DSGVO-konformes Hosting ist Hosting, das die Anforderungen der Datenschutz-Grundverordnung an die Verarbeitung personenbezogener Daten erfüllt. Der Anbieter ist dabei Auftragsverarbeiter, verantwortlich bleibt der Betreiber der Website. Ein Siegel des Anbieters nimmt diese Verantwortung nicht ab.
- DSGVO-konformes Hosting
Hosting, das die Anforderungen der Datenschutz-Grundverordnung an die Verarbeitung erfüllt.
Beispiel: „Für das Projekt der Klinik brauchen wir DSGVO-konformes Hosting mit Standort in Deutschland.“Auch: datenschutzkonformes Hosting. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO, kurz AV-Vertrag.
Abgrenzung zum Serverstandort: Der ist eine der Angaben, auf die es ankommt, und allein genügt er nicht.
Was DSGVO-konformes Hosting verlangt
Einen Vertrag zur Auftragsverarbeitung, der die Weisungsgebundenheit, die Löschung am Ende und die Unterauftragsverarbeiter regelt. Dazu ein Verzeichnis dieser Unterauftragsverarbeiter, denn jeder Dienst hinter dem Anbieter gehört dazu, von der Sicherung bis zur Auswertung der Protokolle.
Technisch gehören Maßnahmen nach Artikel 32 dazu: verschlüsselte Übertragung, Zugriffsbeschränkung, Protokollierung von Zugriffen und eine Sicherung, deren Wiederherstellung geprüft wurde. Das ist derselbe Katalog, der ohnehin zum ordentlichen Betrieb gehört.
Wo bei DSGVO-konformem Hosting die Fallstricke liegen
In den Diensten drumherum. Die Website liegt in Frankfurt, aber die Sicherung läuft in eine andere Region, das CDN hält Kopien weltweit, und die Serverprotokolle mit IP-Adressen werden bei einem dritten Anbieter ausgewertet. Jeder dieser Wege braucht eine Grundlage.
Der zweite Fallstrick sind Protokolldateien. IP-Adressen sind personenbezogene Daten, und Serverlogs, die unbegrenzt liegen bleiben, sind eine Speicherung ohne Zweck. Eine Löschfrist von wenigen Tagen bis Wochen und eine Logrotation, die sie durchsetzt, erledigen das.
Was du beim Anbieter abfragen solltest
Vier Punkte, und alle gehören schriftlich beantwortet. Wo stehen die Server, wo liegen die Sicherungen, welche Unterauftragsverarbeiter sind beteiligt, und wie lange werden Protokolle aufbewahrt. Dazu, wie der Anbieter bei einer Datenschutzverletzung informiert, denn die Meldefrist von 72 Stunden läuft gegen den Betreiber.
Was ein Siegel nicht ersetzt: die eigene Prüfung der Website. Einbindungen von außen, Schriftarten aus fremden Netzen, Karten und Videos übertragen Daten unabhängig vom Hosting, und daran ändert der Standort des Servers nichts.