VPS Server mieten DSGVO: Was auf der virtuellen Maschine wirklich zählt

Wer einen VPS Server mieten will und die DSGVO dabei nicht als Fußnote behandelt, schaut zuerst auf den Standort. Deutschland, und die Sache gilt als erledigt. So liest Art. 32 die Sache nicht. Die Verordnung verlangt ein Schutzniveau, das zum Risiko passt: Vertraulichkeit, Integrität, Verfügbarkeit und die Fähigkeit, den Zugang zu den Daten nach einem Zwischenfall wiederherzustellen. Das entscheidet sich auf der virtuellen Maschine, nicht im Impressum des Anbieters.

Wir von Reiner IT-Systems betreiben solche VPS auf eigener Infrastruktur im Stuttgarter Rechenzentrum. Die Daten bleiben in Deutschland. Ob die Miete trägt, hängt daran, wie die Maschine virtualisiert, gesichert und im Ernstfall zurückgeholt wird.

Warum „VPS Server mieten DSGVO“ am Hypervisor entschieden wird

Der Firmensitz sagt wenig darüber, wer eine Platte lesen kann, wenn sie das Rack verlässt. Er sagt noch weniger darüber, ob eine Sicherung überhaupt startet. Art. 32 DSGVO fordert technische und organisatorische Maßnahmen. Auf einem gemieteten VPS hängen vier davon zusammen.

Unbefugte sollen die Daten nicht lesen können. Verlust und Manipulation müssen umkehrbar sein. Der Dienst soll weiterlaufen, wenn ein einzelner Knoten gewartet wird. Und es braucht ein Verfahren, mit dem eine VM oder einzelne Dateien zurückkommen, nicht ein Backup-Ordner, den seit dem Einrichten niemand geöffnet hat.

Im Mittelstand sieht das oft so aus: Der VPS steht bei einem Anbieter mit Sitz in Deutschland, der Vertrag erwähnt die DSGVO, die Kopien liegen unverschlüsselt daneben, und niemand weiß, wann zuletzt eine Rücksicherung geklappt hat. Am Standort lag es nicht. An der Maßnahme schon.

Die rechtlichen Linien beim Hosting haben wir in Server Hosting datenschutzkonform betreiben ausgeführt. Hier geht es um die Schicht, die Sie tatsächlich mieten: die virtuelle Maschine.

Art. 32 auf der virtuellen Maschine: Vertraulichkeit und Integrität

Was geeignet ist, hängt am Risiko. Eine kleine Vereinsseite mit einem Kontaktformular ist nicht dasselbe wie ein Steuerberater, der Mandantenakten auf dem VPS hält. Unter eine bestimmte Linie gehen wir bei personenbezogenen Daten trotzdem nicht.

Vertraulichkeit beginnt auf dem Weg. Zugriffe auf den Server und der Verkehr zwischen Diensten sollten verschlüsselt sein, sonst liest mit, wer die Strecke sieht. Im Ruhezustand gehört der Schutz auf die Daten: auf die virtuellen Datenträger und ohne Diskussion auf die Sicherungen. Backups über den Proxmox Backup Server speichern wir verschlüsselt. Wie weitgehend die Datenträger der VM selbst verschlüsselt werden, sprechen wir am Datenbestand ab. Ein pauschales Siegel auf jede Maschine wäre bequem und oft falsch.

Integrität ist die andere Hälfte. Liegen mehrere Projekte auf einem VPS, darf ein kompromittierter Dienst nicht automatisch den Rest mitnehmen. Getrennte Umgebungen und knappe Rechte begrenzen den Schaden. Wer an die Verwaltung des Servers kommt, sollte mehr vorweisen als ein Passwort aus dem alten Wiki.

Das ist keine Zusage, dass nichts passieren kann. Es ist die Abwägung aus Art. 32: Maßnahmen, die zum Risiko passen und die Sie erklären können, wenn ein Kunde oder eine Aufsicht nachfragt.

