Wo liegt Ihre Website - und warum das eine Datenschutzfrage ist
Kurz gesagt
Der Serverstandort entscheidet direkt über die DSGVO-Konformität Ihrer Website. Wer personenbezogene Daten auf US-Servern oder bei Anbietern mit US-Mutterkonzern speichert, braucht zusätzliche Absicherung — und riskiert trotzdem Zugriff über den US CLOUD Act. Für die meisten Mittelstandsprojekte ist ein deutscher Hoster wie Hetzner die einfachere, günstigere und rechtssicherere Wahl.
Warum der Serverstandort DSGVO-relevant ist
Die DSGVO regelt nicht nur die Verarbeitung, sondern auch die Speicherung personenbezogener Daten. Wer Kundendaten auf Servern in Drittländern ablegt, braucht dafür eine rechtliche Grundlage: Standardvertragsklauseln, eine Transfer-Impact-Assessment oder den Nachweis eines angemessenen Datenschutzniveaus im Zielland. Seit dem Schrems-II-Urteil des EuGH ist dabei besonders der Zugriff US-amerikanischer Behörden auf Serverdaten relevant — ein Punkt, den viele Unternehmen unterschätzen.
Das betrifft auch Fälle, in denen die Daten physisch in einem europäischen Rechenzentrum liegen. Über den US CLOUD Act können US-Behörden auf Daten zugreifen, sofern das Unternehmen dahinter seinen Hauptsitz in den USA hat — unabhängig davon, wo der Server physisch steht. Das gilt für AWS, Google Cloud und Microsoft Azure gleichermaßen, auch bei einer EU-Rechenzentrumsregion.
Für Mittelständler bedeutet das: Wer ein Kontaktformular, einen Shop oder ein Kundenportal betreibt, verarbeitet personenbezogene Daten und hat damit eine Rechenschaftspflicht gegenüber der Aufsichtsbehörde. Die Frage „Wo liegt unser Server?" ist deshalb keine technische Kleinigkeit, sondern eine Compliance-Entscheidung.
Hosting-Optionen im Überblick
- Shared Hosting (STRATO, 1&1): günstig ab etwa 3 Euro pro Monat, aber geteilte Ressourcen und kaum Konfigurationsfreiheit
- VPS bei Hetzner: eigene Ressourcen, volle Kontrolle, skalierbar — für die meisten Unternehmenswebsites ausreichend
- Managed Server (Plesk/cPanel): gute Balance aus Kontrolle und Komfort, geeignet für wachsende Projekte
- Dedicated Server: eigener physischer Server, höchste Performance, sinnvoll bei sehr hohem Traffic
- Cloud (AWS, Azure, Google Cloud): maximale Skalierbarkeit, aber US-Datentransfer-Risiko beachten
- Deutsche Hoster (Hetzner, IONOS, STRATO): DSGVO-freundlich, EU-Rechenzentren, klare AVV-Grundlage
- Agentur-Reseller-Hosting: bequem, aber Abhängigkeit vom Anbieter — nur mit eigenen Zugangsdaten akzeptabel
- Managed Hosting mit SLA: relevant für geschäftskritische Anwendungen mit Verfügbarkeitsgarantie
Wenn die Agentur auf eigenem Reseller-Konto hostet
Manche Agenturen hosten Kundenprojekte auf eigenen Reseller-Accounts. Der Auftraggeber hat dann keinen direkten Zugang zum Server, kein eigenes Konto beim Hoster und ist vollständig von der Agentur abhängig. Ein Beispiel aus der Praxis: Ein Handwerksbetrieb aus OWL wechselte die Agentur — und wartete drei Monate auf den Zugang zur eigenen Website, weil der Vertrag das nicht geregelt hatte. Fordern Sie deshalb grundsätzlich ein Hosting auf einem Konto, das Ihnen gehört, inklusive Zugangsdaten, Datenbank-Dumps und einer Kopie aller DNS-Einstellungen.
Wo liegt Ihre Website in 5 Schritten prüfen
1. Aktuellen Standort ermitteln: Fragen Sie Ihre Agentur oder prüfen Sie es selbst über den Hoster-Vertrag. Wichtig: Der physische Standort des Rechenzentrums entscheidet, nicht der Firmensitz des Hosters. 2. Datenschutzrechtliche Prüfung: Besteht ein Auftragsverarbeitungsvertrag mit dem Hoster? Liegt das Rechenzentrum in der EU? Hat der Hoster eine US-Muttergesellschaft? Diese drei Fragen sollten vor jedem Vertragsabschluss beantwortet sein. 3. Eigenes Hosting-Konto einrichten: Ein eigenes Konto beim Hoster, nicht über die Agentur, sichert volle Kontrolle über DNS-Einstellungen, Zugänge und Passwörter — und die Möglichkeit, die Agentur jederzeit zu wechseln. 4. Automatische Backups aktivieren: Anbieter wie Hetzner oder IONOS bieten automatische, extern gespeicherte Backups an. Diese sollten nicht auf demselben Server liegen wie die primären Daten. 5. Performance und Verfügbarkeit prüfen: Ein günstiger Server nützt wenig, wenn die Website regelmäßig langsam oder offline ist. Uptime-Monitoring und regelmäßige Ladezeitmessungen gehören dazu.
VPS oder Managed Hosting: Was zum Betrieb passt
Ein Virtual Private Server bietet volle Kontrolle über Betriebssystem, Konfiguration und installierte Software, setzt aber technisches Wissen voraus. Managed Hosting nimmt dem Unternehmen Betriebssystem-Updates, Sicherheits-Patches und grundlegende Server-Konfiguration ab — der Mehrpreis liegt meist bei 5 bis 20 Euro pro Monat. Für wachsende Unternehmen mit mehreren Web-Anwendungen oder eigenem Entwicklerteam ist ein VPS häufig die wirtschaftlichere Wahl bei höherem Volumen. Bei Hetzner reicht für die meisten Unternehmenswebsites ein CX21-Server (2 vCPU, 4 GB RAM) für rund 5,77 Euro pro Monat; für größere Projekte mit mehreren Anwendungen ein CPX31 (4 vCPU, 8 GB RAM) für etwa 12 Euro. Fertige Snapshots und automatische Backups sind dabei bereits im Angebot.
INREMA setzt für Kundenprojekte standardmäßig auf Hetzner-VPS mit deutschem Rechenzentrum und automatischen Backups — erprobt, wartungsarm und mit konsistenter Performance auch bei Lastspitzen durch Mailings, Messen oder Presseartikel.