Für alle mit eigener Website
Wo sollte meine Website gehostet werden?
Bei einem Anbieter, mit dem du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO schließen kannst und dessen Server möglichst in der EU stehen — denn über das Hosting laufen die Anfragen deiner Kunden, und für diese Daten bist du verantwortlich, nicht der Anbieter.
Art. 28 DSGVOverlangt einen Vertrag mit jedem Dienstleister, der personenbezogene Daten in deinem Auftrag verarbeitetDatenschutz-Grundverordnung (EU) 2016/679
Warum Hosting eine Datenschutzfrage ist
Jeder Aufruf deiner Seite hinterlässt beim Hoster Daten, mindestens die IP-Adresse. Jede Anfrage über dein Formular enthält Name, Telefonnummer und oft Angaben zu Immobilie oder Finanzierung. Das sind personenbezogene Daten, und verantwortlich dafür bist du als Betreiber der Seite.
Der Hoster verarbeitet sie in deinem Auftrag. Genau dafür verlangt Art. 28 DSGVO einen Vertrag, der regelt, was der Dienstleister mit den Daten tun darf und wie er sie schützt.
Diesen Vertrag legst du zu deinen Unterlagen. Als Verantwortlicher musst du nachweisen können, dass du die Datenschutzregeln einhältst — und der Vertrag mit dem Hoster gehört zu den ersten Belegen dafür.
Worauf du beim Anbieter achtest
- Ein Vertrag zur Auftragsverarbeitung, den du ohne Verhandlung abschließen kannst — seriöse Anbieter stellen ihn im Kundenbereich bereit
- Serverstandort in der EU, und zwar für alle Teile: Webspace, Datenbank, Sicherungen, Formular-Versand
- Automatische Sicherungen, die du selbst zurückspielen kannst
- Ein Vertrag auf deinen Namen, nicht auf den der Agentur
- Erreichbarer Support: Wenn die Seite am Samstagvormittag nicht lädt, hilft ein Anbieter, der montags antwortet, wenig
Die Stelle, die gern übersehen wird
Das Hosting ist selten der einzige Dienst. Das Formular verschickt Mails über einen Versanddienst, Schriften kommen von einem fremden Server, eine Karte wird eingebettet, ein Terminbuchungs-Werkzeug läuft im Hintergrund. Jeder davon ist ein weiterer Empfänger von Daten.
Lass dir vor dem Start eine Liste aller Dienste geben, die auf der Seite Daten verarbeiten — mit Sitz des Anbieters und ob ein Vertrag zur Auftragsverarbeitung besteht. Diese Liste brauchst du ohnehin für deine Datenschutzerklärung.
Was der Preis eines Hosting-Pakets aussagt
Der Unterschied zwischen einem Paket für wenige Euro im Monat und einem teureren liegt selten im Speicherplatz. Er liegt in den Sicherungen, in der Geschwindigkeit bei vielen gleichzeitigen Aufrufen und darin, ob sich jemand kümmert, wenn etwas ausfällt.
Für eine Makler- oder Finanziererseite reicht meist ein solides Paket eines etablierten Anbieters. Entscheidend ist nicht der Tarif, sondern dass die Vertragsfragen oben geklärt sind.
Und Anbieter aus den USA?
Seit dem Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 dürfen Daten an US-Unternehmen übermittelt werden, die unter dem EU-US Data Privacy Framework zertifiziert sind. Verboten ist ein US-Hoster also nicht.
Der einfachere Weg bleibt ein Anbieter mit Sitz und Servern in der EU: Dann musst du nicht prüfen, ob eine Zertifizierung besteht, und bist nicht davon abhängig, ob der Beschluss vor Gericht hält. Ob deine konkrete Konstellation zulässig ist, beurteilt im Einzelfall ein Anwalt oder dein Datenschutzbeauftragter.
