Hosting in Deutschland: Worauf Unternehmen bei Anbieter und Standort achten sollten

Ein Rechenzentrum in Deutschland ist für viele Unternehmen ein guter Ausgangspunkt, aber noch keine vollständige Antwort auf die Frage, ob ein Hostingangebot passt. Mindestens genauso wichtig ist, wer den Dienst betreibt, welche weiteren Dienstleister beteiligt sind, ob ein Vertrag zur Auftragsverarbeitung vorliegt und wie gut Support, Datensicherung und ein späterer Ausstieg geregelt sind.

Für eine einfache Firmenwebsite reichen oft wenige, sauber geklärte Punkte. Sobald über die Website Anfragen, Bewerbungen oder Kundendaten verarbeitet werden, lohnt sich ein genauerer Blick. Die folgenden Abschnitte ordnen die wichtigsten Kriterien ein. Sie ersetzen keine Rechtsberatung, helfen aber dabei, die richtigen Fragen an den Anbieter zu stellen.

„Hosting in Deutschland“ beschreibt zunächst nur den Ort der Server

Mit dem Standort ist meist das Rechenzentrum gemeint, in dem Webserver und Datenbank laufen. Das ist relevant, weil Daten dort physisch gespeichert und verarbeitet werden. Es sagt aber noch nichts darüber aus, wo der Anbieter seinen Sitz hat, zu welchem Konzern er gehört und welche Unterauftragnehmer er einsetzt.

Ein typisches Beispiel: Die Website eines Handwerksbetriebs liegt auf einem Server in Frankfurt. Das Kontaktformular verschickt seine Nachrichten aber über einen externen Maildienst, die Sicherungen landen bei einem Speicheranbieter, und der Support des Hosters sitzt in einem anderen Land. Jeder dieser Bausteine kann eigene datenschutzrechtliche Fragen aufwerfen.

Bei der Auswahl sollte deshalb nicht nur das Rechenzentrum betrachtet werden, sondern der gesamte Weg der Daten: Webserver, Datenbank, Backups, E-Mail-Versand, Fernwartung durch den Support und gegebenenfalls eingebundene Dienste wie Schriftarten, Karten oder Analysewerkzeuge. Ein seriöser Anbieter kann zumindest seine eigenen Unterauftragnehmer benennen.

Wann Daten Europa verlassen: Drittlandtransfer nach Art. 44 ff. DSGVO

Die Datenschutz-Grundverordnung regelt in den Artikeln 44 bis 49, unter welchen Bedingungen personenbezogene Daten in ein Land außerhalb der EU und des EWR übermittelt werden dürfen. Grundsätzlich braucht es dafür eine Grundlage: entweder einen Angemessenheitsbeschluss der EU-Kommission für das Zielland oder geeignete Garantien wie Standardvertragsklauseln.

Für die USA besteht mit dem EU-US Data Privacy Framework ein Angemessenheitsbeschluss. Er erfasst Übermittlungen an teilnehmende US-Unternehmen im Rahmen ihrer gültigen Zertifizierung, nicht pauschal jeden Anbieter in den USA. Vor Vertragsabschluss muss deshalb geprüft werden, welche Gesellschaft die Daten erhält, ob sie aktuell zertifiziert ist und ob die konkrete Verarbeitung davon abgedeckt wird (Stand 1. Oktober 2026).

Ein rechtlich zulässiger Transfer beantwortet noch nicht alle Fragen zur Vertraulichkeit und zur Kontrolle über Daten. Entscheidend bleiben Datenarten, beteiligte Unternehmen, Zugriffswege und vereinbarte Schutzmaßnahmen. Eine vollständig innerhalb des Europäischen Wirtschaftsraums erbrachte Verarbeitung kann Drittlandtransfers vermeiden; das muss aber für den gesamten Datenweg einschließlich Support, Sicherungen und Unterauftragnehmer tatsächlich gelten.

