Hosting, Datenschutz und Serverstandort: die richtigen Fragen stellen

„Server in Deutschland“ ist eine wichtige Information, aber keine vollständige Datenschutzprüfung. Eine Website kann Daten zusätzlich an Formular-, Analyse-, Newsletter- oder Sicherungsdienste übertragen. Dieser Ratgeber hilft Ihnen, den tatsächlichen Datenweg zu erfassen und konkrete Unterlagen für eine fachliche Prüfung zusammenzustellen.

Vom Formular bis zur Sicherung denken

Ein Verein nimmt Veranstaltungsanmeldungen entgegen. Die Website liegt auf einem deutschen Server. Das Formular schickt Anfragen an ein Postfach, speichert sie in WordPress und überträgt sie zusätzlich in einen externen Organisationsdienst. Eine Sicherung kopiert den Datenbestand an einen weiteren Ort. Der Standort des Webservers beschreibt in diesem Beispiel nur einen Teil des Ablaufs.

Beginnen Sie deshalb mit einer einfachen Frage: Wo entstehen Daten, wohin gelangen sie und wer kann darauf zugreifen? Schreiben Sie den Weg für jede wesentliche Funktion auf. Die Übersicht kann zunächst aus wenigen Sätzen bestehen. Sie müssen keine aufwendige Software kaufen, um zu erkennen, dass Formular, Postfach und Backup unterschiedliche Stationen sind. Später ergänzen Sie die tatsächlich zuständigen Dienste und deren Unterlagen.

Diese Bestandsaufnahme unterstützt eine fachliche Datenschutzbewertung. Sie stellt keine individuelle rechtliche Freigabe dar. Welche Anforderungen für Ihr Vorhaben gelten, muss anhand der tatsächlichen Daten, Zwecke, Beteiligten und Verträge beurteilt werden. Eine allgemeine Hosting-Empfehlung kann diese konkrete Prüfung nicht ersetzen. Die Aufgabe hier ist, fehlende Informationen so zu erkennen, dass die zuständige Stelle damit weiterarbeiten kann.

Welche Daten die Website tatsächlich verarbeitet

Betrachten Sie nicht nur die sichtbaren Formularfelder. Benutzerkonten, Bestellungen, Kommentare, Protokolle und technische Verbindungsdaten können ebenfalls zum Bestand gehören. Prüfen Sie, welche Funktionen eingeschaltet sind und ob Erweiterungen zusätzliche Daten erfassen. Eine nicht verwendete Newsletteroption sollte nicht automatisch als aktiver Datenweg in der Dokumentation stehen. Umgekehrt darf ein versteckter externer Aufruf nicht übersehen werden.

Notieren Sie für jedes Feld den fachlichen Zweck. Muss der Verein bei einer einfachen Anfrage das Geburtsdatum erfassen, oder genügt eine Kontaktmöglichkeit? Diese Frage ist eine praktische Gestaltungsentscheidung, die Sie mit der zuständigen Stelle klären können. Weniger unnötige Daten machen Betrieb, Prüfung und Löschung oft übersichtlicher. Entfernen Sie jedoch nicht unüberlegt Angaben, die für einen tatsächlichen notwendigen Ablauf gebraucht werden.

Die Tabelle ist unser redaktionell vorgeschlagener Arbeitsaufbau. Sie ist keine amtliche Vorlage und kein vollständiges Verzeichnis aller gesetzlichen Pflichten. Ihr Nutzen liegt darin, technische und organisatorische Fragen zusammen sichtbar zu machen. Eine Vereinsverwaltung kann damit konkret nachfragen, statt nur nach einem abstrakten „datenschutzkonformen Hosting“ zu suchen.

