DSGVO und Hosting
Die Datenschutz-Grundverordnung (DSGVO) verlangt nicht, dass Daten in der EU bleiben. Sie verlangt aber einen Vertrag zur Auftragsverarbeitung mit dem Hoster und für jede Übermittlung aus der EU einen der zulässigen Mechanismen. Laut Katalog von accsly.io mit Stand November 2026 haben 61 % der VPS-Anbieter Server in der EU, doch fast die Hälfte von ihnen ist außerhalb des Europäischen Wirtschaftsraums registriert. Hier lesen Sie, warum das wichtig ist und was Sie in den Bedingungen prüfen sollten.
Die DSGVO ist die Verordnung (EU) 2016/679, die in allen Staaten der Europäischen Union und des Europäischen Wirtschaftsraums gilt; in Deutschland ergänzt sie das Bundesdatenschutzgesetz (BDSG). Für die Serverwahl sind drei Themen wichtig: wer wofür verantwortlich ist, welchen Vertrag Sie mit dem Hoster brauchen und wohin Daten übermittelt werden dürfen. Im Folgenden: wie diese Regeln auf die Miete eines VPS oder dedizierten Servers angewendet werden. Der Text erklärt allgemeine Regeln und ersetzt keine Rechtsberatung.
Wann die DSGVO Ihr Projekt betrifft
Nach Art. 3 gilt die Verordnung für Unternehmen mit einer Niederlassung in der EU und für Unternehmen aus jedem anderen Land, wenn sie Menschen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten beobachten, etwa über Analyse- und Werbe-Tracking. Deshalb kann auch ein Online-Shop aus einem Drittland mit Lieferung nach Deutschland oder ein Dienst mit spanischer Oberfläche und Preisen in Euro unter die Verordnung fallen. Ein Unternehmen ohne Niederlassung in der EU benennt in diesem Fall nach Art. 27 in der Regel einen Vertreter in der Union.
Personenbezogene Daten versteht die DSGVO weit: Name, E-Mail-Adresse, Anschrift, Bestellnummer, IP-Adresse, Gerätekennung. Liegt davon auch nur etwas über Menschen in der EU auf dem Server, betreffen Sie die folgenden Regeln.
Verantwortlicher und Auftragsverarbeiter
Die Verordnung unterscheidet zwei Rollen (Art. 4).
- Der Verantwortliche entscheidet, wozu und wie Daten verarbeitet werden. Bei einer Website oder einem Dienst ist das der Betreiber.
- Der Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen. Ein Hoster, auf dessen Servern die Daten Ihrer Kunden liegen, ist ein typischer Auftragsverarbeiter: So beschreiben Cloud- und Hosting-Dienste auch die Leitlinien 07/2020 des Europäischen Datenschutzausschusses.
Dasselbe Unternehmen kann verschiedene Rollen haben: Für die Daten auf Ihrem Server ist der Hoster Auftragsverarbeiter, für Ihre eigenen Daten wie Name, Zahlungsdaten und Support-Korrespondenz ist er Verantwortlicher. Die Rolle bestimmt die Pflichten. Für die Rechtmäßigkeit der Verarbeitung und die Sicherheit im Server sind Sie verantwortlich, der Hoster für das, was im Vertrag steht, und für die Sicherheit seiner Infrastruktur.
Der Auftragsverarbeitungsvertrag (AVV)
Art. 28 verlangt, dass das Verhältnis zwischen Verantwortlichem und Auftragsverarbeiter in einem Vertrag oder einem anderen Rechtsinstrument geregelt ist. Bei Hostern heißt er Auftragsverarbeitungsvertrag (AVV), international Data Processing Agreement oder Data Processing Addendum (DPA), und ist meist Teil der Bedingungen oder wird auf Anfrage unterzeichnet. Nach der Verordnung muss darin stehen, dass der Auftragsverarbeiter:
- Daten nur auf dokumentierte Weisung des Kunden verarbeitet, auch was Übermittlungen außerhalb der EU betrifft;
- seine Beschäftigten zur Vertraulichkeit verpflichtet und Sicherheitsmaßnahmen nach Art. 32 trifft;
- Unterauftragsverarbeiter nur mit Genehmigung des Kunden einsetzt und Änderungen mitteilt, damit der Kunde widersprechen kann;
- den Kunden bei Anfragen betroffener Personen und bei Meldungen von Datenpannen unterstützt;
- die Daten nach Ende der Leistung löscht oder zurückgibt;
- Informationen für Prüfungen bereitstellt und Audits ermöglicht.
Bietet ein Hoster keinen AVV an und ist nicht bereit, einen zu unterzeichnen, ist das für ein Projekt mit Daten von Menschen in der EU ein ernsthafter Mangel, auch wenn der Server in Frankfurt steht.
