Hosting personenbezogener Daten und DSGVO: Was zu prüfen ist
Das Hosting personenbezogener Daten, die über eine Website erhoben werden, muss den Anforderungen der DSGVO entsprechen, die keinen bestimmten geografischen Standort vorschreibt, aber ein gleichwertiges Schutzniveau für jede Übermittlung außerhalb der Europäischen Union verlangt. Ein Hoster mit Sitz in Frankreich oder der EU erleichtert die Konformität in der Regel, ohne dass dies allein bereits eine automatische Garantie darstellt.
Das eigentliche Problem: Standort und Konformität verwechseln
Viele Projektverantwortliche gehen davon aus, dass ein Hosting "in Frankreich" bereits ausreicht, um eine Website DSGVO-konform zu machen. Der geografische Standort des Servers ist nur einer von mehreren Faktoren: Er erleichtert die Konformität, da die komplexe Frage internationaler Datentransfers entfällt, entbindet aber nicht davon, die technische Sicherheit des Hosters, dessen eigene Subunternehmer (die ihrerseits außerhalb der EU sitzen können) und das Vorhandensein eines ordnungsgemäßen Auftragsverarbeitungsvertrags zu prüfen. Umgekehrt ist ein Hosting außerhalb der Europäischen Union nicht automatisch nicht konform, sofern ein geeigneter Rechtsrahmen besteht.
Was die DSGVO tatsächlich für das Hosting vorschreibt
Die Verordnung nennt Hoster nicht namentlich, stuft sie aber in der Regel als Auftragsverarbeiter im Sinne der DSGVO ein, sobald sie personenbezogene Daten im Auftrag des Verantwortlichen (des Website-Betreibers) speichern oder verarbeiten. Diese Einstufung bringt mehrere Pflichten mit sich:
- Ein Auftragsverarbeitungsvertrag (oft AVV oder DPA genannt) muss die Beziehung regeln und den Zweck der Verarbeitung, ihre Dauer, die Sicherheitspflichten sowie die Bedingungen für die Rückgabe oder Löschung der Daten bei Vertragsende festlegen.
- Der Hoster muss angemessene Sicherheitsmaßnahmen im Verhältnis zum Risiko gewährleisten (Verschlüsselung, Zugriffskontrolle, gesicherte Backups).
- Der Verantwortliche (in der Regel der Website-Betreiber) bleibt letztverantwortlich für die Konformität, selbst bei einem Verstoß seines Hosters.
Der Fall von Datentransfers außerhalb der Europäischen Union
Die Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union unterliegt strengeren Regeln, da das dortige Datenschutzniveau abweichen kann. Dabei sind mehrere Situationen denkbar:
| Situation | Anwendbarer Rahmen |
|---|---|
| Hosting in Frankreich oder der EU | Kein internationaler Transfer, es gilt der übliche DSGVO-Rahmen |
| Hosting in einem Land, das von der Europäischen Kommission als angemessenes Schutzniveau bietend anerkannt ist | Transfer ohne zusätzliche Formalitäten zulässig |
| Hosting in einem Land ohne Angemessenheitsbeschluss (insbesondere die USA, je nach geltendem Rahmen) | Erfordert zusätzliche Garantien (Standardvertragsklauseln, ein spezifischer anerkannter Mechanismus) |
| Fehlen jeglichen Rahmens für den Transfer | Transfer nicht DSGVO-konform |
Der genaue Status von Transfers in bestimmte Länder, insbesondere die USA, hat sich in den letzten Jahren mehrfach je nach Entscheidungen der europäischen Behörden geändert. Dieser technische Punkt verdient bei der Wahl des Hosters eine aktuelle Überprüfung, statt sich auf eine als dauerhaft angenommene allgemeine Annahme zu stützen.
Fragen, die vor der Wahl eines Hosters gestellt werden sollten
Bevor man sich für einen Hoster entscheidet, der eine Website mit Erhebung personenbezogener Daten betreibt, helfen mehrere konkrete Prüfungen, das Risiko zu begrenzen:
- Wo sich die Server, auf denen die Daten der Website gehostet werden, physisch befinden.
- Ob der Hoster einen DSGVO-konformen Auftragsverarbeitungsvertrag anbietet, der von den üblichen allgemeinen Geschäftsbedingungen getrennt ist.
- Welche Subunternehmer oder technischen Partner der Hoster selbst einsetzt (CDN, Backup-Dienst) und wo diese ansässig sind.
- Welche konkreten Sicherheitsmaßnahmen angewendet werden (Verschlüsselung der Daten im Ruhezustand und bei der Übertragung, Zugriffsverwaltung).
- Welche Bedingungen für die Rückgabe oder Löschung der Daten bei Beendigung des Vertrags mit dem Hoster gelten.
Der Sonderfall sensibler Daten
Bestimmte Daten erfordern beim Hosting erhöhte Wachsamkeit: Gesundheitsdaten, Bankdaten, Daten zu Minderjährigen. Insbesondere für Gesundheitsdaten benötigt ein Hoster in der Regel eine spezifische, von den zuständigen Behörden anerkannte Zertifizierung oder Zulassung, zusätzlich zum allgemeinen DSGVO-Rahmen. Diese Art von Daten geht über ein klassisches Website-Hosting hinaus und erfordert eine dedizierte Begleitung.
