Drei Antworten entscheiden, ob ein Hosting-Tarif eine DSGVO-Prüfung übersteht: Wo liegen die Daten physisch, was unterschreibt der Anbieter als Auftragsverarbeiter, und wer fasst die Daten sonst noch an. „DSGVO-konformes Hosting“ ist kein Zertifikat, das ein Hoster Ihnen aushändigen kann. Sie sind Verantwortlicher, der Hoster ist Ihr Auftragsverarbeiter, und beim Kauf prüfen Sie, ob er seinen Teil tragen kann.
Wer wofür verantwortlich ist
- Der Hoster (Auftragsverarbeiter): verarbeitet Daten nur auf Ihre Weisung, sichert die Infrastruktur, meldet Verletzungen unverzüglich, gibt Daten bei Vertragsende zurück oder löscht sie und nennt seine Unterauftragsverarbeiter (Artikel 28).
- Sie (Verantwortlicher): Rechtsgrundlage, Datenschutzerklärung, Aufbewahrungsfristen, Auskunfts- und Löschanfragen sowie die Sicherheit Ihrer eigenen Anwendung: Updates, Passwörter, Plugins.
Ein Hoster, der Sie „vollständig konform“ machen will, verkauft einen Slogan. So funktioniert die Verordnung nicht.
Fünf Prüfpunkte vor dem Kauf
- Ein benannter Standort. Fragen Sie nach Stadt und Land. EuroVDC-Server stehen in Sofia, Bulgarien, einem EU-Mitgliedstaat. „Europäische Region“ ist keine Adresse.
- Ein AV-Vertrag. Verlangen Sie ihn vor dem Livegang, nicht nach einem Vorfall. Gibt es keinen veröffentlichten Text, fragen Sie schriftlich nach den geltenden Bedingungen. Bei EuroVDC geht die Anfrage an support@eurovdc.eu.
- Unterauftragsverarbeiter. Wer bearbeitet Support-Tickets, DNS, Backups und den Mailversand? Ihre Datenschutzerklärung muss sie womöglich nennen.
- Backups. Wo die Kopien liegen und wie lange gelöschte personenbezogene Daten darin überleben.
- Ausstieg. Wie Sie Ihre Daten exportieren und wann der Anbieter löscht.
Anbieteraussagen richtig lesen
| Aussage | Nächste Frage | Warnsignal |
|---|---|---|
| „DSGVO-zertifiziertes Hosting“ | Zertifiziert wofür und von wem? | Ein Siegel ersetzt den Vertrag |
| „EU-Rechenzentren“ | Welche Stadt und welches Land für meinen Tarif? | Nur „EU-Region“ |
| „Voll konform“ | Wessen Konformität, Ihre oder meine? | Der Hoster übernimmt Ihre Rechtsgrundlage |
| „Backups inklusive“ | Wo gespeichert, und wurde eine Wiederherstellung getestet? | Gleiche Platte, keine Restore-Probe |
Wo Sofia ins Bild passt
Ein benannter EU-Standort beantwortet die erste Frage der meisten Lieferantenfragebögen und hält die Transferprüfung einfach. Er ersetzt weder den Vertrag noch Ihre eigenen Maßnahmen. Für eine kleine CMS-Seite beginnen Sie mit Webhosting, für Root-Zugriff und Isolation mit einem Cloud-Server. Zu den Maßnahmen, die Sie selbst betreiben, lesen Sie DSGVO-Datensicherheit.
Häufige Fragen
Macht EU-Hosting mich DSGVO-konform?
Nein. Es vereinfacht Transferfragen und Einkaufsantworten. Rechtsgrundlage, Informationspflichten und eigene Sicherheit bleiben Ihre Aufgabe.
Brauche ich einen AV-Vertrag mit meinem Hoster?
Ja, sobald der Hoster in Ihrem Auftrag personenbezogene Daten verarbeitet. Dazu zählen gespeicherte Kundendaten, Logs und Postfächer.
Reicht ein DSGVO-Zertifikat?
Ein Siegel sagt nichts über Ihren Vertrag. Fragen Sie, was es abdeckt und wer es ausgestellt hat, und lesen Sie dann den Vertrag selbst.
Was passiert, wenn der Hoster eine Datenpanne hat?
Der Auftragsverarbeiter muss Sie unverzüglich informieren. Als Verantwortlicher bewerten Sie das Risiko und melden bei Bedarf binnen 72 Stunden nach Kenntnis an die Aufsichtsbehörde.