Ein EU-Rechenzentrum beantwortet nicht die Frage nach dem CLOUD Act

Häufig wird angenommen, dass Daten in einem deutschen Rechenzentrum automatisch vor dem Zugriff ausländischer Behörden geschützt sind. Bei Anbietern mit US-Konzernbezug ist das nicht so eindeutig. Der US-amerikanische CLOUD Act verpflichtet Anbieter, angeforderte Daten herauszugeben, die sich in ihrem Besitz, Gewahrsam oder ihrer Kontrolle befinden, unabhängig davon, ob diese Daten innerhalb oder außerhalb der USA gespeichert sind.

Wie weit diese Pflicht im Einzelfall reicht, etwa bei europäischen Tochtergesellschaften eines US-Konzerns, ist juristisch umstritten. Gleichzeitig steht eine solche Herausgabe im Spannungsverhältnis zur DSGVO. Für die Praxis genügt eine nüchterne Feststellung: Ein Serverstandort in Deutschland und ein Unternehmenssitz im Einflussbereich des US-Rechts sind zwei verschiedene Kriterien.

Ob das für eine konkrete Website eine Rolle spielt, hängt stark von den Daten ab. Die öffentlich einsehbare Leistungsübersicht eines Steuerbüros ist ein anderer Fall als ein Mandantenportal mit Lohnunterlagen. Je sensibler und vertraulicher die verarbeiteten Informationen sind, desto eher lohnt sich ein Anbieter ohne US-Konzernbezug.

Der Auftragsverarbeitungsvertrag gehört zum Hostingvertrag

Sobald der Hoster personenbezogene Daten im Auftrag des Unternehmens verarbeitet, ist nach Art. 28 DSGVO ein Vertrag zur Auftragsverarbeitung erforderlich. Das betrifft praktisch jede Website mit Kontaktformular, Terminbuchung, Bewerbungsfunktion oder Kundenkonto. Auch Server-Logs mit IP-Adressen können personenbezogene Daten enthalten.

Der Vertrag regelt unter anderem, dass der Anbieter nur auf Weisung verarbeitet, welche technischen und organisatorischen Schutzmaßnahmen gelten, welche Unterauftragsverarbeiter beteiligt sind und was nach Vertragsende mit den Daten geschieht. Nach Art. 28 Abs. 3 lit. g muss der Auftragsverarbeiter die Daten nach Abschluss der Leistung nach Wahl des Verantwortlichen löschen oder zurückgeben.

Viele Hoster stellen einen standardisierten Vertrag im Kundenportal bereit, der nur noch abgeschlossen werden muss. Das ist in Ordnung. Wichtig ist, dass es auch tatsächlich geschieht, dass der Vertrag im Unternehmen abgelegt wird und die Liste der Unterauftragsverarbeiter zum oben beschriebenen Datenweg passt.

Zertifizierungen zeigen einen geprüften Rahmen, aber nicht jedes Detail

Bei Rechenzentren und Hostern begegnen Unternehmen vor allem zwei Nachweisen. Eine Zertifizierung nach ISO/IEC 27001 bestätigt, dass ein Managementsystem für Informationssicherheit eingeführt ist und regelmäßig von einer Zertifizierungsstelle geprüft wird. Entscheidend ist dabei der Geltungsbereich. Ein Zertifikat des Rechenzentrumsbetreibers, bei dem der Hoster nur Fläche mietet, sagt wenig über die Abläufe des Hosters selbst aus.

Der Kriterienkatalog C5 des BSI beschreibt Anforderungen an die Informationssicherheit von Cloud-Diensten. Die Umsetzung kann durch Wirtschaftsprüfer testiert werden. Ein Typ-1-Bericht betrachtet die Ausgestaltung zu einem Zeitpunkt, ein Typ-2-Bericht zusätzlich die Wirksamkeit über einen Prüfzeitraum. Für die Auswahl zählen die konkrete Fassung, der erfasste Dienst, der Prüfzeitraum und mögliche Einschränkungen im Bericht.

