DSGVO-konformes Hosting für Betriebe: Worauf es wirklich ankommt

"Unsere Server stehen in Deutschland": dieser Satz steht auf vielen Angeboten und klingt beruhigend. Für die DSGVO ist der Serverstandort aber nur ein Baustein von mehreren. Wer als Betrieb Kunden- und Mitarbeiterdaten verarbeitet, trägt Verantwortung, die sich nicht allein durch die Wahl des Rechenzentrums erledigt. Dieser Leitfaden erklärt, worauf es wirklich ankommt, ohne Juristendeutsch.

Warum der Serverstandort nur der Anfang ist

Ein Standort in Deutschland oder der EU ist sinnvoll, weil dann kein Datentransfer in unsichere Drittländer stattfindet und keine fremden Zugriffsgesetze greifen. Aber Datenschutz entsteht nicht durch den Ort allein. Entscheidend ist, wie mit den Daten umgegangen wird: Wer darf zugreifen, wie sind sie gesichert, was passiert bei einem Ausfall und wer haftet. Ein deutscher Server bei einem Anbieter ohne saubere Verträge und Sicherung ist weniger wert als ein EU-Server bei einem sauber aufgestellten Dienstleister.

Der Auftragsverarbeitungsvertrag ist Pflicht

Sobald ein externer Dienstleister für dich personenbezogene Daten verarbeitet (und das tut jeder Hoster), brauchst du einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO. Er regelt, dass der Anbieter die Daten nur in deinem Auftrag und nach deinen Weisungen verarbeitet. Fehlt dieser Vertrag, verstößt du selbst gegen die DSGVO, unabhängig davon, wie gut der Anbieter technisch ist. Frag also immer aktiv nach dem AVV und lass ihn dir vor Vertragsschluss geben.

Wer ist eigentlich verantwortlich?

Ein weit verbreiteter Irrtum: "Der Hoster kümmert sich um den Datenschutz." Rechtlich bist du in der Regel als Betrieb der Verantwortliche im Sinne der DSGVO, der Hoster ist nur Auftragsverarbeiter. Das heißt: Du entscheidest über Zweck und Mittel der Verarbeitung und trägst die Verantwortung gegenüber deinen Kunden und Mitarbeitern. Der Anbieter unterstützt dich technisch, nimmt dir die Verantwortung aber nicht ab. Deshalb solltest du wissen, worauf du achten musst.

Backups: der Punkt, der im Ernstfall zählt

Datenschutz umfasst auch die Verfügbarkeit der Daten. Ein guter Hoster erstellt regelmäßige, automatische Backups und lagert sie, was oft vergessen wird, getrennt vom Hauptsystem. Frag konkret nach:

• Wie oft wird gesichert — täglich, mehrmals täglich?
• Wie lange werden Backups aufbewahrt?
• Werden Backups getrennt gelagert, damit ein Angriff nicht Daten und Sicherung zugleich trifft?
• Wurde die Wiederherstellung schon einmal getestet? Ein Backup, das sich nicht zurückspielen lässt, ist wertlos.

Verschlüsselung und Zugriffe

Zwei technische Mindeststandards solltest du erwarten. Erstens eine verschlüsselte Übertragung per HTTPS, damit Daten auf dem Weg nicht mitgelesen werden können. Zweitens ein sauberes Rechtekonzept: Nicht jeder Mitarbeiter muss alle Daten sehen. Wer nur seine Baustelle betreut, braucht keinen Zugriff auf die Lohndaten des ganzen Betriebs. Je feiner die Rechte gesteuert werden können, desto besser.

Was bei einer Datenpanne zu tun ist

Trotz aller Vorsicht kann etwas schiefgehen: ein gehacktes Postfach, ein verlorenes Notebook, ein versehentlich falsch verschickter Datensatz. Wichtig ist, dass du vorbereitet bist. Bei einer Verletzung des Schutzes personenbezogener Daten mit Risiko für die Betroffenen musst du die zuständige Aufsichtsbehörde grundsätzlich innerhalb von 72 Stunden informieren, in schweren Fällen auch die betroffenen Personen selbst. Ein guter Hoster unterstützt dich dabei mit Protokollen und schneller Information, wenn der Vorfall aus seinem Bereich stammt. Halte intern fest, wer im Ernstfall was tut. Diese wenigen Zeilen sind im Stressmoment Gold wert.

Checkliste für DSGVO-konformes Hosting

• Server in Deutschland oder der EU, keine Datenverarbeitung in unsicheren Drittländern.
• Auftragsverarbeitungsvertrag nach Artikel 28 vorhanden und unterschrieben.
• Regelmäßige, getrennt gelagerte Backups mit getesteter Wiederherstellung.
• Verschlüsselte Übertragung per HTTPS.
• Feingranulares Rechtekonzept für Mitarbeiterzugriffe.
• Klar geregelt, wie du am Ende deine Daten vollständig exportierst.

Fazit

DSGVO-konformes Hosting ist kein Häkchen, sondern ein Zusammenspiel aus Serverstandort, Verträgen, Sicherung und Zugriffsschutz. Die Verantwortung liegt am Ende bei dir als Betrieb. Wer hier auf einen Anbieter setzt, der diese Punkte von sich aus regelt, spart sich Ärger und schläft ruhiger. Bei PixAgentur hosten wir in Deutschland, stellen den Auftragsverarbeitungsvertrag bereit und kümmern uns um Backups und Verschlüsselung, damit du dich auf dein Handwerk konzentrieren kannst. Bei Fragen zu deinem konkreten Setup helfen wir gern weiter.