Proxmox unter dem VPS: nachvollziehbar statt Lizenzblackbox

Virtualisiert wird bei uns mit Proxmox VE. Die Gründe sind praktisch.

Proxmox ist Open Source. Wir sehen, was auf dem Hypervisor läuft, und legen keine undurchsichtige Telemetrie obendrauf. Wenn später jemand fragt, welche Software die Daten verarbeitet, lässt sich das zeigen, statt auf eine geschlossene Konsole zu verweisen.

Der zweite Grund ist die Planbarkeit, und die hat einen Datenschutzbezug. Bei VMware, heute Broadcom, haben sich Lizenzen und Preise schon so verschoben, dass Betriebskosten und Wechselaufwand schwer kalkulierbar wurden. Proxmox kommt ohne diese Lizenzfallen und Preissprünge aus. Cluster mit Live-Migration und Hochverfügbarkeit, Snapshots und Replikation sind enthalten. Steht eine Wartung an, schieben wir die VM im laufenden Betrieb auf einen anderen Knoten. Den Ausfall, den man sonst für ein Update einplant, gibt es dabei nicht.

Lock-in merken Sie erst, wenn Sie gehen wollen. Hängt die Maschine an einem Lizenzschlüssel, wird der Export zur Verhandlung. Auf einer offenen Plattform nehmen Sie die VM mit. Das ist Datenhoheit ohne großes Wort: Sie bleiben handlungsfähig, wenn der Vertrag endet.

Wie wir den VPS aufsetzen, steht unter VPS von REINER IT-Systems.

Backup und Wiederherstellung: der Teil von Art. 32, den man testen kann

Art. 32 nennt die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen. Eine Sicherung, die nie zurückgespielt wurde, belegt das nicht.

Der Proxmox Backup Server arbeitet inkrementell, es wird also nur übertragen, was sich geändert hat. Deduplizierung hält gleiche Blöcke einmal vor. Die Kopie ist verschlüsselt. Zurückholen lässt sich eine ganze VM oder eine einzelne Datei, im Ernstfall in Minuten statt in Tagen. Für einen kleinen Betrieb ist das der Unterschied zwischen einem stockenden Nachmittag und einer Woche, in der jemand Ordner aus Mailanhängen rekonstruiert.

Den Wiederherstellungstest sehen wir als Teil des Betriebs. Eine Sicherung, die beim Rückspielen scheitert, ist eine Hoffnung, kein Schutz.

Gegen Erpressungssoftware hilft die Online-Kopie oft nicht. Liegt sie im selben Netz, geht sie mit. Deshalb gibt es bei uns optional Band für die Offline-Archivierung: ein Bestand, der nicht dauernd an der produktiven Umgebung hängt. Welche Tiefe sinnvoll ist, hängt daran, wie lange Sie Daten brauchen und wie schnell der Betrieb wieder stehen muss. Die Sicherung selbst beschreiben wir unter Backup-Lösung für Firmen: Daten sicher sichern. Was ein Verlust für Haftung und Vertrag bedeutet, steht in Datenverlust und Haftung im Unternehmen klären.

Datenhoheit bei der Miete: AVV, Stuttgart und der Weg nach draußen

Mieten ist kein Abgeben. In den meisten Fällen bleiben Sie Verantwortlicher. Sobald wir personenbezogene Daten in Ihrem Auftrag verarbeiten, sind wir Auftragsverarbeiter, und es braucht einen Auftragsverarbeitungsvertrag. Der AVV regelt die Pflichten. Glaubwürdig wird er erst, wenn die Technik dahinter in normalen Sätzen beschreibbar ist: wo die VM läuft, wie gesichert wird, wer herankommt.

Das Rechenzentrum steht in Stuttgart. Wir sitzen in Erdmannhausen und betreuen Unternehmen, Agenturen und Selbstständige im Raum Ludwigsburg und Stuttgart. Die Systeme laufen auf eigener Infrastruktur, die Daten bleiben in Deutschland. Sie müssen nicht erst eine Kette von Unterauftragnehmern durchsuchen, um zu erfahren, in welchem Land die VM steht. Das nimmt Ihnen die eigene Prüfung nicht ab. Es verkürzt sie, weil die Architektur aus Proxmox, verschlüsselten Backups und einem Standort in Deutschland besteht.