Standort und Zugriff auseinanderhalten

Fragen Sie nach dem Ort der regulären Verarbeitung und nach zusätzlichen Sicherungs- oder Ausweichstandorten. Prüfen Sie auch, welche Personen und Dienstleister administrativ zugreifen können. Ein physischer Standort beschreibt nicht automatisch den Sitz jedes beteiligten Unternehmens oder die Orte, von denen Support geleistet wird. Die Information sollte sich auf den tatsächlich gebuchten Dienst beziehen, nicht nur auf irgendeinen Standort des Anbieters.

Für das Vereinsbeispiel wäre eine hilfreiche Antwort: Wo liegt die WordPress-Datenbank, wo werden Kopien gespeichert, welche Rollen haben Zugriff und welche externen Dienste sind beteiligt? Eine pauschale Landesangabe lässt diese Fragen offen. Fordern Sie dafür verständliche Unterlagen an. Wenn bestimmte Angaben nur auf Anfrage erhältlich sind, dokumentieren Sie die Anfrage und das Ergebnis, statt das Fehlen einer öffentlichen Seite als Beweis zu werten.

Verwenden Sie Standortinformationen nicht als alleinige Leistungseinschätzung. Auch Erreichbarkeit und Betriebsverfahren müssen passen. Ein naher Standort kann für bestimmte Verbindungen relevant sein, beweist aber keine konkrete Ladezeit Ihrer Website. Die Performance-Anleitung erklärt, warum solche Aussagen eine tatsächliche Messung und deren Bedingungen benötigen.

Auftragsverarbeitung konkret prüfen lassen

Artikel 28 der DSGVO beschreibt Anforderungen an die Verarbeitung im Auftrag und die dafür vorgesehene Vereinbarung. Artikel 32 behandelt angemessene technische und organisatorische Maßnahmen. Für Übermittlungen an Drittländer enthält Kapitel V zusätzliche Regeln. Diese Grundlagen begründen konkrete Prüfaufgaben; sie erlauben aus einer einzelnen Standortangabe keine pauschale Freigabe des gesamten Websitebetriebs.

Für Ihre Vorbereitung sammeln Sie die angebotene Vereinbarung, Anlagen zu Maßnahmen und Informationen zu weiteren beteiligten Dienstleistern. Lassen Sie die Unterlagen auf Ihren konkreten Dienst und Datenweg beziehen. Eine heruntergeladene Vorlage sollte nicht ungeprüft als abgeschlossenes Vertragsverhältnis beschrieben werden. Dokumentieren Sie, wer sie geprüft hat und welcher Stand tatsächlich vereinbart wurde.

Wenn Begriffe unklar sind, formulieren Sie eine einfache Rückfrage. Beispielsweise: „Gilt dieses Dokument für unser Webhosting-Paket und dessen Sicherungen?“ oder „Welcher Dienst verarbeitet die Supportanhänge?“ Solche Fragen führen zu verwertbaren Antworten. Die Vertragscheckliste hilft, Unterlagen, Vertragspartner und tatsächliche Bestellleistung zusammenzuführen.

Externe Ressourcen als eigenen Datenweg behandeln

Eine Website kann Karten, Videos, Schriftdateien oder andere Ressourcen von externen Servern laden. Prüfen Sie die tatsächlichen Browseranfragen, nicht nur die sichtbaren Pluginlisten. Ein Theme kann eine Schrift nachladen, obwohl kein gesondertes Schriftplugin installiert ist. Umgekehrt kann eine Erweiterung vollständig lokal arbeiten. Der reale Aufruf zeigt, welche Dienste technisch angesprochen werden.

Bewerten Sie jede Einbindung nach ihrem Zweck und ihrer notwendigen Ausgestaltung. Für einen einfachen Vereinsauftritt kann eine lokal bereitgestellte Ressource die Übersicht vereinfachen. Ein externes Buchungssystem kann dagegen eine gewünschte Fachfunktion anbieten. Die Entscheidung sollte nachvollziehbar bleiben: Was wird gewonnen, welche Datenverbindung entsteht und wer prüft die notwendigen Voraussetzungen? Eine pauschale Ablehnung oder Freigabe aller externen Dienste wäre dafür zu grob.

