Webhosting Deutschland DSGVO: Warum die Technik hinter dem Versprechen zählt

Wer eine Firmenwebsite betreibt, sammelt fast immer personenbezogene Daten. Kontaktformulare, Newsletter, Kundenkonten, Bestellungen. Ab diesem Moment ist die Seite keine Visitenkarte mehr, sondern eine Verarbeitung. Viele Anbieter schreiben dann DSGVO-konform auf das Angebot, weil der Firmensitz in Deutschland liegt. Der Standort setzt den rechtlichen Rahmen, das stimmt. Er sagt aber nichts darüber, was mit den Daten passiert, wenn eine Platte ausfällt, sich jemand einloggt, der das nicht soll, oder ein Backup im Ernstfall leer bleibt.

Wir betreuen kleine und mittlere Betriebe, Agenturen und Selbstständige im Raum Ludwigsburg und Stuttgart. Beim Hosting sehen wir oft dasselbe Bild: Der Auftragsverarbeitungsvertrag ist abgeheftet, der Server steht irgendwo in Deutschland, und trotzdem kann niemand zeigen, wie die Website oder auch nur eine einzelne Datei zurückkommt. Beim Thema Webhosting Deutschland DSGVO entscheidet am Ende diese Technik, nicht der Satz im Angebot.

Warum „DSGVO-konform“ beim Webhosting Deutschland mehr ist als ein Vertrag

Ein Vertrag nach Art. 28 DSGVO klärt, wer was darf. Für die eigene Website bleiben Sie in der Regel Verantwortlicher. Der Hoster wird Auftragsverarbeiter und darf die Daten nur nach Ihren Weisungen verarbeiten. Ohne diesen Vertrag sollten Sie niemanden an Kundendaten lassen. Er beschreibt aber nicht, ob die Verbindung geschützt ist, ob ein zweites System übernimmt, wenn das erste ausfällt, und ob die Sicherung von letzter Nacht auch startet.

Art. 32 verlangt von Verantwortlichem und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen. Das Schutzniveau soll zum Risiko passen: welche Daten, welcher Umfang, welcher Zweck, und was ein Vorfall im Betrieb anrichtet. Eine Agenturseite mit einem kurzen Formular ist nicht dasselbe wie ein Shop mit Kundenkonten. In beiden Fällen gilt aber: Papier schützt nicht, wenn die Seite weg ist oder Daten abfließen.

Stellen Sie sich eine Werkstatt im Landkreis Ludwigsburg vor. Termine laufen über die Website, der Hoster sitzt in Deutschland, der Vertrag liegt im Ordner. Dann fällt die Hardware aus. Eine Sicherung ist vorhanden, lässt sich aber nicht zurückspielen, weil sie seit Monaten niemand angefasst hat. Der Betrieb steht. Rechtlich wird es ungemütlich, weil Verfügbarkeit und die Fähigkeit zur Wiederherstellung zu dem gehören, was Art. 32 als Maßnahmen meint. Der Vertrag hat das nicht verhindert. Sichtbar wird es nur an der Technik.

Wer den Hoster schon vor der Unterschrift einordnen will, findet in Sicheres Hosting für sensible Unternehmensdaten: 5 Kriterien für KMU die Fragen, die wir an eine Umgebung stellen. Hier bleibt der Blick enger: Was muss hinter einem Webhosting in Deutschland technisch stehen, damit das DSGVO-Versprechen nicht nur im Angebot steht.

Was Art. 32 für den Webserver im Rechenzentrum leisten muss

Art. 32 ist keine Produktliste. Er nennt unter anderem Verschlüsselung, den Schutz von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, und ein Verfahren, mit dem sich die Verfügbarkeit nach einem Zwischenfall wiederherstellen lässt. Für eine Website heißt das etwas anderes als für ein allgemeines IT-Handbuch.

Zuerst die Übertragung. Formulare, Logins und das Backend sollten nicht im Klartext über die Leitung gehen. TLS in einer aktuellen Fassung ist dafür der normale Weg, nicht ein Protokoll, das Browser längst als unsicher behandeln. Das ist keine Spezialität eines einzelnen Rechenzentrums, sondern die Untergrenze, sobald personenbezogene Daten die Seite erreichen oder verlassen.

Dann die Speicherung. Daten, die auf der Platte im Klartext liegen, sind bei einem Diebstahl der Hardware lesbar. Verschlüsselung im Ruhezustand setzt genau dort an. Sie hat eine Kehrseite: Wer den Schlüssel verliert, verliert auch den Zugriff. Schlüsselverwaltung gehört deshalb zur Maßnahme, nicht als Fußnote dahinter.