Daten in der EU und außerhalb
Die Verordnung erlaubt Übermittlungen aus dem EWR, aber nur unter den Bedingungen von Kapitel V. Die beiden wichtigsten Mechanismen:
- Angemessenheitsbeschluss (Art. 45). Die Europäische Kommission hat das Schutzniveau einer Reihe von Ländern als ausreichend anerkannt, Übermittlungen dorthin brauchen keine zusätzlichen Unterlagen. Laut Liste der Kommission mit Stand November 2026 sind das unter anderem Großbritannien, die Schweiz, Japan, die Republik Korea, Kanada für kommerzielle Organisationen und seit Januar 2026 Brasilien. Für die USA gilt der Beschluss nur für Unternehmen, die am EU-US Data Privacy Framework teilnehmen. Russland steht nicht auf der Liste.
- Standardvertragsklauseln (Art. 46). Ist ein Land nicht als angemessen anerkannt, unterzeichnen die Parteien die mit dem Durchführungsbeschluss (EU) 2021/914 genehmigten Musterklauseln und prüfen, ob das Recht des Empfängerlandes ihre Einhaltung zulässt. Bei Bedarf kommen technische Maßnahmen hinzu, vor allem eine Verschlüsselung, deren Schlüssel in der EU bleiben.
Übermittlung ist nicht nur der Umzug einer Datenbank. Nach den Empfehlungen 01/2020 des EDSA gilt auch der Fernzugriff auf Daten aus einem Drittland als Übermittlung, etwa wenn der Support des Hosters von außerhalb der EU arbeitet. Backup-Kopien auf einem Server in einem anderen Land und ausländische Newsletter- und Analysedienste müssen Sie ebenfalls berücksichtigen.
Erheben Sie auch Daten russischer Bürger, kommt für diese das russische Gebot hinzu, sie in Russland zu speichern. Weil Russland keinen Angemessenheitsbeschluss hat, sollten Sie diese Daten und die Daten Ihrer EU-Kunden getrennt halten. Wie beide Regelwerke zusammengehen, beschreibt der Artikel 152-FZ und Hosting.
Rechenzentrum in der EU und Unternehmen aus der EU
Ein Server in der EU bedeutet noch nicht, dass die Daten nur europäischem Recht unterliegen. Ist der Hoster oder seine Muttergesellschaft in einem anderen Land registriert, gelten auch dessen Gesetze. Das meistdiskutierte Beispiel ist der US-amerikanische CLOUD Act, nach dem ein US-Unternehmen Daten an US-Behörden herausgibt, egal wo der Server steht. Sein Verhältnis zur DSGVO haben der EDSA und der Europäische Datenschutzbeauftragte untersucht.
Laut Katalog von accsly.io mit Stand November 2026 haben 1.184 von 1.934 VPS-Anbietern mit bekanntem Standort Server in der EU, das sind 61 %. Am häufigsten sind das Deutschland (597 Anbieter), die Niederlande (536), Frankreich (273), Polen (184) und Finnland (164). Von denen mit bekanntem Sitzland sind 470 von 874, also 54 %, im EWR registriert, die übrigen 404 außerhalb, am häufigsten in den USA (79), Großbritannien (69) und Russland (53). Umgekehrt vermieten 131 der 551 in der EU registrierten Anbieter auch Server außerhalb des EWR, deshalb sollten Sie auch bei einem europäischen Unternehmen das Land des konkreten Tarifs prüfen. Mehr zum Unterschied zwischen dem Land des Unternehmens und dem Land des Servers steht im Artikel Rechtsraum des Hosters.
Tarife mit Servern in der EU finden Sie in der Auswahl VPS in Europa und auf den Länderseiten Deutschland, Niederlande und Finnland.
Was Sie in den Bedingungen des Hosters prüfen sollten
- ob es einen AVV gibt und ob er Art. 28 entspricht: Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragsverarbeiter, Löschung, Audits;
- die Liste der Unterauftragsverarbeiter und wie über neue informiert wird;
- Land und Stadt des Rechenzentrums für den Tarif und wo der Hoster seine Backups speichert;
- von wo der Support arbeitet und ob er Zugriff auf den Inhalt der Server hat;
- den Übermittlungsmechanismus, wenn Daten oder Zugriffe den EWR verlassen: Angemessenheitsbeschluss oder Standardvertragsklauseln;
- in welcher Frist der Hoster den Kunden über einen Datenschutzvorfall informiert;
- Sicherheitszertifikate des Rechenzentrums, etwa ISO/IEC 27001, wenn Ihre Kunden sie verlangen.
Ihre Pflichten auf einem VPS
Auf einem Server ohne Administration liegen die Sicherheitsmaßnahmen im System bei Ihnen: Updates, Zugang per Schlüssel, Firewall, Verschlüsselung von Festplatten und Backups. Womit Sie anfangen, beschreibt der Artikel Die ersten 10 Schritte nach dem VPS-Kauf, zu Kopien der Artikel VPS-Backups. Eine Verletzung des Schutzes personenbezogener Daten meldet der Verantwortliche nach Art. 33 binnen 72 Stunden der Aufsichtsbehörde, in Deutschland je nach Bereich der Landesdatenschutzbehörde oder dem Bundesbeauftragten für den Datenschutz. Der Auftragsverarbeiter muss sie dem Verantwortlichen unverzüglich melden. Bei Verstößen gegen die Verordnung können Bußgelder bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens verhängt werden, je nachdem, welcher Betrag höher ist.