DSGVO konformes Hosting gibt es nicht als fertiges Produkt mit Siegel. Der Hoster liefert die Grundlage: einen Vertrag zur Auftragsverarbeitung, sichere Rechenzentren und möglichst einen Serverstandort in der EU. Ob Ihre Website die Datenschutz-Grundverordnung einhält, hängt aber vor allem davon ab, was Sie selbst einbinden und speichern. Das sind Logfiles, Schriften, Videos, Analyse-Werkzeuge, Formulare und Backups. Dieser Ratgeber zeigt, was Sie beim Anbieter prüfen und was Sie selbst einstellen müssen. Eine Rechtsberatung im Einzelfall ersetzt er nicht.
Warum Hosting überhaupt unter die DSGVO fällt
Schon der Aufruf einer Website erzeugt personenbezogene Daten. Der Server erfährt die IP-Adresse des Besuchers, und der Europäische Gerichtshof hat 2016 entschieden, dass auch dynamische IP-Adressen personenbezogen sein können. Dazu kommen Daten aus Kontaktformularen, Kundenkonten, Bestellungen und Newsletter-Anmeldungen. Ihr Hoster speichert und verarbeitet all das in Ihrem Auftrag. Damit sind Sie der Verantwortliche, der Hoster ist Ihr Auftragsverarbeiter.
Der Vertrag zur Auftragsverarbeitung
Artikel 28 der DSGVO verlangt einen Vertrag mit jedem Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Er heißt Auftragsverarbeitungsvertrag, kurz AVV oder AV-Vertrag. Darin steht, welche Daten der Hoster verarbeitet, wofür, wie er sie schützt und welche Unterauftragnehmer er einsetzt, etwa ein Rechenzentrum oder einen Dienst für den Mailversand.
Bei deutschen Hostern schließen Sie den Vertrag meist mit wenigen Klicks im Kundenmenü ab. Suchen Sie nach „Auftragsverarbeitung“ oder „AV-Vertrag“. Speichern Sie die PDF-Fassung ab, denn auf Nachfrage der Aufsichtsbehörde müssen Sie den Vertrag vorlegen können. Ein Hoster, der keinen AVV anbietet, ist für eine geschäftliche Website ungeeignet. Ohne diesen Vertrag gibt es kein DSGVO-konformes Hosting, egal wo der Server steht.
Der Vertrag braucht Anlagen, die Sie kurz prüfen sollten:
- Technische und organisatorische Maßnahmen (TOM): Zutrittsschutz zum Rechenzentrum, Verschlüsselung, Backups, Rechtekonzepte. Artikel 32 verlangt ein Schutzniveau, das dem Risiko angemessen ist.
- Liste der Unterauftragnehmer: Wer außer dem Hoster noch Zugriff haben kann, und in welchem Land.
- Löschung nach Vertragsende: Wann Ihre Daten und Backups beim Anbieter gelöscht werden.
Zertifikate wie ISO/IEC 27001 oder ein Testat nach dem C5-Katalog des BSI zeigen, dass ein Rechenzentrum geprüfte Sicherheitsprozesse hat. Sie sind nicht vorgeschrieben, erleichtern aber die Bewertung.
Serverstandort: Deutschland, EU oder USA?
Die DSGVO schreibt keinen Serverstandort in Deutschland vor. Innerhalb der EU und des Europäischen Wirtschaftsraums dürfen Daten frei fließen. Für DSGVO-konformes Hosting reicht also ein Rechenzentrum in jedem EU-Land. Schwieriger wird es, sobald Daten in ein Land außerhalb gelangen. Dann braucht es nach Artikel 44 ff. eine Rechtsgrundlage für die Übermittlung.
Für die USA gilt seit Juli 2023 das EU-US Data Privacy Framework. Anbieter, die sich darunter zertifiziert haben, dürfen Daten aus der EU empfangen, ohne dass Sie weitere Garantien vereinbaren müssen. Ob ein Anbieter zertifiziert ist, zeigt die offizielle Liste des Data Privacy Framework. Das Gericht der EU hat eine Klage gegen den Rahmen im September 2025 abgewiesen. Rechtlich umstritten bleibt er trotzdem, denn zwei Vorgänger hat der Europäische Gerichtshof gekippt.
Ein weiterer Punkt ist der US CLOUD Act. Er kann US-Unternehmen verpflichten, Daten an US-Behörden herauszugeben, auch wenn die Server in Frankfurt stehen. Ein Rechenzentrum in Deutschland allein schützt also nicht, wenn die Muttergesellschaft in den USA sitzt. Für viele Betreiber ist deshalb ein Anbieter mit Sitz und Servern in der EU die einfachste Lösung. Bei Behörden, Arztpraxen oder Kanzleien verlangen interne Vorgaben das oft ausdrücklich.
