Hosting in der EU: Worauf muss ich bei der DSGVO achten?
Ihr Vorteil: Sie können jederzeit belegen, wo Ihre Daten liegen und wer Zugriff hat.
Achten Sie auf drei Dinge: Serverstandort in der EU, einen AV-Vertrag nach Art. 28 DSGVO und dokumentierte Schutzmaßnahmen wie Backups, Zugriffsrechte und Updates. Ein Server in der EU allein genügt nicht, auch eingebundene Dienste wie Schriftarten, Videos oder der E-Mail-Versand müssen passen.
Die DSGVO verlangt, dass Sie wissen, wo personenbezogene Daten verarbeitet werden, und dass Sie das nachweisen können. Für eine Zahnarztpraxis, eine Kanzlei oder einen Onlineshop heißt das: Kundendaten, Formulareingaben und Backups liegen auf Servern in der EU, bei einem Anbieter, mit dem ein Vertrag zur Auftragsverarbeitung besteht.
Ich betreibe Systeme in Rechenzentren in der EU, etwa in Nürnberg, Frankfurt, Paris, Amsterdam oder Vilnius. Sie erhalten einen AV-Vertrag nach Art. 28 DSGVO und eine Übersicht, welche Daten wo liegen. Das ist genau die Unterlage, nach der Ihr Datenschutzbeauftragter fragt. Bei Anbietern mit Sitz in den USA prüfen wir gemeinsam, ob das für Ihre Daten passt.
Oft liegt das Problem nicht beim Server, sondern bei Kleinigkeiten auf der Webseite: Schriftarten, die von fremden Servern geladen werden, eingebettete Videos oder ein Kontaktformular, das E-Mails über einen US-Dienst verschickt. Solche Stellen finde ich bei einer Prüfung und stelle sie schnell auf lokale Lösungen um.
Die rechtliche Bewertung im Einzelfall bleibt Sache Ihres Datenschutzbeauftragten oder Ihrer Anwälte. Ich sorge dafür, dass die Technik dazu passt.
Auf einen Blick
| Punkt | Worauf achten |
|---|---|
| Serverstandort | EU |
| Vertrag | AV-Vertrag nach Art. 28 DSGVO |
| Backups | Zweitstandort, ebenfalls in der EU |
| Eingebundene Dienste | Schriften, Videos, Formulare prüfen |
| Updates | regelmäßig und dokumentiert |