Prüfen Sie außerdem, ob die gewählte Einbindung im Browser wirklich dem vorgesehenen Ablauf folgt. Eine Einstellung im Verwaltungsbereich kann falsch umgesetzt sein oder nur für einen Teil der Ressourcen gelten. Testen Sie die Website mit einer frischen Sitzung und dokumentieren Sie die beobachteten Anfragen. Technische Prüfung und rechtliche Bewertung gehören zusammen, sind aber unterschiedliche Arbeitsschritte.

Zugriffe im Alltag übersichtlich halten

Vergeben Sie Konten nach Aufgaben. Eine Redaktion braucht andere Rechte als die technische Betreuung. Vermeiden Sie ein gemeinsam genutztes Administratorkonto für sämtliche Beteiligten, wenn getrennte geeignete Konten verfügbar sind. Dokumentieren Sie die Zuordnung, ohne Passwörter in die allgemeine Liste zu schreiben. Bei einem personellen Wechsel kann die Organisation dann gezielt Zugänge anpassen.

WordPress erläutert in seiner Dokumentation zur Absicherung technische Schutzmaßnahmen. Unsere Empfehlung für die Organisation lautet: Verbinden Sie diese mit einem einfachen Berechtigungsverfahren. Wer erhält ein Konto, wer genehmigt es und wer entfernt es wieder? Ein sicherer Zugang bleibt nur nützlich, wenn die berechtigten Personen und ihre Aufgaben aktuell sind.

Besprechen Sie Supportzugriffe vor einer Störung. Welche Informationen benötigt die Betreuung, und über welchen geschützten Kanal werden sie geteilt? Ein vollständiger Datenexport kann für manche Untersuchungen erforderlich sein, sollte aber nicht automatisch an jedes Ticket angehängt werden. Nutzen Sie für einfache Fehler zunächst genaue Beobachtungen und geeignete Ausschnitte. Der Support-Leitfaden beschreibt eine gezielte Meldung.

Backups und Testkopien nicht vergessen

Eine Sicherung kann den gleichen Datenbestand wie die produktive Website enthalten. Sie braucht deshalb eine passende Speicherung, berechtigte Zugänge und eine bewusste Aufbewahrung. Notieren Sie, wann eine Kopie entsteht und wie sie später gelöscht oder ersetzt wird. Ein Backup im öffentlichen Webverzeichnis wäre im Vereinsbeispiel ein zusätzlicher unbeabsichtigter Zugangsweg und sollte nicht als sichere Vorsorge gelten.

Eine Stagingkopie kann ebenfalls echte Anmeldungen und Benutzerkonten enthalten. Überlegen Sie, ob für den Test anonymisierte Daten ausreichen. Wenn echte Daten benötigt werden, behandeln Sie die Kopie bewusst als zusätzliche Umgebung mit eigenen Zugängen und Schutz. Eine Suchmaschinenanweisung allein verhindert keine direkten Aufrufe. Kontrollieren Sie Medien und APIs mit, wenn diese sensible Inhalte zugänglich machen können.

Die Backup-Anleitung verbindet diese Bestandsfragen mit einem Wiederherstellungstest. Für die Datenschutzprüfung kommt hinzu, welche Daten nach einer Wiederherstellung erneut erscheinen können. Ein früher gelöschter Datensatz kann in einer älteren Kopie enthalten sein. Die zuständige Stelle sollte festlegen, wie der wiederhergestellte Stand mit dem aktuellen fachlichen Löschkonzept abgeglichen wird.