Was man sich merken sollte
- Die DSGVO schreibt keinen einheitlichen geografischen Standort vor, verlangt aber ein gleichwertiges Schutzniveau für jede Datenübermittlung außerhalb der Europäischen Union.
- Ein Hoster mit Sitz in Frankreich oder der EU erleichtert die Konformität, ohne sie allein automatisch zu garantieren.
- Ein Auftragsverarbeitungsvertrag (AVV/DPA) muss die Beziehung zwischen dem Website-Betreiber und seinem Hoster regeln.
- Die Subunternehmer des Hosters (CDN, Backups) müssen bei der Konformitätsprüfung ebenfalls berücksichtigt werden.
- Der Rechtsrahmen für Transfers in bestimmte Länder außerhalb der EU ändert sich regelmäßig und verdient eine aktuelle Überprüfung.
- Sensible Daten (insbesondere Gesundheitsdaten) erfordern über den allgemeinen DSGVO-Rahmen hinaus spezifische Hosting-Garantien.
Häufig gestellte Fragen
Garantiert ein Hoster mit Sitz in Frankreich automatisch die DSGVO-Konformität? Nein. Der Standort erleichtert die Konformität, reicht aber allein nicht aus: Auch technische Sicherheit, Subunternehmer des Hosters und der Auftragsverarbeitungsvertrag müssen geprüft werden.
Kann ein US-amerikanischer Hoster für eine Website genutzt werden, die sich an französische Kunden richtet? Das ist unter bestimmten Voraussetzungen mit zusätzlichen Garantien möglich (Standardvertragsklauseln). Dieser Rahmen ändert sich regelmäßig und sollte vor jeder Entscheidung aktuell überprüft werden.
Schreibt die DSGVO ein zwingendes Hosting in Frankreich vor? Nein, sie verlangt ein gleichwertiges Schutzniveau für Transfers außerhalb der EU, wodurch sich ein Hosting in der EU leichter rechtfertigen lässt, ohne absolut zwingend zu sein – außer bei spezifischen sektoralen Anforderungen.
Braucht man mit seinem Hoster einen spezifischen Vertrag zu personenbezogenen Daten? Ja, ein Auftragsverarbeitungsvertrag (AVV/DPA) ist erforderlich, der die Sicherheitspflichten und die Bedingungen für die Rückgabe oder Löschung der Daten festlegt.
Zusammenfassung
Die Wahl eines Hosters für eine Website, die personenbezogene Daten erhebt, beschränkt sich nicht auf dessen geografischen Standort: Der Auftragsverarbeitungsvertrag, die Sicherheitsmaßnahmen und eventuelle Subunternehmer des Hosters spielen ebenso eine Rolle. Dieser allgemeine Überblick stellt die geltenden DSGVO-Grundsätze dar; für eine genaue Einschätzung Ihrer Situation, insbesondere bei der Übermittlung sensibler Daten, bleiben der Rat eines auf Datenschutz spezialisierten Anwalts oder die Ressourcen der zuständigen Datenschutzbehörde empfehlenswert. Von VeryAppi gestaltete Websites werden in Frankreich gehostet, in einem Rahmen, der diesen Aspekt der Konformität erleichtern soll.
Häufig gestellte Fragen
›Garantiert ein Hoster mit Sitz in Frankreich automatisch die DSGVO-Konformität?
Nein. Ein Standort in Frankreich oder der Europäischen Union erleichtert die Konformität, da die Frage von Datentransfers außerhalb der EU entfällt, reicht aber allein nicht aus: Auch die technische Sicherheit, die vom Hoster eingesetzten Subunternehmer und der Auftragsverarbeitungsvertrag müssen geprüft werden.
›Kann ein US-amerikanischer Hoster für eine Website genutzt werden, die sich an französische Kunden richtet?
Das ist unter bestimmten Voraussetzungen möglich, setzt aber voraus, dass der für den Datentransfer geltende Rechtsrahmen geprüft wird (Standardvertragsklauseln oder ein spezifischer, von der Europäischen Kommission je nach Land anerkannter Mechanismus). Dieser technische Punkt entwickelt sich je nach europäischen Entscheidungen regelmäßig weiter und sollte vor der Wahl eines Hosters außerhalb der EU stets aktuell überprüft werden.
›Schreibt die DSGVO ein zwingendes Hosting in Frankreich vor?
Nein, die DSGVO verlangt keinen bestimmten geografischen Standort für alle Verarbeitungen. Sie verlangt jedoch ein gleichwertiges Schutzniveau für jede Datenübermittlung außerhalb der Europäischen Union, wodurch sich ein Hosting in der EU leichter rechtfertigen lässt, ohne dabei absolut zwingend zu sein – außer bei spezifischen sektoralen Anforderungen (insbesondere Gesundheitswesen, öffentlicher Sektor).
›Braucht man mit seinem Hoster einen spezifischen Vertrag zu personenbezogenen Daten?
Ja, zwischen dem Verantwortlichen und seinem Hoster, der als Auftragsverarbeiter agiert, ist ein Auftragsverarbeitungsvertrag im Sinne der DSGVO (oft als AVV oder DPA bezeichnet) erforderlich. Dieser Vertrag regelt die Sicherheitspflichten, den Zweck der Verarbeitung und die Bedingungen für die Rückgabe oder Löschung der Daten bei Vertragsende.