Ob ein Hosting DSGVO-konform ist, hängt vor allem an drei Punkten: welchem Recht der Anbieter unterliegt, ob ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vorliegt und wann gelöschte Daten auch aus den Backups verschwinden. „DSGVO-konform“ steht auf fast jeder Hosting-Werbeseite, prüfen müssen Sie es trotzdem selbst. Verantwortlich für die Daten bleiben Sie.
Serverstandort und Rechtsraum
Wo der Server steht, ist nur die halbe Antwort. Genauso wichtig ist, welchem Recht der Betreiber unterliegt. Ein Rechenzentrum in Frankfurt hilft wenig, wenn der Betreiber nach US-Recht zur Herausgabe von Daten verpflichtet werden kann. Bei einem europäischen Anbieter mit europäischer Muttergesellschaft stellt sich diese Frage nicht.
Der Auftragsverarbeitungsvertrag
Ohne Auftragsverarbeitungsvertrag (AVV) verstößt das Hosting personenbezogener Daten gegen die DSGVO, egal wie gut die Technik ist. Prüfen Sie, ob ein AVV nach Art. 28 DSGVO vorliegt und ob alle Subunternehmer darin aufgeführt sind. Fragen Sie außerdem, ob der Anbieter Sie von sich aus informiert, wenn sich an dieser Liste etwas ändert.
Backups und Löschkonzept
Zwei Fragen werden selten gestellt: Wo liegen die Backups, und wann verschwinden gelöschte Daten auch dort? Ein Löschkonzept, das die Backups auslässt, ist unvollständig. Ein guter Anbieter kann Ihnen schriftlich geben, wie lange Sicherungen aufbewahrt und wann sie überschrieben werden.
- Serverstandort und Unternehmenssitz in der EU?
- AVV nach Art. 28 DSGVO mit vollständiger Liste der Subunternehmer?
- Verschlüsselung bei Übertragung und Speicherung?
- Aufbewahrungs- und Löschfristen der Backups dokumentiert?
- Zertifizierung des Rechenzentrums, zum Beispiel ISO 27001?
Was Sie vom Anbieter schriftlich brauchen
Mit einem europäischen Anbieter und einem vollständigen AVV ist der größte Teil erledigt. Lassen Sie sich Standort, Zertifizierungen, Subunternehmer und Aufbewahrungsfristen schriftlich geben und legen Sie die Unterlagen zu Ihrer Datenschutzdokumentation. Bei Anwendungen, die wir betreiben, liefern wir Standort, Zertifizierungen und den AVV mit.