Ein Dokumentationspaket für konkrete Rückfragen

Sammeln Sie eine überschaubare Mappe: Diensteliste, Datenwege, Standortangaben, angebotene Vertragsunterlagen, Maßnahmenbeschreibung und Zuständigkeiten. Jede Information erhält Quelle und Datum. Trennen Sie bestätigte Angaben von ungeprüften Annahmen. Eine Aussage „Backupstandort noch angefragt“ zeigt genau, was fehlt. Ein allgemeiner Haken bei „Datenschutz erfüllt“ würde diese offene Aufgabe verdecken.

Geben Sie die Mappe an die tatsächlich zuständige fachliche Stelle. Sie kann gezielt beurteilen, welche weiteren Angaben benötigt werden. Bei einer einfachen Website lässt sich die Aufgabe oft klar eingrenzen; bei besonders sensiblen Daten oder komplexen internationalen Diensten kann sie umfangreicher sein. Der Aufwand folgt dem realen Vorhaben. Der Ratgeber erfindet dafür weder eine pauschale Rechtsfreigabe noch ein standardisiertes Risikourteil.

Änderungen im Betrieb berücksichtigen

Eine später installierte Erweiterung kann einen neuen Dienst einführen. Prüfen Sie solche Änderungen deshalb nicht nur funktional. Ergänzen Sie die Diensteliste und bewerten Sie den neuen Datenweg vor dessen produktivem Einsatz. Eine alte Dokumentation bleibt nicht automatisch richtig, nur weil die Domain und der Hostingtarif gleich geblieben sind. Regelmäßige kleine Aktualisierungen verhindern eine große ungeklärte Lücke.

Bei einem Hostingwechsel müssen die Standort- und Zugriffsinformationen erneut geprüft werden. Auch Sicherungen, Verwaltungsrollen und Supportverfahren können sich ändern. Kopieren Sie nicht einfach die Namen des bisherigen Anbieters in neue Unterlagen. Beschreiben Sie den tatsächlichen Zielbestand und halten Sie die fachliche Prüfung offen, bis die benötigten Antworten vorliegen.

Die Auswahl anhand der Unterlagen treffen

Vergleichen Sie Anbieter mit denselben konkreten Fragen. Ein kleiner Dienst mit verständlichen belegten Angaben kann für ein bestimmtes Vorhaben geeigneter sein als ein umfangreich beworbenes Angebot mit offenen entscheidenden Punkten. Das ist eine projektbezogene Auswahl, keine allgemeine Rangliste. Der Anbietercheck zeigt, wie Sie Nachweise fair bewerten.

• Daten und beteiligte Dienste sind tatsächlich erfasst.
• Standort, zusätzliche Kopien und administrative Zugriffe sind angefragt.
• Vertragsunterlagen passen zum konkreten Angebot.
• Externe Ressourcen wurden im Browser kontrolliert.
• Konten, Sicherungen und Testkopien haben benannte Zuständigkeiten.
• Offene fachliche Fragen werden vor Einsatz bearbeitet.

Prüfen Sie ein Angebot wie Webhosting Business anhand dieser Unterlagen und des eigenen Bedarfs. Ein Produktname oder eine Landesflagge ersetzt den Datenweg nicht. Eine nachvollziehbare Auswahl hält fest, was tatsächlich bestätigt wurde, welche Bedingungen gelten und wer die verbleibenden Aufgaben übernimmt.

Eine konkrete Frage für den nächsten Termin

Wählen Sie aus der Bestandsaufnahme den wichtigsten ungeklärten Datenweg und stellen Sie dazu eine gezielte Frage. Im Vereinsbeispiel könnte dies die externe Übertragung der Anmeldung sein. Notieren Sie Anbieter, Zweck, übertragene Felder und vorhandene Vertragsunterlagen. Geben Sie diese Informationen an die zuständige fachliche Stelle. Das Gespräch kann dann einen konkreten Ablauf beurteilen, statt nur über ein allgemeines Standortversprechen zu sprechen. Ergänzen Sie die erhaltene Antwort mit Datum und verbleibenden Aufgaben. Die Dokumentation wird dadurch schrittweise belastbarer.