Ratgeber // Datenschutz

Ist es egal, wo ich meine Website hoste?

Kurz gesagt: nein. Wo Ihre Website liegt, entscheidet über die Ladezeit, über die Verlässlichkeit und über etwas, das erst auffällt, wenn es zu spät ist: den Datenschutz. Was DSGVO-konformes Hosting ausmacht, woran Sie einen sauberen Anbieter erkennen und wie Sie in zehn Minuten herausfinden, wo Ihre eigene Seite steht.

Auf dem Server liegen echte Daten Ihrer Besucher

Jede Website verarbeitet personenbezogene Daten, auch eine schlichte Firmenseite. Die IP-Adresse jedes Besuchers, die Angaben aus Ihrem Kontaktformular, die Server-Protokolle: All das landet dort, wo Ihre Seite gehostet ist. Und dafür sind Sie als Betreiber verantwortlich, nicht der Anbieter.

Das ist der Punkt, den viele überraschend finden: Sie können die Technik vollständig aus der Hand geben und bleiben trotzdem derjenige, den die Aufsichtsbehörde fragt. Der Anbieter ist Ihr Auftragsverarbeiter. Er handelt in Ihrem Auftrag, nicht an Ihrer Stelle.

Was DSGVO-konformes Hosting ausmacht

Der Begriff steht auf vielen Anbieterseiten. Dahinter stehen fünf Dinge, die Sie einzeln nachprüfen können:

• Der Serverstandort. Die Rechner stehen in Deutschland oder in der EU, nicht in einem Land ohne vergleichbares Datenschutzniveau.
• Ein Auftragsverarbeitungsvertrag. Kurz AVV. Er regelt schriftlich, was der Anbieter mit den Daten tun darf und was nicht. Ohne diesen Vertrag ist die Zusammenarbeit rechtlich angreifbar, egal wie gut die Technik ist. Seriöse Anbieter stellen ihn im Kundenbereich zum Abruf bereit.
• Technische Schutzmaßnahmen. Verschlüsselte Übertragung, Zugriffsbeschränkungen, regelmäßige Sicherungen, getrennte Kundenumgebungen. Anbieter fassen das in einem Dokument zusammen, das meist „technische und organisatorische Maßnahmen“ heißt.
• Offengelegte Subunternehmer. Kaum ein Anbieter macht alles selbst. Wer im Hintergrund mit Ihren Daten arbeitet, darf nur mit Ihrer Zustimmung eingesetzt werden, etwa Rechenzentrum oder Sicherungsdienst. Ein sauberer Anbieter führt diese Subunternehmer in einer Liste auf.
• Geregelte Löschung. Was passiert mit Ihren Daten, wenn Sie kündigen? Ein sauberer Vertrag sagt, wann gelöscht wird und wie das nachgewiesen wird.

Fehlt einer dieser Punkte, ist das kein Weltuntergang. Sie sollten aber wissen, dass er fehlt. Denn im Ernstfall müssen Sie ihn erklären.

Muss der Server in Deutschland stehen?

Nein, die DSGVO verlangt keinen deutschen Standort. Innerhalb der Europäischen Union gilt überall dasselbe Datenschutzrecht. Ein Server in Österreich, den Niederlanden oder Finnland ist datenschutzrechtlich genauso in Ordnung wie einer in Frankfurt.

Für Deutschland spricht trotzdem einiges: kürzere Wege für die Ladezeit, Verträge und Unterstützung auf Deutsch, ein Ansprechpartner in derselben Zeitzone. Und wenn ein Kunde fragt, wo seine Anfrage landet, ist „auf einem Server in Deutschland“ die Antwort, die keine Rückfrage auslöst.

Ich hoste deshalb grundsätzlich auf deutschen Servern, mit Auftragsverarbeitungsvertrag. Nicht weil die EU nicht ginge, sondern weil es die einfachste Antwort auf eine Frage ist, die irgendwann kommt.

Das Problem mit US-Anbietern

Liegt Ihre Website bei einem US-Anbieter oder bei der europäischen Tochter eines US-Konzerns, können amerikanische Behörden über den sogenannten CLOUD Act die Herausgabe der Daten verlangen. Das gilt auch dann, wenn der Rechner nachweislich in Frankfurt steht. Entscheidend ist, ob das Unternehmen amerikanischem Recht unterliegt, nicht wo die Maschine brummt.

Seit 2023 gibt es dafür einen Rahmen: das sogenannte Data Privacy Framework. US-Unternehmen können sich darin zertifizieren lassen, und die EU-Kommission hat entschieden, dass Übermittlungen an zertifizierte Unternehmen zulässig sind. Damit ist die Lage entspannter als in den Jahren davor.

