Recht auf Auskunft
Unternehmen haben das Recht, innerhalb eines Monats Auskunft über ihre gespeicherten Daten zu verlangen. Ihr Hosting-Anbieter muss diese in maschinenlesbarer Form bereitstellen.
Datenschutz & Sicherheit
DSGVO-konformes Hosting: Vertrauen aufbauen
Was Unternehmen 2024 wirklich beachten müssen, um rechtssicher zu bleiben und Chancen zu nutzen. Ein Leitfaden für die moderne Infrastruktur.
Warum das Thema relevanter denn je ist
Der neue Standard für digitale Unternehmen
Die Datenschutz-Grundverordnung (DSGVO) ist längst nicht mehr nur ein bürokratisches Hindernis. Sie ist ein Wettbewerbsvorteil. Unternehmen, die ihre Datenverarbeitung transparent und sicher aufbauen, gewinnen das Vertrauen der Kunden. Wer versagt, riskiert nicht nur Strafen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, sondern auch den Verlust der Markenreputation.
Im Jahr 2024 verschiebt sich der Fokus von reinen technischen Schutzmaßnahmen hin zu vertraglichen Verpflichtungen und transparenten Prozessen. Hosting-Anbieter müssen nicht nur Speicherplatz anbieten, sondern vollständige rechtliche Sicherheit bieten – von der Serverstandortwahl bis hin zur Dokumentation aller Datenverarbeitungen.
Kernanforderungen
Was das Gesetz eigentlich verlangt
DSGVO-Konformität bedeutet mehr als nur "Server in Europa".
Datenportabilität
Daten dürfen von einem Anbieter zum anderen übertragen werden, ohne dass sich der Inhalt ändert. Die Infrastruktur muss APIs bereitstellen, um Exporte einfach zu gestalten.
Löschbarkeit (Recht auf Vergessenwerden)
Nutzer können verlangen, dass ihre Daten gelöscht werden. Dies erfordert proaktive Backupsysteme, die Daten zeitnah nach Löschanweisungen sicher entfernen können.
Checkliste
10 Punkte für DSGVO-konformes Hosting
- 1 Serverstandort in der EU (z.B. Frankfurt, Wien)
- 2 ISO 27001 und TÜV-zertifizierte Rechenzentren
- 3 Schlüsselleitung (Key Management) liegt beim Kunden
- 4 Detaillierte Auftragsverarbeitungsverträge (AVV)
- 5 Regelmäßige Penetrationstests und Audits
- 6 Automatisierte Backups mit Versionierung
- 7 Diskreten Zugriff auf Protokolldateien
- 8 DSGVO-konforme Kontaktmöglichkeit (DPO-Support)
- 9 GDPR-konforme SSL-Zertifikate (Let's Encrypt)
- 10 Vorhersehbare SLA mit transparenter Meldung bei Ausfällen
Runlys Ansatz
Daten bleiben in Deutschland und Österreich
Rechenzentrum in Frankfurt
Unser Hauptrechenzentrum in Frankfurt am Main (DE-CIX) bietet direkten Zugang zu den wichtigsten Peering-Netzen Europas. Die Datenverarbeitung unterliegt deutschem Recht.
Standort Wien
Als Ergänzung bieten wir Server in Wien an. Dies erlaubt es Unternehmen, ihre Daten physisch an zwei Orten zu verteilen und im Falle eines Notfalls Redundanz zu gewährleisten.
ISO 27001 Zertifizierung
Unser komplettes Infrastruktur-Management ist nach ISO 27001 (Informationssicherheit) zertifiziert. Wir dokumentieren prozessseitig alle Sicherheitsmaßnahmen, um Ihnen den Nachweis zu erbringen.
AVV Muster
Vorlage für Auftragsverarbeitungsverträge
Ein Auszug aus typischen Vertragsklauseln, die Sie in Ihren AVV aufnehmen sollten.
// Beispiel: Laufzeit und Beendigung
1. Vertragslaufzeit: Dieser Auftragsverarbeitungsvertrag beginnt mit dem erstmaligen Zugriff auf Daten und dauert unbefristet an.
2. Beendigung durch Auftraggeber: Der Auftraggeber kann den Vertrag mit einer Frist von 30 Tagen zum Monatsende kündigen. Die Kündigung muss schriftlich (E-Mail gilt als Schriftform) erfolgen.
3. Löschpflicht: Bei Beendigung oder Widerruf der Einwilligung durch den Auftraggeber sind die Daten unverzüglich, spätestens jedoch innerhalb von 30 Tagen, zu löschen. Eine erneute Speicherung erfolgt nur für die Zwecke der Beweissicherung und Abrechnung für den Zeitraum von sechs Monaten nach Beendigung.
// Beispiel: Sicherheitsmaßnahmen
4. Sicherheitsstandards: Der Auftragsverarbeiter verpflichtet sich, die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen, um einen sicheren Umgang mit den Daten zu gewährleisten. Dazu gehören insbesondere:
• Verschlüsselung von Daten in Ruhe und in Bewegung.
• Regelmäßige Sicherungen auf verschlüsselten Medien.
• Zugangskontrolle durch Zwei-Faktor-Authentifizierung (2FA).
• Überwachung und Protokollierung aller Zugriffe.
Fehlervermeidung
Häufige Fallstricke im Hosting-Management
Viele Unternehmen scheitern an der Praxis, nicht am Gesetz. Hier sind die häufigsten Fehler, die wir bei Kunden sehen:
Vertrauen auf "Cloud-Standard"-Anbieter: Nicht jeder Cloud-Anbieter bietet eine DSGVO-konforme AVV und ISO-Zertifizierung. Seien Sie skeptisch bei US-Anbietern, die Daten auf Servern außerhalb der EU speichern, es sei denn, sie bieten den sogenannten EU-Data Center Bundle an.
Keine klare Trennung von Test- und Produktivdaten: Test-Umgebungen sollten getrennt von Live-Daten gehalten werden, um versehentliches Löschen oder Versehen zu vermeiden. Nutzen Sie separate Subdomains oder V-Hosts.
Fehlende Backup-Strategie: Ein Backup ist nur gut, wenn es funktioniert. Testen Sie regelmäßig Ihre Restore-Prozeduren. Ein Backup, das nicht wiederhergestellt werden kann, ist wertlos und gefährlich im Falle eines Ransomware-Angriffs.
Rechtlicher Hinweis
Quellen und Disclaimer
Haftungsausschluss: Dieser Artikel stellt keine Rechtsberatung dar. Die Informationen basieren auf dem Stand der Gesetzgebung (DSGVO) und allgemeinen Best Practices für die Informationssicherheit im Jahr 2024. Für verbindliche rechtliche Beratung wenden Sie sich bitte an einen spezialisierten Datenschutzbeauftragten (DPO) oder Rechtsanwalt.
Weiterführende Ressourcen: