Hosting und DSGVO: Serverstandort und Auftragsverarbeitung

Sobald deine Website online ist, verarbeitet dein Hoster Daten von Menschen, die du nie gesehen hast: die IP-Adressen in den Zugriffsprotokollen, Nachrichten aus dem Kontaktformular, Kundendaten im Shop, vielleicht die Postfächer deiner Mitarbeiter. Verantwortlich im Sinne der DSGVO bleibst trotzdem du. Der Hoster handelt als Auftragsverarbeiter. Diese Seite zeigt, welche Pflichten daraus folgen, was im Vertrag stehen muss und welche Rolle der Standort des Servers spielt.

Welche Daten beim Hosting anfallen

Schon eine einfache Website ohne Formular kann personenbezogene Daten erzeugen. Jeder Abruf landet mit der IP-Adresse des Besuchers in den Protokollen des Servers. Der Gerichtshof der Europäischen Union hat 2016 im Fall Breyer entschieden, dass eine dynamische IP-Adresse für den Betreiber einer Website ein personenbezogenes Datum sein kann, wenn er rechtliche Mittel hat, den Nutzer über den Zugangsanbieter bestimmen zu lassen ^[10]. Dazu kommen je nach Website Formulardaten, Benutzerkonten, Bestellungen und Kommentare.

Die Datenschutzkonferenz, das Gremium der deutschen Aufsichtsbehörden, zählt in ihrem Kurzpapier Nr. 13 typische Fälle von Auftragsverarbeitung auf. Darunter sind Cloud-Computing ohne inhaltlichen Datenzugriff des Betreibers, die Auslagerung der E-Mail-Verwaltung oder von Datendiensten zu Webseiten wie Kontaktformularen, ausgelagerte Datensicherungen und die Fernwartung, wenn dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen ist ^[2]. Webhosting fällt in aller Regel in eine dieser Gruppen.

Der Vertrag zur Auftragsverarbeitung

Art. 28 DSGVO regelt die Zusammenarbeit. Du darfst nur mit einem Auftragsverarbeiter arbeiten, der hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet ^[1]. Die Verarbeitung muss auf einem Vertrag beruhen, der Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Gruppen der betroffenen Personen festlegt ^[1]. Außerdem muss der Vertrag mindestens diese Pflichten des Hosters enthalten ^[1]:

• Er verarbeitet die Daten nur auf deine dokumentierte Weisung, auch was Übermittlungen in Drittländer betrifft.
• Seine Beschäftigten sind zur Vertraulichkeit verpflichtet.
• Er trifft die Sicherheitsmaßnahmen nach Art. 32 DSGVO.
• Weitere Dienstleister setzt er nur unter den Bedingungen des Art. 28 ein.
• Er unterstützt dich bei Anfragen von Betroffenen, etwa auf Auskunft oder Löschung, und bei deinen Pflichten aus Art. 32 bis 36.
• Nach Vertragsende löscht er die Daten oder gibt sie zurück, nach deiner Wahl.
• Er stellt dir die nötigen Nachweise bereit und lässt Überprüfungen zu, auch Kontrollen vor Ort.

Der Vertrag muss schriftlich vorliegen, ein elektronisches Format genügt ^[1]. Die Datenschutzkonferenz weist darauf hin, dass dafür auch Standardvertragsklauseln der EU-Kommission oder einer Aufsichtsbehörde verwendet werden können ^[2]. Bei vielen Hostern schließt du den Vertrag im Kundenbereich mit wenigen Klicks ab. Speichere ihn mit Datum ab, denn du musst im Zweifel nachweisen können, dass er besteht.

Unterauftragsverarbeiter

Kaum ein Hoster macht alles selbst. Rechenzentrum, Datensicherung oder Support können bei anderen Firmen liegen. Solche weiteren Auftragsverarbeiter darf der Hoster nur mit deiner vorherigen Genehmigung einsetzen, gesondert oder allgemein. Bei einer allgemeinen Genehmigung muss er dich über geplante Änderungen informieren, damit du widersprechen kannst ^[1]. In der Praxis findest du deshalb im Vertrag oder auf einer eigenen Seite eine Liste dieser Unterauftragnehmer. Lies sie, denn dort steht, welche Firmen tatsächlich mit den Daten deiner Besucher arbeiten.