Dazu der Zugriff. Nicht jeder, der kurz auf den Server muss, braucht weitreichende Rechte auf allem. Für uns heißt das klare Zuständigkeiten und möglichst wenige Personen mit vollem Zugriff, in einem Rechenzentrum, das nicht offen steht. Wie wir Netze intern trennen, gehört nicht in einen Blogartikel. Die Frage an den Hoster ist einfacher: Wer kommt an die Maschine, wie lässt sich das nachvollziehen, und was passiert, wenn ein Mitarbeiter geht?

Und die Verfügbarkeit. Die DSGVO schützt nicht nur vor Mitlesen. Eine Firmenwebsite, über die Anfragen und Aufträge laufen, ist für viele Betriebe kein Beiwerk. Wartung mit stundenlangem Ausfall ist dann mehr als ein technisches Ärgernis. Unsere Systeme laufen auf eigener Infrastruktur im Rechenzentrum in Stuttgart, virtualisiert mit Proxmox VE. Im Cluster sind Live-Migration und Hochverfügbarkeit enthalten, dazu Snapshots und Replikation. Wartung können wir so umziehen, ohne die Seite dafür vom Netz zu nehmen. Fällt Hardware aus, muss das nicht heißen, dass die Website bis zum nächsten Werktag dunkel bleibt. Hochverfügbarkeit ersetzt allerdings kein Backup. Sie überbrückt einen Ausfall der Technik, nicht gelöschte oder verschlüsselte Daten.

Datenhoheit beim Webhosting: Standort Stuttgart und echte Kontrolle

Hosting in Deutschland ist der leichte Teil der Entscheidung. Bei uns bleiben die Daten in Deutschland, im Stuttgarter Rechenzentrum. Sie liegen nicht bei einem Anbieter, dessen Konzern sie bei Bedarf in einen anderen Rechtsraum ziehen kann. Ein Speicherort hier ist die Voraussetzung, damit die Daten das Land nicht schon durch den Server verlassen. Ob daneben noch ein Zugriff aus dem Ausland besteht, etwa über eine ausländische Muttergesellschaft, muss man getrennt prüfen. Bei eigener Infrastruktur stellt sich diese Frage anders als bei einem internationalen Plattformbetreiber.

Der Standort allein macht die Seite nicht sicher. Der Unterschied liegt in der Kontrolle. Wir sind inhabergeführt aus Erdmannhausen und betreiben die Infrastruktur selbst. Wenn etwas hakt, landen Sie nicht in einem Ticket auf einem anderen Kontinent, sondern bei Leuten, die die Maschinen kennen. Für den Alltag eines Mittelständlers ist das oft wichtiger als ein weiteres Logo auf der Hoster-Seite. Die Nähe hilft auch, wenn die Website nicht allein steht, sondern mit Nextcloud, einem VPS oder einer eigenen Maschine in Colocation zusammenspielt. Dafür passen Standardpakete selten. Wir schneiden die Umgebung eher auf den Betrieb zu als umgekehrt.

Der Preis für Stuttgart ist kein weltweites Netz von verteilten Standorten. Wer Publikum weit außerhalb Deutschlands hat, sollte die Erreichbarkeit getrennt prüfen. Für die Betriebe, die wir betreuen, wiegt schwerer, dass Formulardaten das Land nicht verlassen und die Seite nach einem Ausfall wiederkommt.

Verschlüsselung auf dem Weg und bei den Sicherungen gehört für uns zu dieser Kontrolle, nicht als Modul, das man später dazubucht. TLS schützt die Verbindung zum Webserver. Die Backups legen wir verschlüsselt ab. Eine Kopie, die jemand unberechtigt mitnimmt, ist ohne Schlüssel wenig wert. Ob darüber hinaus jede virtuelle Festplatte verschlüsselt wird, hängt vom Auftrag ab. Das sagen wir lieber offen, als pauschal zu behaupten, jede Schicht sei immer gleich abgesichert.

Warum Open Source und Proxmox unter dem Webhosting liegen

Viele Hosting-Plattformen sind proprietär. Das kann sauber betrieben sein. Die DSGVO schreibt Open Source nirgendwo vor. Wer behauptet, nur freie Software sei datenschutzkonform, verkürzt die Sache. Der Vorteil liegt an einer anderen Stelle.

