DSGVO und Hosting: Vertrag sauber prüfen

DSGVO-konformes Hosting entsteht nicht allein durch einen Serverstandort in der EU. Entscheidend sind klar verteilte Rollen, ein belastbarer Auftragsverarbeitungsvertrag, nachgewiesene technische und organisatorische Maßnahmen, eine transparente Unterauftragnehmerkette sowie geprüfte Drittlandzugriffe, Löschwege und Unterstützung bei Datenschutzverletzungen. Diese Prüfung bleibt immer vom konkreten Verarbeitungsvorgang abhängig.

Dieser Leitfaden bietet eine technische und vertragliche Prüflogik, aber keine Rechtsberatung. Bei besonderen Datenkategorien, umfangreicher Überwachung, internationalen Konzernstrukturen oder unklaren Rollen sollten Datenschutzbeauftragte beziehungsweise fachkundige Rechtsberatung den konkreten Vorgang bewerten.

Klären Sie zuerst die Rollen je Verarbeitung

Die DSGVO unterscheidet nicht nach Produktnamen, sondern nach tatsächlicher Entscheidungsmacht. Der Verantwortliche bestimmt Zwecke und wesentliche Mittel der Verarbeitung. Ein Auftragsverarbeiter verarbeitet personenbezogene Daten in dessen Auftrag und nach dokumentierten Weisungen.

Beim üblichen Webhosting entscheidet das Unternehmen hinter der Website, warum Kunden-, Kontakt- oder Nutzungsdaten verarbeitet werden. Der Hoster stellt Infrastruktur und Betriebsleistungen bereit. Das spricht für Auftragsverarbeitung, ist aber keine automatische Einordnung für jede Tätigkeit.

Ein Anbieter kann je Vorgang unterschiedliche Rollen haben. Für gehostete Website-Daten kann er Auftragsverarbeiter sein; für eigene Abrechnung, Betrugsabwehr oder gesetzliche Aufbewahrungspflichten kann eine eigenständige Verantwortung zu prüfen sein. Eine einzige Rollenbezeichnung für den gesamten Vertrag ist oft zu grob.

Notieren Sie vor dem Anbietercheck:

welche personenbezogenen Daten in Website, Datenbank, Protokollen und Sicherungen liegen,
zu welchen Zwecken sie verarbeitet werden,
wer Zwecke, Aufbewahrung und Zugriffsregeln festlegt,
welche Leistungen der Hoster und weitere Dienstleister tatsächlich erbringen.

Der AVV muss den Betrieb beschreiben

Die DSGVO-Regelung zur Auftragsverarbeitung verlangt einen bindenden Vertrag oder ein entsprechendes Rechtsinstrument. Ein bloßer Hinweis auf Datenschutz in allgemeinen Geschäftsbedingungen reicht für die Prüfung nicht. Der AVV muss den konkreten Auftrag und die Pflichten des Auftragsverarbeiters abbilden.

Prüfen Sie Inhalt statt Dateiname. Der Vertrag sollte Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, Kategorien betroffener Personen sowie Rechte und Pflichten des Verantwortlichen benennen. Dazu gehören Verarbeitung auf Weisung, Vertraulichkeit, Sicherheit, Unterauftragnehmer, Unterstützung, Nachweise und der Umgang mit Daten nach Vertragsende.

Prüfpunkt	Was im Vertrag oder Anhang stehen sollte	Warnsignal
Leistungsumfang	Systeme, Datenarten, Zwecke und Laufzeit	pauschale Formulierungen ohne Bezug zum Produkt
Weisungen	Form, Kontaktweg und Behandlung unzulässiger Weisungen	nur mündliche oder nicht nachvollziehbare Prozesse
Unterstützung	Betroffenenrechte, Sicherheitsvorfälle und Prüfungen	Hilfe nur nach freiem Ermessen
Vertragsende	Rückgabe, Löschung, Sicherungskopien und Fristen	keine Aussage zu Kopien und Aufbewahrung
Nachweise	verfügbare Berichte, Prüfungen und Ansprechpartner	Werbeversprechen ohne prüfbare Unterlagen

Ein Standardvertrag kann die gesetzlichen Punkte gut abdecken. Entscheidend ist dennoch, ob Anhänge, Produktbeschreibung und tatsächlicher Betrieb zusammenpassen. Ein AVV für ein Rechenzentrum sagt wenig über einen zusätzlich gebuchten Supportdienst aus, wenn dessen Zugriffsweg nicht erfasst wird.

