Webhosting mit Serverstandort Deutschland: was die DSGVO wirklich verlangt

Sie wollen eine eigene Webseite, und überall lesen Sie dieselben Warnungen: DSGVO, Abmahnung, Bußgeld. Dann bewirbt fast jeder Anbieter seinen Serverstandort Deutschland, als wäre damit alles erledigt. Ist es nicht. Der Standort nimmt Ihnen aber einen großen Teil der Arbeit ab.

Das Wichtigste vorab:

• Ein Server irgendwo in der EU reicht für die DSGVO aus. Deutschland ist nicht vorgeschrieben.
• Ein Serverstandort Deutschland bei einem Anbieter mit deutschem Firmensitz bringt trotzdem Vorteile: deutsches Vertragsrecht, kein Zugriff von US-Behörden über den Firmensitz und kurze Wege.
• Pflicht ist an jedem Standort ein Vertrag zur Auftragsverarbeitung mit dem Hoster.
• Der beste Standort hilft nichts, wenn Ihre Seite Schriften, Karten oder Videos direkt von fremden Diensten lädt.

Wer einen Anbieter gleich prüfen will, springt zu den fünf Prüfschritten. Wer verstehen will, warum das alles nötig ist, liest hier weiter.

Warum Ihr Webserver Daten sammelt, ohne dass Sie es wollen

Viele denken bei Datenschutz an Kontaktformulare oder Newsletter. Wer so etwas nicht anbietet, glaubt, er sammle keine Daten. Das stimmt nicht.

Stellen Sie sich Ihren Webserver wie einen Pförtner vor. Jeder Besucher, der an die Tür kommt, wird in ein Buch eingetragen: wann er kam, welche Tür er wollte und von welcher Adresse er geschickt wurde. Dieses Buch heißt Logdatei, und fast jeder Server führt es automatisch. Die wichtigste Zeile darin ist die IP-Adresse des Besuchers. Über sie lässt sich ein Internetanschluss zuordnen, deshalb gilt sie nach der Rechtsprechung des Europäischen Gerichtshofs in der Regel als personenbezogenes Datum. Maßgeblich ist das Urteil in der Sache Breyer aus dem Jahr 2016.

Damit verarbeiten Sie personenbezogene Daten, sobald die erste Person Ihre Seite aufruft. Nicht Sie selbst, sondern der Server, den Sie gemietet haben. Für das Recht macht das keinen Unterschied: Verantwortlich sind Sie als Betreiber der Seite.

Das Schaubild zeigt den zweiten Teil des Problems. Ihr Webserver ist selten die einzige Station. Backups liegen auf anderen Rechnern, die E-Mail läuft oft über ein eigenes System, und jede eingebundene Schrift, Karte oder Statistik schickt die IP-Adresse an einen weiteren Anbieter. Der Serverstandort betrifft jede dieser Stationen.

Was der Serverstandort Deutschland rechtlich bedeutet

Die Datenschutz-Grundverordnung, kurz DSGVO, gilt seit dem 25. Mai 2018 in der ganzen EU. Sie unterscheidet nicht zwischen Deutschland und Frankreich. Ein Server in Amsterdam ist aus Sicht der DSGVO genauso gut wie einer in Frankfurt.

Einfach gesagt: Innerhalb der EU gelten überall dieselben Regeln. Kompliziert wird es erst, wenn Daten die EU verlassen.

Länder außerhalb der EU und des Europäischen Wirtschaftsraums heißen im Gesetz Drittländer. Wer Daten dorthin übermittelt, braucht eine zusätzliche Erlaubnis. Das regeln die Artikel 44 bis 49 der DSGVO. Meist ist es eine von zwei Möglichkeiten:

• Die EU-Kommission hat dem Land bescheinigt, dass es Daten ähnlich gut schützt (Artikel 45).
• Der Anbieter hat besondere Vertragsklauseln unterschrieben, die sogenannten Standardvertragsklauseln (Artikel 46).

Für die USA gibt es seit Juli 2023 eine solche Bescheinigung, das EU-US Data Privacy Framework. Seine beiden Vorgänger hat der Europäische Gerichtshof gekippt, zuletzt 2020 im Urteil Schrems II. Wer sich darauf verlässt, baut auf einer Grundlage, die sich wieder ändern kann.

Muss Ihr Server also in Deutschland stehen? Nein. Ein Standort in der EU reicht rechtlich aus. Der Serverstandort Deutschland bringt trotzdem drei handfeste Vorteile.