Wir setzen Proxmox VE ein, weil es Open Source ist und ohne die Lizenzfallen und Preissprünge auskommt, die Betriebe bei VMware im Zuge von Broadcom erlebt haben. Cluster, Live-Migration, Hochverfügbarkeit, Snapshots und Replikation sind enthalten. Nicht als Baustein, den man im dritten Jahr neu verhandeln muss. Für ein kleines oder mittleres Unternehmen heißt das planbare Kosten. Nicht, weil Technik nichts kostet, sondern weil die Rechnung nicht von einer Lizenzpolitik abhängt, die Sie nicht beeinflussen.

Der zweite Grund ist Nachvollziehbarkeit. Der Code ist einsehbar. Das beweist nicht, dass niemals ein Fehler darin steckt. Es heißt: Sie vertrauen keiner geschlossenen Blackbox blind, und Sie hängen nicht an einem Hersteller, der das Format schließt. Virtuelle Maschinen lassen sich exportieren. Vendor-Lock-in wird damit kleiner, nicht null. Irgendjemand muss die Plattform trotzdem betreiben, aktualisieren und beobachten. Das ist unsere Arbeit, kein Selbstläufer der Lizenz.

Die Abwägung gehört dazu. Open Source ohne Betreuung entlastet die meisten Betriebe nicht. Wer Updates liegen lässt, hat von der Einsehbarkeit wenig. Proprietäre Plattformen können gut laufen. Was wir vermeiden wollen, ist die Mischung aus Abhängigkeit und sprunghaften Lizenzkosten, während Website und Kundendaten darauf liegen.

Backup und Wiederherstellung: woran Webhosting oft scheitert

Art. 32 nennt die Wiederherstellung der Verfügbarkeit ausdrücklich. Ein Backup, das niemand zurückgespielt hat, erfüllt das nicht. Es ist eine Datei mit einem guten Gefühl.

Wir sichern mit dem Proxmox Backup Server. Die Sicherungen sind inkrementell, dedupliziert und verschlüsselt. Inkrementell bedeutet: Es wird nicht jedes Mal die ganze Maschine kopiert, sondern das, was sich geändert hat. Deduplizierung fasst doppelte Blöcke zusammen. Beides spart Platz und Zeit und sagt noch nichts darüber, ob die Sicherung brauchbar ist. Zurückholen lässt sich eine ganze virtuelle Maschine oder auch nur einzelne Dateien. Im Alltag ist das der Unterschied zwischen einer Seite, die wieder erreichbar ist, und einer langen Suche nach einer einzigen Bestellung in einem unhandlichen Vollbestand.

Die 3-2-1-Idee ist dabei eine Denkweise, kein Abhakzettel. Drei Kopien, auf zwei unterschiedlichen Medien, eine davon außer Haus oder offline. Optional liegen Sicherungen auf Tape, physisch getrennt vom Netz. Der nüchterne Grund: Schadsoftware, die alles Erreichbare verschlüsselt, erwischt auch das Backup auf derselben Plattform. Ein Band im Schrank nicht. Der Preis ist Zeit. Eine Wiederherstellung vom Tape ist selten der schnellste Weg. Dafür bleibt sie übrig, wenn die schnellen Kopien mitverschlüsselt wurden.

Wir prüfen die Wiederherstellung. Nicht als Versprechen, dass nie etwas schiefgeht, sondern weil ein ungetestetes Backup ein Risiko ist, das erst im Ernstfall auffällt. Läuft es gut, ist eine virtuelle Maschine in Minuten wieder da, nicht nach Tagen Suche. Eine feste Dauer für jeden Vorfall wäre unseriös. Umfang der Seite, Art des Schadens und die Frage, ob die Offline-Kopie gebraucht wird, ändern die Zeit.

Scheitert die Wiederherstellung und sind Daten weg, ist das nicht nur ein Technikthema. Wie Verträge, Datenschutz und Betrieb dabei zusammenhängen, steht in Datenverlust und Haftung im Unternehmen klären. Ein funktionierendes Backup senkt das Risiko. Es streicht die Verantwortung des Unternehmens nicht durch.

Transparenz und lokale Verantwortung statt nur Standort

Webhosting in Deutschland schafft den Rahmen: Daten bleiben hier, ein Auftragsverarbeiter, den Sie erreichen, deutsches Datenschutzrecht am Speicherort. Zur DSGVO wird das erst, wenn Verschlüsselung, Zugriff, Verfügbarkeit und eine geprüfte Wiederherstellung zum Alltag der Plattform gehören. Bei uns liegt diese Plattform auf Proxmox, im Stuttgarter Rechenzentrum, betrieben aus Erdmannhausen. Open Source, damit Kosten und Abhängigkeit planbar bleiben. Backups, die wir nicht nur schreiben, sondern zurückspielen.