Für eine klassische Firmenwebsite ist ein C5-Testat selten ein zwingendes Kriterium. Bei Cloud-Plattformen, auf denen Geschäftsdaten dauerhaft liegen, kann es dagegen ein sinnvoller Nachweis sein. In beiden Fällen gilt: lieber nach Geltungsbereich und Gültigkeit fragen, als ein Logo auf der Anbieterseite als Beleg zu nehmen.

Support: Wer antwortet, wenn die Website nicht erreichbar ist?

Im Alltag fällt Hosting meist erst auf, wenn etwas nicht funktioniert. Dann zählt, wie schnell jemand erreichbar ist, der das Problem versteht. Vor Vertragsabschluss sollte klar sein, über welche Wege der Support erreichbar ist, zu welchen Zeiten, mit welchen Reaktionszeiten und ob es für echte Ausfälle einen Notfallweg außerhalb der Geschäftszeiten gibt.

Ebenso wichtig ist die Frage, was der Support überhaupt übernimmt. Bei vielen günstigen Tarifen kümmert sich der Anbieter nur um Server und Netzwerk. Für das Content-Management-System, Plugins oder ein fehlerhaftes Formular bleibt das Unternehmen selbst oder dessen Agentur zuständig.

Auch Verfügbarkeitsangaben lohnen einen zweiten Blick. Eine zugesagte Verfügbarkeit von 99,9 Prozent erlaubt rechnerisch knapp neun Stunden Ausfall im Jahr. Oft sind angekündigte Wartungsfenster davon ausgenommen. Für eine Informationsseite ist das meist unkritisch, für einen Onlineshop mit täglichem Umsatz möglicherweise nicht.

Backups des Hosters ersetzen keine eigene Datensicherung

Fast jeder Hoster wirbt mit Datensicherungen. Die Unterschiede liegen im Detail. Manche Tarife sichern nur die Dateien der Website, andere zusätzlich Datenbank und Postfächer. Die Aufbewahrung reicht von wenigen Tagen bis zu mehreren Wochen, und nicht immer liegen die Sicherungen an einem anderen Ort als der Server. Auch der Weg zurück unterscheidet sich: Bei einigen Anbietern lassen sich einzelne Dateien selbst im Kundenportal wiederherstellen, bei anderen ist jede Wiederherstellung ein kostenpflichtiger Supportauftrag.

Hinzu kommt eine organisatorische Grenze. Sicherungen, die ausschließlich beim Hoster liegen, helfen nicht, wenn das Kundenkonto gesperrt wird, der Vertrag endet oder der Anbieter selbst ein größeres Problem hat. Für geschäftlich wichtige Websites ist deshalb eine zusätzliche Kopie außerhalb der Hostingumgebung sinnvoll.

Ob eine Sicherung im Ernstfall wirklich weiterhilft, zeigt erst eine Wiederherstellung. Warum ein grüner Backup-Status allein wenig aussagt, beschreibt unser Beitrag Backup vorhanden, aber funktioniert die Wiederherstellung auch?.

Der Ausstieg sollte schon beim Einstieg geklärt sein

Kaum jemand denkt bei der Auswahl eines Hosters an die Kündigung. Dabei entscheidet sich gerade hier, wie abhängig ein Unternehmen wird. Zu klären sind Mindestlaufzeit, Kündigungsfrist und die Frage, wie lange Daten nach Vertragsende noch abrufbar sind, bevor sie gelöscht werden.

Für einen Umzug braucht das Unternehmen seine Inhalte in einem verwertbaren Format: Dateien der Website, einen Export der Datenbank und gegebenenfalls E-Mail-Postfächer. Schwierig wird es bei Baukastensystemen, deren Seiten sich nur innerhalb der Plattform bearbeiten lassen. Dann bleibt beim Wechsel oft nur ein Neuaufbau.

