance-Anforderungen beschreibt die Seite Business-Hosting, worauf zusätzlich zu achten ist. Shops finden spezifische Hinweise unter Shop-Hosting.