Prüfen Sie TOMs als Risikomodell

Technische und organisatorische Maßnahmen sind kein fester Katalog, der für jede Website gleich aussieht. Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Deshalb muss der Anbieter erklären können, welche Maßnahmen für Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit gelten und wie ihre Wirksamkeit geprüft wird.

Fragen Sie nach konkreten Betriebsnachweisen statt nach einem allgemeinen Sicherheitsblatt. Relevant sind beispielsweise Zugriffsrollen, Mehrfaktor-Authentisierung für privilegierte Konten, Verschlüsselung, Schlüsselverwaltung, Mandantentrennung, Patchprozesse, Wiederherstellung, Überwachung, Protokollschutz und regelmäßige Tests.

Zertifikate und Prüfberichte können Garantien stützen, ersetzen aber nicht die Zuordnung zum gebuchten Dienst. Kontrollieren Sie Geltungsbereich, betrachtete Standorte, einbezogene Gesellschaften, Ausnahmen und Gültigkeit. Ein Prüfzeichen für das Rechenzentrum beweist nicht automatisch, dass Supportzugriffe, Backups und Verwaltungsportal denselben Umfang haben.

Unterauftragnehmer gehören in eine lebende Liste

Hosting besteht selten aus nur einer Gesellschaft. Rechenzentrum, Support, Netzbetrieb, Angriffsschutz, E-Mail-Versand, Sicherung oder Überwachung können weitere Auftragsverarbeiter einbeziehen. Die DSGVO verlangt hierfür eine vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen.

Bei allgemeiner Genehmigung muss der Auftragsverarbeiter über beabsichtigte Änderungen informieren, damit der Verantwortliche widersprechen kann. Prüfbar ist daher nicht nur die aktuelle Liste, sondern auch der Änderungsprozess: Vorlauf, Benachrichtigungskanal, Widerspruchsweg und Folgen eines berechtigten Einwands.

Die Liste sollte mindestens Unternehmen, Aufgabe und Verarbeitungsort verständlich zuordnen. Konzernnamen ohne konkrete Leistung helfen wenig. Ebenso unzureichend ist eine Seite, die sich jederzeit ändern darf, ohne dass Bestandskunden eine nachvollziehbare Mitteilung erhalten.

Datenstandort und Datenzugriff sind zwei Fragen

Ein Rechenzentrum in Deutschland, Österreich oder einem anderen EWR-Staat kann die Prüfung vereinfachen. Es beantwortet aber nur, wo Daten gespeichert oder verarbeitet werden. Entscheidend ist auch, von wo und durch wen auf die Daten zugegriffen werden kann.

Supportpersonal, zentrale Verwaltungsplattformen, Sicherheitsdienste oder Konzerngesellschaften können außerhalb des EWR sitzen. Auch ein Fernzugriff kann für die Transferprüfung relevant sein. Lassen Sie sich deshalb Produktionsdaten, Sicherungen, Protokolle, Metadaten, Supportzugriffe und Verwaltungsdienste getrennt beschreiben.

Die Prüfung folgt der tatsächlichen Verarbeitung: Wer entscheidet, wer verarbeitet, wer noch zugreifen kann und was bei Wechsel oder Vorfall geschieht. Die Grafik zeigt diese Dokumentenkette, ohne einem Anbieter eine rechtliche Konformität zu bescheinigen.

Ein Standortversprechen genügt nicht: Entscheidend sind Vertrag, Verarbeitungskette, Zugriff und ein belastbarer Ausstieg.

