Der Serverstandort wird häufig als das entscheidende Datenschutzkriterium beim Hosting behandelt. Er ist einer von drei, und nicht der wichtigste. Diese Seite ordnet ein, was die DSGVO beim Hosting tatsächlich verlangt.
Die drei Anforderungen
1. Vertrag zur Auftragsverarbeitung
Der Hoster verarbeitet personenbezogene Daten in Ihrem Auftrag: IP-Adressen in Logdateien, Formularinhalte, E-Mails, Datenbankinhalte. Damit ist er Auftragsverarbeiter nach Art. 28 DSGVO, und ein entsprechender Vertrag ist verpflichtend.
Bei seriösen Anbietern ist er im Kundenkonto abrufbar oder mit einem Klick abschließbar. Ein Anbieter, der ihn nicht bereitstellt, ist für ein Projekt mit Kontaktformular nicht geeignet.
Der Vertrag gehört abgelegt, weil er bei einer Anfrage vorzulegen ist. Details in AV-Vertrag.
2. Rechtsgrundlage und Standort
Innerhalb der EU und des EWR ist die Verarbeitung gleichgestellt. Ein Server in Irland, Frankreich oder Finnland ist datenschutzrechtlich genauso zu behandeln wie einer in Frankfurt.
Bei einem Standort außerhalb ist zu prüfen, worauf die Übermittlung gestützt wird: ein Angemessenheitsbeschluss der Kommission für das betreffende Land oder Programm, Standardvertragsklauseln mit ergänzender Risikobewertung, oder eine andere Garantie. Diese Prüfung und ihre Dokumentation liegt beim Betreiber der Website, nicht beim Anbieter.
Praktische Folge: Ein Anbieter mit EU-Standort spart Prüfaufwand und Dokumentation. Das ist der eigentliche Grund, EU-Hosting zu bevorzugen, nicht ein pauschales Verbot.
3. Transparenz in der Datenschutzerklärung
In die Erklärung gehören: der Hoster als Auftragsverarbeiter, der Serverstandort, die verarbeiteten Kategorien, Zweck und Rechtsgrundlage, sowie die Speicherdauer der Logdaten. Bei Drittlandbezug zusätzlich die Grundlage der Übermittlung.
Ein häufiger Fehler ist die Vorlage, die einen Hoster benennt, der nicht eingesetzt wird. Das ist eine falsche Angabe und damit schlechter als eine knappe richtige. Siehe DSGVO für Websites.
Wo Daten beim Hosting anfallen
| Ort | Daten | Anmerkung |
|---|---|---|
| Server-Logdateien | IP-Adresse, Zeitpunkt, Adresse, Browser | Speicherdauer begrenzen, 30 Tage sind üblich |
| Kontaktformular | alle eingegebenen Angaben | Empfänger und Löschfrist festlegen |
| E-Mail-Postfächer | vollständige Korrespondenz | häufig unterschätzte Datenmenge |
| Datenbank | Inhalte, Benutzerkonten, Kommentare | bei einem CMS relevant |
| Backups | Kopien von allem oben | Speicherort und Aufbewahrungsfrist prüfen |
| CDN | IP-Adressen der Besucher | eigener Auftragsverarbeiter |
Die Zeile zu den Backups wird regelmäßig übersehen. Liegen Backups bei einem anderen Anbieter oder in einer anderen Region, ist das eine zusätzliche Verarbeitung mit eigenem Prüfbedarf.
Praktische Prüfliste vor dem Vertragsabschluss
- Auftragsverarbeitungsvertrag im Kundenbereich gefunden, nicht nur zugesagt
- Serverstandort in den Vertragsunterlagen benannt, nicht nur im Werbetext
- Unterauftragsverarbeiter aufgeführt, mit deren Standorten
- Backup-Standort geklärt
- Löschfristen für Logdaten benannt oder einstellbar
- Verfahren bei Datenschutzvorfällen beschrieben
- CDN-Nutzung geklärt, sofern eines im Tarif enthalten ist
Punkt 3 ist der, der am häufigsten Überraschungen bringt: Ein deutscher Anbieter kann Unterauftragsverarbeiter außerhalb der EU einsetzen, etwa für Support-Werkzeuge oder Spamfilter.
Was der Serverstandort nicht löst
Ein EU-Server macht eine Website nicht datenschutzkonform. Die häufigeren Probleme liegen anderswo:
- Schriften von einem fremden Server geladen, wodurch bei jedem Aufruf Daten übertragen werden. Siehe Google Fonts lokal.
- Karten- und Videoeinbettungen, die beim Seitenaufruf laden statt nach einem Klick.
- Analysewerkzeuge ohne Einwilligung, wo eine nötig wäre.
- Formulardienste ohne Auftragsverarbeitungsvertrag.
- Empfehlungs- und Werbenetzwerke, die in der Erklärung fehlen.
Diese fünf Punkte verursachen in der Praxis mehr Beanstandungen als der Serverstandort. Ein Projekt, das sie sauber löst und bei einem EU-Hoster liegt, ist auf der sicheren Seite. Ein Projekt mit deutschem Server und eingebetteten Fremdinhalten ohne Einwilligung ist es nicht.