Vorteil 1: deutsches Vertragsrecht und deutscher Gerichtsstand

Sitzt der Anbieter in Deutschland, gilt in der Regel deutsches Recht für Ihren Vertrag. Bei einem Streit klagen Sie vor einem deutschen Gericht, auf Deutsch. Bei einem Anbieter in einem anderen EU-Land kann das anders aussehen. Lesen Sie in den AGB nach, welches Recht gilt.

Vorteil 2: kein Zugriff fremder Behörden über den Firmensitz

Viele übersehen diesen Punkt. Es zählt auch, wem der Server gehört. Ein US-Konzern mit Rechenzentrum in Frankfurt unterliegt weiter dem US-Recht. Der US CLOUD Act von 2018 erlaubt amerikanischen Behörden, Daten von US-Firmen herauszuverlangen, auch wenn diese Daten im Ausland gespeichert sind. Ein Anbieter mit Sitz und Server in Deutschland hat dieses Problem nicht.

Vorteil 3: kurze Wege für deutsche Besucher

Daten reisen durch Kabel. Je näher der Server am Besucher steht, desto weniger Umwege nimmt jede Anfrage. Bei einer kleinen Seite spüren Sie den Unterschied kaum. Bei einer Seite mit vielen Bildern oder einem Shop summieren sich die Millisekunden. Mehr dazu, was eine Seite sonst noch bremst, steht im Ratgeber Ladezeit verbessern.

Der Auftragsverarbeitungsvertrag: das Papier, das wirklich zählt

Wenn ein Anbieter für Sie Daten verarbeitet, schreibt Artikel 28 der DSGVO einen Vertrag vor: den Auftragsverarbeitungsvertrag, kurz AV-Vertrag oder AVV. Darin verpflichtet sich der Hoster, die Daten nur in Ihrem Auftrag zu verwenden, sie zu schützen und Ihnen bei Anfragen zu helfen.

Dieser Vertrag ist Pflicht, egal wo der Server steht. Ein Serverstandort Deutschland ohne AV-Vertrag ist rechtlich schlechter als ein Server in den Niederlanden mit AV-Vertrag. Bei seriösen Anbietern schließen Sie ihn mit ein paar Klicks im Kundenmenü ab. Fehlt er ganz, ist das ein Grund, den Anbieter nicht zu nehmen.

Im AV-Vertrag steht meistens auch eine Liste der Unterauftragnehmer. Das sind Firmen, die der Hoster selbst einsetzt, etwa für das Rechenzentrum, für Backups oder für den Versand von E-Mails. Werfen Sie einen Blick darauf. Steht dort ein Dienst mit Sitz in einem Drittland, gilt der schöne Standort in Deutschland für diesen Teil nicht.

So prüfen Sie einen Anbieter in fünf Schritten

Werbung verspricht viel. Die folgenden Punkte können Sie selbst nachprüfen, bevor Sie bestellen. Die ersten beiden entscheiden, die übrigen zeigen, wie ernst ein Anbieter das Thema nimmt.

1. Standort schriftlich finden. Suchen Sie den Serverstandort in der Leistungsbeschreibung oder den AGB, nicht nur auf der Startseite. Steht dort „in der EU“ statt eines Landes, fragen Sie nach.
2. AV-Vertrag prüfen. Gibt es ihn, und können Sie ihn vor der Bestellung lesen? Ein Muster zum Download ist ein gutes Zeichen.
3. Firmensitz im Impressum ansehen. Sitzt die Mutterfirma außerhalb der EU, gilt Vorteil 2 nicht.
4. Backups und E-Mail einbeziehen. Fragen Sie, wo Sicherungen und Postfächer liegen. Oft steht es in der Liste der Unterauftragnehmer.
5. Zertifikat des Rechenzentrums ansehen. Ein Nachweis nach ISO/IEC 27001 zeigt, dass das Rechenzentrum seine Sicherheit von außen prüfen lässt. Pflicht ist das nicht, aber es spart Ihnen eigene Nachfragen.

Wie Sie den Rest des Tarifs bewerten, von Preis nach dem ersten Jahr bis zum Support-Test, zeigt die Checkliste zur Wahl des Webhosters.

Eine Anfrage zum Kopieren

Wirbt ein Anbieter mit Serverstandort Deutschland, belegt das aber nicht in seinen Unterlagen, schicken Sie ihm diese Fragen per Mail. Die Antworten heben Sie auf. Bleibt eine Frage unbeantwortet, ist das auch eine Antwort.