Wenn der Vertrag fehlt

Ein Verstoß gegen Art. 28 kann laut Datenschutzkonferenz mit Geldbußen bis 10 Millionen Euro oder bis 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Das kann den Verantwortlichen und den Auftragsverarbeiter treffen ^[2]. Außerdem muss ein Auftragsverarbeiter eine Datenpanne nach Art. 33 Abs. 2 DSGVO unverzüglich an den Verantwortlichen melden ^[2]. Ohne Vertrag fehlt oft auch der vereinbarte Weg, auf dem diese Meldung bei dir ankommt.

Wartung, Fernzugriff und Berufsgeheimnisse

Nicht nur das reine Hosting fällt unter Art. 28. Betreut ein Dienstleister deine Website per Fernwartung, sucht Fehler oder spielt Updates ein und kann dabei auf personenbezogene Daten zugreifen, ist auch das nach Ansicht der Datenschutzkonferenz Auftragsverarbeitung ^[2]. Anders ist es bei Arbeiten, die nur die Infrastruktur betreffen, etwa an Strom, Kühlung oder Heizung eines Rechenzentrums ^[2]. Wer als Arzt, Anwalt oder in einem anderen Beruf mit Schweigepflicht eine Website mit Patienten- oder Mandantendaten betreibt, muss zusätzlich die Regeln zum Berufsgeheimnis beachten. Der Vertrag zur Auftragsverarbeitung allein erlaubt nicht, solche Geheimnisse offenzulegen ^[2]. Berufsgeheimnisträger dürfen sie externen Dienstleistern nur unter den Voraussetzungen des § 203 Abs. 3 und 4 StGB offenbaren; der Dienstleister unterliegt dann ebenfalls einer strafrechtlich abgesicherten Verschwiegenheitspflicht ^[2].

Sicherheit des Servers

Art. 32 DSGVO verpflichtet dich und den Hoster gleichermaßen zu Sicherheitsmaßnahmen, die zum Risiko passen ^[3]. Das Gesetz nennt als Beispiele die Verschlüsselung und Pseudonymisierung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und regelmäßige Tests der Maßnahmen ^[3]. Für dich heißt das praktisch: Website nur über HTTPS ausliefern, Software aktuell halten, Datensicherungen anlegen und ausprobieren, ob sie sich wieder einspielen lassen. Wie du auf HTTPS umstellst, erklärt Von HTTP auf HTTPS umstellen. Was der Hoster beiträgt, beschreibt er in den technischen und organisatorischen Maßnahmen, die meist als Anlage zum Vertrag gehören.

Serverstandort: EU oder Drittland

Die DSGVO schreibt keinen Serverstandort in Deutschland vor. Sie regelt aber streng, wann personenbezogene Daten in ein Land außerhalb der EU und des EWR gehen dürfen. Nach Art. 44 DSGVO ist das nur zulässig, wenn die Bedingungen des Kapitels V eingehalten werden, auch für spätere Weiterübermittlungen ^[4].

Steht dein Server in der EU, und haben auch die Unterauftragnehmer ihren Sitz und ihre Systeme dort, stellt sich die Frage meist nicht. Prüfen solltest du trotzdem, ob Support oder Datensicherung über Dienstleister in Drittländern laufen. Die Liste der Unterauftragnehmer gibt darüber Auskunft.

Für Übermittlungen in ein Drittland gibt es vor allem zwei Wege:

• Ein Angemessenheitsbeschluss der EU-Kommission. Liegt er vor, braucht die Übermittlung keine besondere Genehmigung ^[5]. Die Kommission prüft solche Beschlüsse mindestens alle vier Jahre und beobachtet die Lage laufend ^[5].
• Geeignete Garantien nach Art. 46 DSGVO, vor allem die Standarddatenschutzklauseln der Kommission. Wer sie verwendet, braucht keine Genehmigung einer Aufsichtsbehörde ^[6].

Hoster aus den USA

Für die USA gilt seit dem 10.07.2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Danach dürfen Daten ohne weitere Garantien an US-Unternehmen gehen, die an diesem Rahmen teilnehmen ^[8]. Der französische Abgeordnete Philippe Latombe klagte dagegen. Das Gericht der Europäischen Union wies die Klage am 03.09.2025 ab und bestätigte, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau boten ^[7]. Die Kommission muss die Rechtslage in den USA laufend beobachten und kann den Beschluss aussetzen, ändern oder aufheben ^[7]. Latombe hat am 31.10.2025 Rechtsmittel beim Gerichtshof eingelegt ^[9]. Die beiden Vorgänger, Safe Harbor und Privacy Shield, hatte der Gerichtshof in den Urteilen Schrems I und Schrems II für ungültig erklärt ^[7].