Was Sie auf Ihrer Website selbst einstellen
Der beste Hoster nützt wenig, wenn die Website selbst Daten an Dritte schickt. Die häufigsten Baustellen:
Logfiles
Webserver schreiben jede Anfrage mit IP-Adresse in ein Zugriffsprotokoll. Das ist zur Abwehr von Angriffen zulässig, gestützt auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f. Die Daten dürfen aber nur so lange aufbewahrt werden, wie es für diesen Zweck nötig ist. Viele Hoster löschen Logs nach sieben bis vierzehn Tagen oder kürzen die IP-Adressen. Prüfen Sie die Einstellung im Kundenmenü und nennen Sie die Dauer in der Datenschutzerklärung.
Schriften, Videos und Karten
Wird eine Schrift direkt von den Servern von Google geladen, erfährt Google die IP-Adresse jedes Besuchers. Das Landgericht München I hat dafür im Januar 2022 einem Besucher Schadensersatz zugesprochen. Danach rollte eine Welle von Abmahnungen durch Deutschland. Die Lösung ist einfach: Laden Sie die Schriftdateien herunter und liefern Sie sie vom eigenen Webspace aus. Dasselbe Prinzip gilt für eingebettete YouTube-Videos und Karten. Laden Sie sie erst, wenn der Besucher darauf klickt, mit einem Vorschaubild und einem kurzen Hinweis.
Cookies und Analyse
Für Cookies und andere Speicherzugriffe auf dem Gerät gilt in Deutschland zusätzlich § 25 TDDDG, früher TTDSG. Was für den Betrieb nicht technisch nötig ist, braucht eine Einwilligung, bevor es geladen wird. Das betrifft vor allem Analyse-Werkzeuge und Werbe-Pixel. Ein Banner, das die Skripte schon vor dem Klick lädt, erfüllt das nicht. Eine datensparsame Alternative sind Analyse-Werkzeuge ohne Cookies, die Sie selbst hosten, zum Beispiel Matomo mit entsprechenden Einstellungen.
Formulare und E-Mail
Kontaktformulare müssen per HTTPS übertragen werden. Ein SSL-Zertifikat ist deshalb Pflicht. Fragen Sie nur ab, was Sie wirklich brauchen, und löschen Sie Anfragen, wenn sie erledigt sind. Für Postfächer gilt dasselbe wie für das Hosting: Auch mit dem Mail-Anbieter brauchen Sie einen AVV. Mehr zur Auswahl steht in den Grundlagen zum E-Mail Hosting.
CDN und externe Dienste
Ein CDN verarbeitet die IP-Adressen aller Besucher. Es braucht deshalb einen eigenen AVV und einen Eintrag in der Datenschutzerklärung. Das gilt auch für Spam-Schutz, Chat-Widgets und eingebundene Buchungssysteme. Führen Sie eine Liste aller Dienste, die auf der Website laufen. Sie ist die Grundlage für das Verzeichnis der Verarbeitungstätigkeiten, das die meisten Unternehmen nach Artikel 30 führen müssen.
Eigener Server: wer für was verantwortlich ist
Bei Shared Hosting und Managed Servern kümmert sich der Anbieter um Betriebssystem, Updates und Zugriffsrechte. Seine TOM decken diese Ebene ab. Mieten Sie dagegen einen vServer oder Root-Server, endet die Verantwortung des Hosters meist beim Rechenzentrum und der Hardware. Alles darüber liegt bei Ihnen: Sicherheitsupdates, Firewall, Verschlüsselung der Festplatten, Rechte für Mitarbeiter und die Protokollierung von Zugriffen. DSGVO-konformes Hosting auf einem eigenen Server heißt deshalb auch, dass Sie Ihre eigenen Schutzmaßnahmen dokumentieren. Wer das nicht leisten kann, ist mit einem verwalteten Angebot besser bedient. Die Unterschiede erklärt der Vergleich Root-Server oder Managed Server.
Backups, Löschung und Pannen
Auch Backups enthalten personenbezogene Daten. Sie müssen genauso geschützt sein wie die Live-Seite, am besten verschlüsselt, wenn sie das Hosting verlassen. Löscht ein Kunde sein Konto, steckt er noch in alten Backups. In der Praxis gilt das als vertretbar, wenn die Backups nach einer festen Frist automatisch gelöscht und nicht für andere Zwecke genutzt werden. Wird ein altes Backup zurückgespielt, müssen Sie gelöschte Konten danach erneut entfernen. Wie Sie Backups sinnvoll aufbauen, beschreibt der Ratgeber zum Website-Backup.
Kommt es zu einer Datenpanne, etwa durch einen Hack, gilt Artikel 33: Sie müssen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informieren, wenn ein Risiko für die Betroffenen besteht. Der Hoster muss Sie nach dem AVV unverzüglich informieren, wenn bei ihm etwas passiert. Halten Sie die Kontaktdaten der Aufsichtsbehörde Ihres Bundeslandes bereit.