„Guten Tag, ich interessiere mich für Ihren Tarif und bitte um kurze Antworten auf vier Fragen: 1. In welchem Land stehen die Server für Webspace, E-Mail und Backups? 2. Bieten Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO an, und kann ich ihn vor der Bestellung lesen? 3. Welche Unterauftragnehmer setzen Sie ein, und wo haben diese ihren Sitz? 4. Hat Ihr Unternehmen oder eine Muttergesellschaft einen Sitz außerhalb der EU? Vielen Dank.“

Was der Serverstandort nicht für Sie erledigt

Ein guter Hoster ist die halbe Miete. Die andere Hälfte liegt auf Ihrer Seite selbst, und kein Rechenzentrum der Welt nimmt sie Ihnen ab.

Eingebundene Dienste. Laden Sie Schriften von Google, eine Karte von einem Kartendienst oder ein Video von einer Videoplattform direkt in die Seite, geht die IP-Adresse des Besuchers an diesen Dienst. Ihr Server in Deutschland ändert daran nichts. Die einfachste Abhilfe: Schriften auf den eigenen Webspace legen und Karten oder Videos erst nach einem Klick laden.

Welche fremden Dienste Ihre Seite lädt, können Sie selbst nachsehen. Öffnen Sie Ihre Seite am Computer in Chrome oder Firefox und drücken Sie F12. Im Reiter „Netzwerk“ laden Sie die Seite neu. Jetzt erscheint eine Liste aller Dateien, die der Browser holt, mit der Adresse, von der sie kommen. Taucht dort etwa fonts.googleapis.com, maps.google.com oder youtube.com auf, geht die IP-Adresse Ihrer Besucher an diesen Dienst.

Datenschutzerklärung. Jede Webseite, die personenbezogene Daten verarbeitet, braucht eine. Darin nennen Sie auch Ihren Hoster. Den Text müssen Sie selbst erstellen oder erstellen lassen.

Verschlüsselung. Daten zwischen Browser und Server sollten verschlüsselt fließen. Das erkennen Besucher am Schloss in der Adresszeile. Wie Sie das einrichten, erklärt die Seite zum SSL-Zertifikat.

Kontaktformular. Was jemand ins Formular tippt, landet meist als E-Mail bei Ihnen. Deshalb zählt auch, wo Ihr Postfach liegt. Hintergründe dazu finden Sie auf der Seite zur eigenen E-Mail-Adresse.

Häufige Fragen zum Serverstandort Deutschland

Ist ein Server in Deutschland gesetzlich vorgeschrieben?

Nein. Die DSGVO behandelt alle Länder der EU und des EWR gleich. Für bestimmte Berufe mit Schweigepflicht oder für Behörden können strengere Regeln gelten. Für eine private Homepage oder einen kleinen Betrieb reicht ein Standort in der EU. Was ein kleiner Betrieb sonst noch beim Hosting regeln sollte, steht unter Hosting für kleine Unternehmen.

Reicht der Serverstandort Deutschland für eine DSGVO-konforme Webseite?

Nein. Er ist ein guter Anfang. Dazu gehören ein AV-Vertrag mit dem Hoster, eine Datenschutzerklärung und eine Seite, die keine Daten ungefragt an Dritte schickt.

Wie finde ich heraus, wo mein jetziger Server steht?

Schauen Sie in Ihren Vertrag oder in den AV-Vertrag im Kundenmenü. Steht dort nichts, fragen Sie den Support schriftlich. Die Antwort heben Sie auf.

Mein Anbieter sitzt in den USA, hat aber ein Rechenzentrum in Frankfurt. Ist das in Ordnung?

Für viele Seiten ja, wenn ein AV-Vertrag besteht. Ein Restrisiko bleibt, weil US-Behörden über das US-Recht an die Daten kommen können. Wer das vermeiden will, wählt einen Anbieter mit Sitz in der EU.

Gilt das alles auch für einen Homepagebaukasten?

Ja. Beim Homepagebaukasten ist der Anbieter Ihr Hoster. Prüfen Sie dort dieselben fünf Punkte.

So gehen Sie vor

Notieren Sie sich bei jedem Anbieter, den Sie in die engere Wahl nehmen, die Antworten auf die fünf Prüfpunkte. Ein Anbieter mit Serverstandort Deutschland, deutschem Firmensitz und einem AV-Vertrag, den Sie vor der Bestellung lesen können, erspart Ihnen später die meisten Fragen. Wer noch unsicher ist, was ein Tarif überhaupt leisten muss, beginnt mit Was ist Webhosting.

Eine Station aus dem Schaubild oben wird bei der Anbieterwahl am häufigsten vergessen: die Backups. Wo sie liegen und wie weit sie zurückreichen, entscheidet im Notfall über Ihre Daten.

Jetzt weiterlesen: Website Backup richtig planen

Die Angaben erklären die Grundlagen und ersetzen keine Rechtsberatung.