Drittlandtransfers brauchen einen belastbaren Mechanismus

Für eine Übermittlung außerhalb des EWR ist zunächst zu klären, ob ein Angemessenheitsbeschluss der Europäischen Kommission den Empfängerstaat abdeckt. Fehlt ein solcher Beschluss, kommen geeignete Garantien wie Standardvertragsklauseln in Betracht. Der Vertrag muss zum tatsächlichen Transferszenario passen.

Standardvertragsklauseln sind kein Freifahrtschein. Die beteiligten Parteien müssen die konkrete Übermittlung, die Rechtslage im Zielland und die Wirksamkeit der Garantien beurteilen. Diese Prüfung wird häufig als Transfer Impact Assessment bezeichnet. Wenn das erforderliche Schutzniveau sonst nicht erreicht wird, sind zusätzliche technische, vertragliche oder organisatorische Maßnahmen nötig.

Für Hosting ist dabei praktisch zu fragen:

welche Daten und Schlüssel den EWR verlassen oder von außen erreichbar sind,
welcher Empfänger und welches Land betroffen sind,
auf welchem Transferinstrument die Verarbeitung beruht,
ob Verschlüsselung oder Pseudonymisierung einen Zugriff wirksam begrenzt,
wie Änderungen von Rechtslage, Empfängern und Zugriffen erneut bewertet werden.

Eine Verschlüsselung hilft nur, wenn Schlüsselverwaltung und Verarbeitungszweck die behauptete Trennung tatsächlich erlauben. Muss ein Dienstleister Daten im Klartext verarbeiten, darf ein Papierverweis auf Verschlüsselung dieses Betriebsmodell nicht verdecken.

Vorfälle brauchen eine vertragliche Meldekette

Ein Auftragsverarbeiter muss den Verantwortlichen nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten unverzüglich informieren. Der Verantwortliche benötigt diese Information, um Risiko, Behördenmeldung und gegebenenfalls Kommunikation mit Betroffenen zu bewerten.

Der AVV sollte daher Ansprechpartner, erreichbaren Meldeweg und Mindestinformationen festlegen. Dazu gehören Art des Vorfalls, betroffene Systeme und Daten, bekannte Folgen, ergriffene Maßnahmen und laufende Aktualisierungen. Eine allgemeine Supportwarteschlange ist kein belastbarer Notfallkanal.

Klären Sie zusätzlich, wer Protokolle sichert, Beweise erhält, Zugriffe sperrt und Wiederherstellung begleitet. Der Hoster unterstützt; die Entscheidung über gesetzliche Meldungen bleibt bei der jeweils verantwortlichen Stelle. Bei mehreren Unterauftragnehmern muss die Information ohne vermeidbare Verzögerung durch die Kette gelangen.

Protokolle und Sicherungen sind Teil der Verarbeitung

Zugriffsprotokolle, Datenbankkopien und Sicherungsarchive können personenbezogene Daten enthalten. Sie gehören deshalb in Verzeichnis, Aufbewahrungskonzept, Zugriffsschutz und Löschprozess. Ein Anbieter sollte erklären können, welche Protokolle er für Betrieb und Sicherheit führt, wie lange sie verfügbar bleiben und wer sie auswerten darf.

Bei Sicherungen kollidiert sofortiges Löschen häufig mit unveränderlichen Aufbewahrungszyklen. Das ist nicht automatisch unzulässig, muss aber transparent und begrenzt sein. Fragen Sie, wann gelöschte Produktionsdaten aus Sicherungen verschwinden, ob Rücksicherungen Löschungen erneut einspielen können und welche Sperr- oder Nachlöschprozesse gelten.

Wiederherstellbarkeit ist zugleich Sicherheits- und Datenschutzthema. Ein Restore-Test muss Datenzugriff begrenzen und darf keine vergessenen Kopien erzeugen. Prüfen Sie, ob der Anbieter Wiederherstellung, Protokollierung und anschließende Bereinigung nachvollziehbar dokumentiert.