Was zum Hosting in die Datenschutzerklärung gehört
Artikel 13 verlangt, dass Besucher beim Aufruf erfahren, wer ihre Daten wofür verarbeitet. Für den Hosting-Teil der Datenschutzerklärung sind das diese Angaben:
- Name und Anschrift des Hosters als Auftragsverarbeiter
- welche Daten beim Aufruf anfallen, also IP-Adresse, Datum, Uhrzeit, aufgerufene Seite, Browser und verweisende Seite
- Zweck und Rechtsgrundlage, meist Sicherheit und Betrieb nach Artikel 6 Absatz 1 Buchstabe f
- wie lange die Logfiles gespeichert werden
- ob Daten in ein Land außerhalb der EU gehen und auf welcher Grundlage
- jeden weiteren Dienst wie CDN, Mail-Versand, Spam-Schutz oder Analyse mit denselben Angaben
Generatoren für Datenschutzerklärungen helfen beim Aufbau. Sie wissen aber nicht, welche Dienste Ihre Seite tatsächlich lädt. Gleichen Sie den Text deshalb mit Ihrer Liste aus Schritt drei unten ab. Für DSGVO-konformes Hosting zählt, dass Erklärung und Wirklichkeit übereinstimmen.
DSGVO konformes Hosting in fünf Schritten
- Anbieter prüfen: Sitz und Rechenzentrum in der EU, AVV im Kundenmenü, Liste der Unterauftragnehmer, Löschfristen für Logs.
- AVV abschließen und als PDF ablegen, ebenso mit Mail-Anbieter, CDN und anderen Dienstleistern.
- Dienste auflisten: Rufen Sie die Seite mit den Entwicklerwerkzeugen des Browsers auf. Im Reiter Netzwerk sehen Sie jede Verbindung zu fremden Servern.
- Einstellen: Schriften lokal, Videos und Karten erst nach Klick, Analyse nur mit Einwilligung, HTTPS überall.
- Datenschutzerklärung anpassen: Hoster, Logfiles mit Speicherdauer, alle Dienste und die Rechte der Besucher nennen.
DSGVO konformes Hosting: worauf Sie beim Vergleich achten
| Kriterium | Gut | Kritisch |
|---|---|---|
| Sitz des Unternehmens | EU | Muttergesellschaft außerhalb der EU |
| Rechenzentrum | Deutschland oder EU, frei wählbar | Standort nicht angegeben |
| AVV | online abschließbar, mit TOM und Unterauftragnehmern | nur auf Anfrage oder gar nicht |
| Logfiles | kurze Frist, IP-Kürzung einstellbar | unklare Speicherdauer |
| Support | aus der EU | Fernwartung aus Drittländern |
Der Unterschied zwischen einem günstigen Shared-Hosting-Tarif und einem teuren Paket liegt beim Datenschutz meist nicht im Preis. Auch günstige deutsche Anbieter bieten fast immer einen AVV und Rechenzentren in Deutschland. Den Gesetzestext mit allen Artikeln finden Sie bei EUR-Lex.
Häufig gestellte Fragen
Brauche ich als private Website einen AVV?
Für rein private oder familiäre Zwecke gilt die DSGVO nicht. Sobald die Seite geschäftlich ist, Werbung enthält oder Formulare von Fremden einsammelt, sollten Sie von der Pflicht ausgehen. Der Abschluss kostet bei den meisten Hostern nichts.
Muss der Server in Deutschland stehen?
Nein. Die DSGVO verlangt keinen deutschen Standort. Innerhalb der EU ist jeder Standort gleich gut. Ein deutscher Standort ist praktisch, aber kein Muss.
Darf ich einen US-Anbieter nutzen?
Ja, wenn er unter dem Data Privacy Framework zertifiziert ist oder andere Garantien wie Standardvertragsklauseln bestehen. Prüfen Sie zusätzlich, ob Ihre Kunden oder Branchenregeln einen EU-Anbieter verlangen.
Was passiert, wenn ich keinen AVV habe?
Ein fehlender Vertrag ist ein Verstoß, den die Aufsichtsbehörde mit einem Bußgeld ahnden kann. In der Praxis fällt er meist bei einer Beschwerde oder nach einer Datenpanne auf.
Gibt es ein Siegel für DSGVO-konformes Hosting?
Ein amtliches Siegel gibt es nicht. Zertifikate wie ISO/IEC 27001 bestätigen die Prozesse des Anbieters. Ob Ihre Website die Regeln einhält, hängt von den Diensten ab, die Sie einbinden.
DSGVO konformes Hosting umsetzen
Schließen Sie heute den AVV mit Ihrem Hoster ab und prüfen Sie im Browser, welche fremden Server Ihre Seite lädt. Holen Sie Schriften auf den eigenen Webspace und passen Sie danach die Datenschutzerklärung an. Damit erfüllen Sie die wichtigsten Punkte für DSGVO konformes Hosting.