Website DSGVO-konform hosten: Die 8 wichtigsten Punkte

Jede Website verarbeitet personenbezogene Daten – mindestens die IP-Adressen der Besucher, oft auch Namen und E-Mail-Adressen aus Kontaktformularen. Damit gilt die Datenschutz-Grundverordnung (DSGVO). Die gute Nachricht: Mit dem richtigen Hosting und sauberer Technik lassen sich die meisten Risiken einfach vermeiden.

Hinweis: Dieser Artikel gibt einen praxisnahen Überblick aus technischer Sicht und ersetzt keine Rechtsberatung.

1. Serverstandort: Deutschland oder EU

Die DSGVO schreibt keinen Serverstandort in Deutschland vor. Werden Daten aber in Länder außerhalb der EU übertragen, gelten zusätzliche Anforderungen an die Rechtsgrundlage und den Schutz der Daten. Mit einem Server in Deutschland bleiben Website-Daten und E-Mails im Geltungsbereich der DSGVO – das vereinfacht die Dokumentation und schafft Vertrauen bei Ihren Kunden.

2. Vertrag zur Auftragsverarbeitung (AV-Vertrag)

Ihr Hoster verarbeitet in Ihrem Auftrag personenbezogene Daten. Dafür verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Seriöse Anbieter stellen ihn unaufgefordert bereit. Fehlt er, ist das ein formaler Verstoß, der bei einer Prüfung schnell auffällt.

3. Verschlüsselung per SSL/TLS

Art. 32 DSGVO verlangt angemessene technische Schutzmaßnahmen. Eine verschlüsselte Verbindung (https) ist dafür heute selbstverständlich – spätestens, sobald es ein Kontaktformular gibt. Achten Sie außerdem darauf, dass alle Aufrufe per http automatisch und mit vollständigem Pfad auf https umgeleitet werden.

4. Keine Google Fonts und CDNs von fremden Servern

Werden Schriften, Skripte oder Bibliotheken von externen Servern geladen, wird dabei die IP-Adresse des Besuchers an den Anbieter übertragen. Das Landgericht München I hat 2022 (Az. 3 O 17493/20) einem Website-Besucher Schadensersatz zugesprochen, weil Google Fonts ohne Einwilligung dynamisch eingebunden waren. Die einfache Lösung: Schriften und Skripte lokal auf dem eigenen Server ausliefern. Das ist datenschutzfreundlich und meist sogar schneller.

5. Cookies und Tracking nur mit Einwilligung

Für nicht notwendige Cookies und vergleichbare Technologien – etwa für Statistik, Marketing oder eingebettete Videos – ist nach § 25 TDDDG (früher TTDSG) in der Regel eine Einwilligung erforderlich. Am einfachsten ist es, gar nicht erst unnötige Dienste einzubinden. Wer Statistiken braucht, kann auf datensparsame Lösungen ohne Cookies setzen.

6. Server-Logfiles mit Augenmaß

Webserver protokollieren Zugriffe, um Fehler und Angriffe erkennen zu können. Das ist in der Regel durch ein berechtigtes Interesse gedeckt, sollte aber in der Datenschutzerklärung beschrieben sein. Logfiles mit IP-Adressen sollten nicht länger als nötig gespeichert werden.

7. Kontaktformulare und E-Mail

Fragen Sie im Kontaktformular nur ab, was Sie wirklich brauchen, und verweisen Sie auf die Datenschutzerklärung. Wichtig ist auch, wo die Nachrichten landen: E-Mail-Postfächer bei einem Hoster in Deutschland sind die naheliegende Wahl, wenn Ihre Website dort ohnehin läuft.

8. Backups und Updates

Zu den technischen Maßnahmen nach Art. 32 DSGVO gehört auch, Daten bei einem Zwischenfall wiederherstellen zu können und bekannte Sicherheitslücken zu schließen. Regelmäßige Backups und Updates sind deshalb nicht nur eine technische, sondern auch eine Datenschutz-Frage. Bei mir sind tägliche Backups und Updates Teil des Wartungs- und Supportvertrags.

Checkliste zum Mitnehmen

• Server in Deutschland oder der EU
• AV-Vertrag mit dem Hoster liegt vor
• https überall, http leitet sauber um
• Schriften und Skripte lokal statt von Google & Co.
• Keine Tracking-Cookies ohne Einwilligung
• Logfiles und Formulare in der Datenschutzerklärung beschrieben
• Regelmäßige Updates und Backups

All das ist bei meinem Hosting in Deutschland berücksichtigt: Server-Standort Deutschland, AV-Vertrag, SSL-Zertifikat, E-Mail-Postfächer und kostenloser Umzug – auf Wunsch mit Wartungsvertrag inklusive Backups.