Nutzt du einen US-Anbieter, frag deshalb nach, auf welche Grundlage er die Übermittlung stützt: Teilnahme am Data Privacy Framework, Standardvertragsklauseln oder beides. Steht beides im Vertrag, bleibt eine Grundlage übrig, falls die andere wegfällt. Bei Diensten, die über die ganze Welt verteilt arbeiten, etwa einem CDN, gilt dasselbe. Die Seite CDN und DSGVO geht darauf genauer ein.

Was in die Datenschutzerklärung gehört

Art. 13 DSGVO verlangt, dass du Besucher bei der Erhebung ihrer Daten informierst, unter anderem über die Empfänger oder Gruppen von Empfängern und über eine geplante Übermittlung in ein Drittland samt Angemessenheitsbeschluss oder Garantien ^[11]. Auftragsverarbeiter sind Empfänger im Sinne der DSGVO, und als Empfänger gehören sie auch in dein Verzeichnis der Verarbeitungstätigkeiten ^[2]. Dein Hoster gehört deshalb in die Datenschutzerklärung. Sitzt er außerhalb der EU oder nutzt er dort Unterauftragnehmer, beschreibst du auch die Übermittlung. Welche Cookies deine Website zusätzlich setzt, kannst du mit dem Cookie-Checker auf cookie.domain-root.de nachsehen.

Prüfliste für deinen Hoster

1. Vertrag zur Auftragsverarbeitung abschließen und mit Datum ablegen.
2. Technische und organisatorische Maßnahmen des Hosters lesen.
3. Liste der Unterauftragnehmer prüfen: Wer ist beteiligt, und wo sitzen sie?
4. Bei Bezug zu Drittländern die Grundlage der Übermittlung klären.
5. Hoster und Übermittlungen in der Datenschutzerklärung nennen.
6. Die Angaben prüfen, wenn der Hoster neue Unterauftragnehmer ankündigt, und spätestens wenn der Gerichtshof über das Data Privacy Framework entschieden hat.

Steht ein Wechsel an, weil der bisherige Anbieter diese Fragen nicht beantworten kann, hilft Webhosting wechseln ohne Ausfall. Welche Hosting-Art zu deinem Projekt passt, erklärt Webhosting-Arten: Shared Hosting, vServer und Cloud.

1. Gesetz Art. 28 DSGVO Auftragsverarbeiter (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
2. Behörde Kurzpapier Nr. 13: Auftragsverarbeitung, Art. 28 DS-GVO. Datenschutzkonferenz (DSK). Stand 17.12.2018. abgerufen am 29.10.2026
3. Gesetz Art. 32 DSGVO Sicherheit der Verarbeitung (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
4. Gesetz Art. 44 DSGVO Allgemeine Grundsätze der Datenübermittlung (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
5. Gesetz Art. 45 DSGVO Datenübermittlung auf der Grundlage eines Angemessenheitsbeschlusses (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
6. Gesetz Art. 46 DSGVO Datenübermittlung vorbehaltlich geeigneter Garantien (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026
7. Behörde Press Release No 106/25, Judgment in Case T-553/23 Latombe v Commission. Gerichtshof der Europäischen Union. Stand 03.09.2025. abgerufen am 29.10.2026
8. Behörde EU-US data transfers. Europäische Kommission. Stand 2026. abgerufen am 29.10.2026
9. European Court of Justice to Review Challenge to EU-U.S. Data Privacy Framework. WilmerHale. Stand 01.12.2025. abgerufen am 29.10.2026
10. Behörde Pressemitteilung Nr. 112/16 zum Urteil C-582/14 (Breyer). Gerichtshof der Europäischen Union. Stand 19.10.2016. abgerufen am 29.10.2026
11. Gesetz Art. 13 DSGVO Informationspflicht bei Erhebung von personenbezogenen Daten (Verordnung (EU) 2016/679). Europäische Union, Textausgabe dsgvo-gesetz.de. Stand 27.04.2016. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.