Entspannter heißt nicht erledigt. Frühere Abkommen dieser Art wurden zweimal vom Europäischen Gerichtshof gekippt. Das Gericht der EU hat das aktuelle 2025 bestätigt, ein Rechtsmittel dagegen liegt noch beim Europäischen Gerichtshof. Wer heute auf einen US-Anbieter setzt, verlässt sich darauf, dass diesmal alles hält. Für das Hosting einer Firmenwebsite gibt es europäische Anbieter, die dasselbe leisten. Ich wähle dort deshalb die einfachere Lösung. Ein US-Dienst ist damit nicht verboten, er braucht nur eine saubere Grundlage wie das Data Privacy Framework oder Standardvertragsklauseln. Es gibt europäische Anbieter, die dasselbe leisten.

So finden Sie in zehn Minuten heraus, wo Ihre Seite liegt

Sie müssen niemanden fragen, um sich einen ersten Eindruck zu verschaffen:

1. Sehen Sie in Ihre Datenschutzerklärung. Dort sollte stehen, wer Ihre Website hostet, in aller Regel mit Namen. Steht dort nichts oder ein Name, den Sie nicht kennen, ist das schon der erste Befund.
2. Suchen Sie den Auftragsverarbeitungsvertrag. Er liegt meist im Kundenbereich Ihres Anbieters zum Herunterladen bereit. Finden Sie keinen, fragen Sie danach. Die Antwort sagt Ihnen viel.
3. Prüfen Sie die Einbindungen. Schriften, Karten und Videos, die beim Aufruf von fremden Servern nachgeladen werden, übertragen die Adresse Ihres Besuchers dorthin. Das ist unabhängig vom Hosting und nach meiner Erfahrung der häufigere Stolperstein.
4. Fragen Sie nach dem Standort. Ein klarer Anbieter nennt Ihnen Ort und Betreiber des Rechenzentrums ohne Umschweife.

Der dritte Punkt ist der, an dem sich die meisten Unternehmen unbemerkt angreifbar machen. Ein Schriftsatz, der bei jedem Seitenaufruf von einem fremden Server geholt wird, ist schnell eingebaut und fällt niemandem auf, bis jemand danach fragt. Solche Bausteine lassen sich fast immer auf den eigenen Server holen.

Es geht nicht nur um Datenschutz

Der Standort wirkt sich auch ganz handfest aus:

• Geschwindigkeit: Ein Server in Deutschland liefert Ihre Seite an norddeutsche Besucher schneller aus als einer in Übersee. Google bezieht die Ladezeit in die Bewertung ein, bei gleichwertigen Inhalten kann eine schnelle Seite den Ausschlag geben.
• Verlässlichkeit: Nicht jedes Billigpaket hält, was es verspricht. Ausfälle, überlastete Server, Unterstützung nur auf Englisch: Das kostet Sie Anfragen.
• Wem gehört der Zugang? Bei manchen Baukasten-Anbietern hosten Sie nicht wirklich selbst, sondern mieten sich ein. Wollen Sie später umziehen, wird es kompliziert.

Kann ich den Anbieter wechseln?

In den allermeisten Fällen ja, und meist unauffälliger, als Sie denken. Eine übliche WordPress-Seite zieht innerhalb eines Tages um; Ihre Internetadresse bleibt dieselbe, Ihre E-Mail-Adressen bleiben bestehen, Ihre Platzierung bei Google leidet bei sauberer Durchführung nicht darunter. Der Umzug findet vorbereitet statt und wird erst umgeschaltet, wenn die neue Umgebung läuft.

Schwierig wird es nur bei geschlossenen Baukastensystemen. Dort gehört Ihnen der Aufbau nicht, sondern nur der Inhalt, und manchmal nicht einmal der in brauchbarer Form. Wer dort weg will, baut in der Regel neu. Das ist ärgerlich, aber es ist besser, es früh zu wissen als bei der nächsten Verlängerung.

Der günstigste Server ist selten der billigste

Ein Hosting für ein paar Euro im Monat klingt gut, bis der erste Ausfall kommt oder die Datenschutzfrage im Raum steht. Beides kostet am Ende mehr als die paar Euro, die Sie gespart haben. Für ein Unternehmen, das auf seine Kunden und seinen Ruf achtet, ist der Serverstandort keine Nebensache, sondern Teil einer sauberen Grundlage. Zu dieser Grundlage gehört auch, dass jemand den Server im Blick behält: Aktualisierungen, Sicherungen, Ladezeiten. Bei mir heißt dieser Teil Betreuung und Pflege.

Wenn Sie nicht genau wissen, wo Ihre Website liegt und was das für Ihren Datenschutz bedeutet, schaue ich mir das im Erstgespräch mit Ihnen in Ruhe an.

Das hier ist die Sicht aus der Praxis, nicht aus der Kanzlei. Ich beschreibe, worauf ich beim Bauen achte. Wie Ihr Fall rechtlich genau zu beurteilen ist, sagt Ihnen verbindlich nur ein Anwalt.

Häufige Fragen zum Hosting-Standort