Beim Vergleich lohnt der Blick auf den Ausgang. Offene Images sind mehr wert als ein Wechselversprechen im Gespräch. Wenn der Export nur über ein proprietäres Werkzeug und mit offenem Zeitfenster geht, steht die Datenhoheit auf dem Papier.

Vor der Miete die Technik ansehen, nicht das Siegel

Ein VPS in Deutschland ist der richtige Rahmen. Ob die Miete zur DSGVO passt, zeigt sich daran, ob Verschlüsselung, getrennte Zugriffe, Wartung ohne Ausfall und eine geprüfte Wiederherstellung zusammenpassen. Proxmox nutzen wir, weil die Basis offen bleibt, die Kosten sich planen lassen und die VM nicht an einer Lizenz hängt.

Ob Ihre aktuelle Umgebung das schon leistet, sieht man nur am konkreten Aufbau. Kostenlos anfragen, dann gehen wir durch, was der VPS tatsächlich absichert und wo Art. 32 noch eine Lücke lässt.

Häufige Fragen

Reicht es für die DSGVO, wenn mein VPS-Server in Deutschland steht?

Nein. Der Standort sagt, wo die Daten liegen. Art. 32 verlangt zusätzlich Maßnahmen: Schutz vor unbefugtem Lesen, beschränkte Zugriffe, Verfügbarkeit und eine Wiederherstellung, die schon einmal geklappt hat. Ein Server in Deutschland ist die Basis, nicht der Beleg.

Welche technischen Mindestanforderungen muss ein VPS für die DSGVO erfüllen?

Eine feste Liste wäre irreführend, weil das Schutzniveau zum Risiko passen muss. Bei personenbezogenen Daten wird es darunter dünn: verschlüsselte Übertragung, Schutz der Daten im Ruhezustand, verschlüsselte Backups, getrennte Umgebungen, knappe Zugriffsrechte und ein Auftragsverarbeitungsvertrag. Hinzu kommt der Nachweis, dass eine VM oder einzelne Dateien wirklich zurückkommen.

Warum ist Open Source-Software wie Proxmox für die DSGVO-Vorstellung vorteilhaft?

Weil sich nachvollziehen lässt, was die Plattform tut. Es gibt keine Lizenz, die den Betrieb plötzlich verteuert oder den Wechsel blockiert, und wir setzen keine undurchsichtige Telemetrie obendrauf. Für eine Anfrage von Kunden oder einer Aufsicht ist das leichter zu erklären als eine geschlossene Blackbox.

Wie kann ich sicherstellen, dass mein VPS-Anbieter die Integrität der Daten schützt?

Fragen Sie nach dem Ablauf, nicht nach dem Slogan. Wo liegen die Sicherungen, sind sie verschlüsselt, und wann wurde zuletzt eine VM oder eine Datei probeweise zurückgespielt? Wie sind Umgebungen getrennt, und wer kommt an die Konsole? Wer das in normalen Sätzen beschreiben kann, ist weiter als jemand, der nur auf den Firmensitz zeigt.

Was passiert, wenn mein VPS-Anbieter die DSGVO nicht technisch umsetzt?

Die Pflicht bleibt bei Ihnen, soweit Sie Verantwortlicher sind. Fehlen geeignete Maßnahmen, kann eine Aufsicht das beanstanden, im schlimmen Fall bis zu einem Bußgeld. Im Betrieb wiegt oft etwas anderes schwerer: Ohne brauchbare Sicherung sind Daten weg oder erst nach Tagen wieder da, und Kunden verlieren das Vertrauen. Den Anbieter zu wechseln ist dann die kleinere Arbeit. Vorher zu prüfen, ob Wiederherstellung und Vertrag tragen, ist die größere.

Bildhinweis: KI-generiertes Symbolbild.