Fragen Sie einen Hoster nicht nur nach dem Sitz. Fragen Sie, wo die Maschine physisch steht, wer darauf zugreifen kann, wie die Verbindung geschützt ist und wann zuletzt eine Website aus dem Backup wiederhergestellt wurde. Kommt darauf keine klare Antwort, ist DSGVO-konform ein Satz im Angebot.

Wenn Sie das für Ihre Seite klären wollen, ohne zuerst ein Paket zu kaufen: Kostenlos anfragen. Wir schauen, was die Website tatsächlich verarbeitet und welche Technik dazu passt.

Häufige Fragen

Reicht es für die DSGVO, wenn der Webhoster in Deutschland sitzt?

Nein. Der Standort hält die Daten im deutschen Rechtsraum und nimmt dem Speicherort die Frage eines Drittlandtransfers. Ob ein Konzern aus dem Ausland trotzdem zugreifen kann, bleibt eine eigene Prüfung. Art. 32 verlangt außerdem technische und organisatorische Maßnahmen: Schutz der Übertragung, begrenzte Zugriffe, Verfügbarkeit und eine Wiederherstellung, die funktioniert. Der Vertrag nach Art. 28 gehört dazu. Er füllt diese Maßnahmen nicht von allein aus.

Was bedeutet „technische und organisatorische Maßnahmen“ konkret für meinen Webserver?

Für eine Website mit Formulardaten, Konten oder Bestellungen geht es um eine verschlüsselte Verbindung, einen durchdachten Schutz der gespeicherten Daten, wenige und nachvollziehbare Zugriffe, eine Plattform, die Wartung nicht mit langen Ausfällen bezahlt, und Backups, die jemand tatsächlich zurückgespielt hat. Wie streng das sein muss, hängt vom Risiko ab. Ein öffentlicher Hinweistext ohne personenbezogene Daten ist etwas anderes als ein Shop. Was gilt, sollte festgehalten sein, damit Sie es bei einer Nachfrage der Aufsicht zeigen können.

Warum ist Open Source beim Hosting für die DSGVO oft die ruhigere Basis?

Die DSGVO bevorzugt keine Lizenzform. Open Source ist nicht automatisch konform, proprietäre Software nicht automatisch ein Problem. Der praktische Unterschied: Der Code ist prüfbar, die Abhängigkeit von einem Hersteller ist kleiner, und es gibt keine Lizenzsprünge wie bei VMware im Zuge von Broadcom. Proxmox bringt Cluster, Live-Migration und Hochverfügbarkeit mit, ohne dass Verfügbarkeit ein Zusatzmodul wird. Betreiben muss die Plattform trotzdem jemand. Einsehbarkeit ersetzt keine Wartung.

Wer haftet, wenn beim Webhoster personenbezogene Daten abfließen?

Sie als Verantwortlicher bleiben für die Verarbeitung zuständig, auch wenn der Server woanders steht. Der Hoster als Auftragsverarbeiter hat eigene Pflichten aus dem Vertrag und aus der DSGVO, unter anderem die Maßnahmen nach Art. 32 und das Einhalten Ihrer Weisungen. Ob und wie weit jemand haftet, hängt am Einzelfall: was passiert ist, wer welche Pflicht verletzt hat, welcher Schaden entstanden ist. Das lässt sich in einem Blog nicht pauschal beantworten und ersetzt keine rechtliche Beratung. Einfluss haben Sie auf den Vertrag und darauf, den Hoster nicht blind auszuwählen. Wie Verlust und Haftung im Betrieb zusammenspielen, beschreibt Datenverlust und Haftung im Unternehmen klären.

Muss ich meine Backups selbst testen, oder übernimmt das der Hoster?

Steht das nicht im Vertrag, sollten Sie nicht davon ausgehen, dass jemand testet. Ein Backup ohne Wiederherstellungstest ist nur eine Kopie. Bei uns gehört die Prüfung dazu, weil wir eine ungetestete Sicherung nicht als Schutz behandeln wollen. Fragen Sie trotzdem nach: Was wird gesichert, wie oft, ob verschlüsselt, und wann zuletzt eine Wiederherstellung geprobt wurde. Betreiben Sie die Website selbst, bleibt es Ihre Aufgabe, das einzufordern oder selbst zu prüfen.

Bildhinweis: KI-generiertes Symbolbild.