Planen Sie Rückgabe, Löschung und Anbieterwechsel

Nach Ende der Verarbeitung muss der Auftragsverarbeiter personenbezogene Daten nach Wahl des Verantwortlichen zurückgeben oder löschen, soweit keine gesetzliche Speicherpflicht entgegensteht. Der Vertrag sollte Format, Übergabeweg, Fristen, Kopien und Bestätigung beschreiben.

Ein bequemer Dienst braucht einen belastbaren Ausgang. Exportieren Sie nicht nur Dateien, sondern auch Datenbank, Konfiguration, DNS-Abhängigkeiten, Zertifikate und benötigte Protokolle. Prüfen Sie, ob ein Export während der Vertragslaufzeit möglich ist und ob dafür zusätzliche Zugänge, Zeit oder Kosten entstehen.

Ein sauberer Exit umfasst außerdem Unterauftragnehmer und Sicherungen. Lassen Sie festlegen, wann aktive Daten entfernt werden, wie verbleibende Sicherungskopien behandelt werden und welcher Nachweis verfügbar ist. Ohne diese Punkte kann ein technisch einfacher Umzug datenschutzrechtlich und betrieblich unfertig bleiben.

Prüfliste

Ordnen Sie jede Verarbeitung einer konkreten Rolle zu und dokumentieren Sie Datenarten, Zweck, Zugriff und Aufbewahrung.
Vergleichen Sie AVV, Leistungsbeschreibung und TOM-Anhang auf widerspruchsfreie Pflichten, Nachweise und Unterstützungswege.
Prüfen Sie Unterauftragnehmer, Änderungsmitteilung und Widerspruchsweg einschließlich der Folgen eines Anbieterwechsels.
Erfassen Sie Speicherorte, Fernzugriffe und Drittlandtransfers samt Mechanismus, Bewertung und zusätzlichen Schutzmaßnahmen.
Testen Sie Vorfallmeldung, Datenexport, Rückgabe und Löschung, bevor der Vertrag oder das Projekt endet.

Woran Sie ein ungeeignetes Angebot erkennen

Meiden Sie Angebote, die DSGVO-Konformität ausschließlich mit einem EU-Standort begründen. Ebenso problematisch sind ein fehlender oder unvollständiger AVV, nicht benannte Unterauftragnehmer, unklare Fernzugriffe, allgemeine TOM-Broschüren ohne Produktbezug und ein Exit ohne geregelte Löschung.

Ein passendes Angebot liefert keine Garantie für Ihre gesamte Verarbeitung. Es stellt vielmehr prüfbare Vertrags- und Betriebsbausteine bereit, mit denen der Verantwortliche seine eigene Rechenschaftspflicht erfüllen kann. Die Auswahl bleibt deshalb eine dokumentierte Entscheidung, keine Eigenschaft, die der Produktname allein trägt.

Häufige Fragen

Ist Hosting in einem EU-Rechenzentrum automatisch DSGVO-konform?

Nein. Der Standort ist wichtig, aber auch Rollen, AVV, TOMs, Unterauftragnehmer, Fernzugriffe, Transfermechanismen, Löschung und der konkrete Einsatz müssen passen.

Braucht jede Website einen AVV mit dem Hoster?

Wenn der Hoster personenbezogene Daten im Auftrag verarbeitet, ist grundsätzlich ein AVV nach der DSGVO-Regelung zur Auftragsverarbeitung erforderlich. Die Rollen sind für den konkreten Verarbeitungsvorgang zu beurteilen.

Reichen Standardvertragsklauseln für einen US-Dienstleister aus?

Nicht automatisch. Prüfen Sie das Transferszenario, die Rechtslage im Zielland, die Wirksamkeit der Klauseln und gegebenenfalls zusätzliche Maßnahmen für die konkrete Verarbeitung.

Welche Nachweise sollte ein Hoster vorlegen?

Nützlich sind ein vollständiger AVV, produktbezogene TOMs, die aktuelle Unterauftragnehmerliste, Transferunterlagen, Prüfberichte mit erkennbarem Geltungsbereich sowie dokumentierte Vorfall-, Export- und Löschprozesse.