Der europäische Data Act enthält seit September 2025 Regeln, die den Wechsel zwischen Cloud- und Datenverarbeitungsdiensten erleichtern sollen. Nach Angaben der EU-Kommission zum Data Act sollen Wechselentgelte ab dem 12. Januar 2027 vollständig entfallen. Ob und in welchem Umfang diese Regeln für einen konkreten Hostingtarif greifen, sollte im Einzelfall geprüft werden. Unabhängig davon ist ein vertraglich klar beschriebener Exportweg die verlässlichere Grundlage.

Die Domain muss auf das Unternehmen laufen

Die Domain ist oft der wertvollste Teil des Webauftritts, weil an ihr neben der Website meist auch E-Mail, Microsoft 365 und weitere Dienste hängen. Sie wird häufig gemeinsam mit dem Hosting bestellt, manchmal durch eine Agentur oder einen früheren Mitarbeiter. Dabei kommt es vor, dass nicht das Unternehmen als Inhaber eingetragen ist.

Für juristische Personen empfiehlt die DENIC als Registrierungsstelle für .de-Domains, die Organisation selbst mit vollständiger Firmierung als Domaininhaber einzutragen. Bei Einzelunternehmen muss die Eintragung zur tatsächlichen Rechtsperson und dem Vertrag passen. Wichtig ist die administrative Kontrolle durch das Unternehmen: Ein Dienstleister kann technisch verwalten, sollte die Domain aber nicht ohne klare Vereinbarung auf eigenen Namen halten.

Da öffentliche Abfragen zu .de-Domains heute kaum noch Inhaberdaten zeigen, lässt sich das am einfachsten über den Hoster oder die Vertragsunterlagen klären. Wie Domain, DNS und Zugänge bei einem Anbieterwechsel sauber übergeben werden, beschreibt der Beitrag IT-Dienstleister wechseln: Was Unternehmen bei der Übergabe unbedingt erhalten sollten.

Wie streng die Anforderungen sein müssen, hängt von den Daten ab

Nicht jede Website braucht dieselbe Sorgfalt bei der Anbieterauswahl. Eine reine Informationsseite ohne Formulare stellt geringere Anforderungen als ein Portal, über das Kunden Dokumente hochladen. Sinnvoll ist deshalb, zuerst festzustellen, welche Daten über die Website tatsächlich verarbeitet werden, und daraus abzuleiten, welche Kriterien Pflicht und welche nur wünschenswert sind.

Die folgende Übersicht fasst die wichtigsten Fragen an einen Anbieter zusammen:

Bei einer Informationsseite stehen Domain, Support, Datensicherung und Ausstieg im Vordergrund. Auch dort können personenbezogene Daten wie IP-Adressen in Serverprotokollen verarbeitet werden; die Prüfung der Auftragsverarbeitung entfällt deshalb nicht automatisch. Formulare und Kundenportale erweitern den Datenweg und die Schutzanforderungen. Bei sensiblen Informationen sind zusätzlich Zugriffe, Unterauftragnehmer und möglicher Drittlandbezug besonders sorgfältig zu bewerten. Datenschutzrechtliche Zweifelsfälle gehören in die Abstimmung mit Datenschutzbeauftragten oder rechtlicher Beratung.

Was Wernecke IT beim Hosting übernehmen kann

Wir betreiben Hosting für Unternehmenswebsites in einem Rechenzentrum in Deutschland und dokumentieren für den vereinbarten Leistungsumfang nachvollziehbar, welche Dienste beteiligt sind und wie Daten fließen. Dazu gehören je nach Paket Serverbetrieb, Domains und DNS, automatisch erneuerte TLS-Zertifikate, Datensicherung und Monitoring. Supportanfragen beantworten wir selbst. Die Hostingsicherung schützt die Hostingumgebung, ersetzt aber kein eigenständiges Konzept für Backup & Disaster Recovery für andere geschäftskritische Systeme.

Wenn Sie für Ihr Unternehmen in Berlin oder Brandenburg ein bestehendes Hosting einordnen, einen Umzug planen oder vorab klären möchten, welche Anforderungen für Ihre Website tatsächlich gelten, gehen wir die Punkte gern gemeinsam durch. Kontakt aufnehmen.