Managed Hosting DSGVO-konform: Was Server und Anbieter leisten müssen
Managed Hosting nimmt Ihnen viel Arbeit ab. Der Anbieter pflegt den Server, spielt Updates ein und überwacht den Betrieb. Viele Unternehmen glauben, damit sei auch der Datenschutz erledigt. Das stimmt so nicht. Managed Hosting ist nicht automatisch DSGVO-konform. Die Verantwortung für personenbezogene Daten bleibt bei Ihnen. Der Anbieter arbeitet nur in Ihrem Auftrag.
Dieser Artikel zeigt, wann Managed Hosting DSGVO-konform ist und was der Anbieter dafür leisten muss. Und welche Punkte Sie im Vertrag prüfen sollten, bevor Sie unterschreiben.
Warum das Hosting Ihr Datenschutzproblem ist
Sobald Ihre Anwendung Kundendaten speichert, verarbeitet der Hoster diese Daten mit. E-Mail-Adressen, Bestellungen, Log-Dateien mit IP-Adressen: alles liegt auf seinen Servern. Die DSGVO nennt das Auftragsverarbeitung. Sie bleiben der Verantwortliche. Der Hoster ist Ihr Auftragsverarbeiter.
Das hat eine unbequeme Folge. Wenn der Anbieter schlampt, haften Sie mit. Eine Aufsichtsbehörde wendet sich zuerst an Sie, nicht an Ihren Hoster. Sie müssen belegen können, dass Sie den Anbieter sorgfältig ausgewählt haben. Ohne Vertrag und ohne Nachweise wird das schwierig.
Bei älteren Anwendungen kommt ein zweites Risiko dazu. Alte Software ist oft selbst ein Sicherheitsrisiko. Ein guter Hoster schirmt davor einiges ab, etwa mit einer Firewall vor der Anwendung. Ein schlechter Hoster macht die Lage schlimmer.
Der Serverstandort: die erste Frage an jeden Anbieter
Die DSGVO gilt für Daten von Menschen in der EU. Liegen diese Daten auf Servern außerhalb der EU, wird es kompliziert. Dann liegt ein sogenannter Drittlandtransfer vor. Der ist nur unter Bedingungen erlaubt, die Sie nachweisen müssen.
Besonders heikel sind US-Anbieter. Der amerikanische CLOUD Act verpflichtet sie, Behörden Zugriff auf Daten zu geben. Das gilt auch für Server, die physisch in Frankfurt stehen. Die Rechtsgrundlagen für den Datentransfer in die USA sind zudem mehrfach gekippt worden. Wer sich darauf verlässt, baut auf unsicherem Grund.
Die einfachste Lösung: ein Anbieter mit Sitz in der EU und Servern in Deutschland oder der EU. Damit entfällt die ganze Drittland-Diskussion. Was bei Hosting über Grenzen hinweg sonst noch zu beachten ist, haben wir im Artikel über internationales Managed Hosting beschrieben.
Fragen Sie trotzdem nach. Manche Anbieter werben mit deutschem Standort, lassen aber Support oder Monitoring aus Drittländern erledigen. Auch das ist ein Datenzugriff und damit relevant.
Ohne AVV kein konformes Hosting
Der Auftragsverarbeitungsvertrag, kurz AVV, ist das zentrale Dokument. Er regelt, was der Hoster mit Ihren Daten tun darf. Die DSGVO schreibt ihn in Artikel 28 zwingend vor. Kein AVV bedeutet: Ihr Hosting ist nicht DSGVO-konform. Egal wie gut die Technik ist.
Ein brauchbarer AVV regelt mindestens diese Punkte:
- Gegenstand, Dauer und Zweck der Verarbeitung
- Art der Daten und Kategorien der betroffenen Personen
- Weisungsbindung: der Hoster handelt nur auf Ihre Anweisung
- Subunternehmer: wer noch beteiligt ist und wo diese sitzen
- Unterstützung bei Auskunfts- und Löschanfragen Ihrer Kunden
- Löschung oder Rückgabe der Daten nach Vertragsende
- Ihre Kontrollrechte gegenüber dem Anbieter
Seriöse Anbieter stellen den AVV von sich aus bereit, oft zum Abruf im Kundenbereich. Wenn Sie danach fragen müssen und ausweichende Antworten bekommen, ist das ein Warnsignal.
Prüfen Sie besonders die Liste der Subunternehmer. Dort versteckt sich häufig ein US-Clouddienst für Backups oder Monitoring. Dann haben Sie das Drittlandproblem durch die Hintertür wieder im Haus.
Technik: was der Anbieter nachweisen muss
Die DSGVO verlangt technische und organisatorische Maßnahmen, kurz TOMs. Gemeint sind konkrete Schutzvorkehrungen, die der Anbieter dokumentieren muss. Vier Bereiche sollten Sie sich zeigen lassen.
Verschlüsselung
Daten müssen auf dem Weg zum Server verschlüsselt sein, per TLS. Das ist der Standard hinter dem Schloss-Symbol im Browser. Gute Anbieter verschlüsseln zusätzlich die Festplatten. Geht ein Datenträger verloren, bleiben die Daten unlesbar.
Zugriffskontrolle
Wer beim Hoster darf auf Ihren Server? Je weniger Personen, desto besser. Der Zugang sollte über persönliche Konten mit Zwei-Faktor-Authentifizierung laufen. Sammelkonten ohne Zuordnung sind ein Problem. Im Ernstfall lässt sich sonst nicht klären, wer zugegriffen hat.
Protokollierung
Zugriffe auf Systeme und Daten müssen nachvollziehbar sein. Der Anbieter sollte protokollieren, wer wann was geändert hat. Diese Protokolle brauchen Sie, falls eine Behörde nach einem Vorfall Auskunft verlangt.
Backups
Backups sind Pflicht, aber auch sie enthalten personenbezogene Daten. Sie müssen verschlüsselt sein und in die Löschkonzepte einbezogen werden. Wenn ein Kunde Löschung verlangt, dürfen seine Daten nicht ewig im Backup weiterleben. Fragen Sie auch, ob die Wiederherstellung regelmäßig getestet wird.
Ein Anhaltspunkt für gute Prozesse ist eine Zertifizierung nach ISO 27001. Sie ist kein DSGVO-Nachweis, zeigt aber, dass der Anbieter Sicherheit systematisch betreibt.
Datenpannen: die 72-Stunden-Frage
Bei einer Datenpanne müssen Sie die Aufsichtsbehörde binnen 72 Stunden informieren. Diese Frist läuft, sobald der Vorfall bekannt ist. Das funktioniert nur, wenn Ihr Hoster Vorfälle unverzüglich an Sie meldet.
Genau das gehört vertraglich geregelt. Prüfen Sie, welche Melde- und Reaktionszeiten der Anbieter zusagt. Was solche Zusagen wert sind und wo die Grenzen liegen, erklärt unser Artikel über SLAs und 99,9 Prozent Verfügbarkeit.
Sonderfall Legacy: alte Anwendung, aktuelle Pflichten
Die DSGVO nimmt keine Rücksicht auf das Alter Ihrer Software. Eine Anwendung von 2010 muss dieselben Anforderungen erfüllen wie ein Neubau. Das Hosting kann hier viel auffangen: aktuelle Server, saubere Zugriffskontrolle, verschlüsselte Backups.
Dafür braucht es aber einen Anbieter, der mit Altsystemen umgehen kann. Nicht jeder Hoster betreibt noch ältere PHP-Versionen in einer abgesicherten Umgebung. Worauf es dabei ankommt, zeigt unser Beitrag über Managed Hosting für Legacy-Projekte.
Checkliste vor der Unterschrift
Sechs Fragen, die Sie jedem Anbieter stellen sollten:
- Wo stehen die Server und wo sitzt das Unternehmen?
- Liegt ein AVV vor und wer sind die Subunternehmer?
- Wie ist der Zugriff auf meine Systeme geregelt und protokolliert?
- Sind Übertragung, Festplatten und Backups verschlüsselt?
- Wie schnell werde ich bei einem Sicherheitsvorfall informiert?
- Was passiert mit meinen Daten nach Vertragsende?
Wer auf diese Fragen klare, schriftliche Antworten bekommt, hat einen brauchbaren Kandidaten. Wer Ausflüchte hört, sollte weitersuchen.
Fazit: Konformität ist prüfbar
Managed Hosting DSGVO-konform zu betreiben ist keine Kunst. Es ist Handwerk: EU-Standort, sauberer AVV, dokumentierte Technik, klare Meldewege. Jeder dieser Punkte lässt sich vor Vertragsschluss prüfen. Was DSGVO-Compliance insgesamt umfasst, erklärt unser Glossar.
Sie sind unsicher, ob Ihr aktuelles Hosting diese Punkte erfüllt? Oder Sie suchen ein Managed Hosting, das auch mit älteren Anwendungen zurechtkommt? Wir schauen uns Ihre Situation an und sagen Ihnen ehrlich, wo Sie stehen. Sprechen Sie uns an. Das Erstgespräch ist kostenlos.
