Wie ich endlich ein DSGVO konformes Hosting für meine Website fand

Die Frage, ob man einem Hosting-Anbieter blind vertrauen sollte, nur weil auf der Startseite eine deutsche Flagge neben dem Serverstandort blinkt, hat mich als Solopreneurin länger beschäftigt als jede andere Baustelle beim Aufbau meiner eigenen Website – noch vor Impressum, noch vor Cookie-Banner. DSGVO-konformes Hosting klingt nach einer reinen Technikfrage, ist aber vor allem eine Vertragsfrage, und genau darin liegt der Denkfehler, der eine rechtssichere Website am Ende doch nicht rechtssicher macht.

Kurz zur Transparenz, bevor es weitergeht: Dieser Text enthält Affiliate-Links. Kaufst du über einen davon etwas, bekomme ich eine kleine Provision, ohne dass es für dich teurer wird. Verlinkt sind nur Tools, die ich für meine eigene Seite tatsächlich genutzt oder ausführlich geprüft habe. Ich bin keine Juristin, sondern Texterin mit zwei Jahren Praxis im eigenen Compliance-Alltag – bei echten Unsicherheiten ist eine Fachperson für IT-Recht die richtige Adresse, nicht ich.

Der Mythos vom deutschen Serverstandort

Der Mythos hält sich hartnäckig: Serverstandort Deutschland, am besten noch mit TÜV-Siegel auf der Startseite, fertig, DSGVO-Häkchen gesetzt. Als ich meine erste eigene Website aufgesetzt habe, bin ich selbst genau in diese Falle getappt. Die DSGVO verlangt so einen Satz nirgends wörtlich – das ist eher die Kurzformel, die sich in Hosting-Werbetexten durchgesetzt hat, weil sie sich gut verkauft. Was die Verordnung tatsächlich braucht, ist ein Anbieter, der nachweisbar mit dir zusammenarbeitet, nicht nur eine Adresse im Impressum.

Grob hatte ich mir die DSGVO-Grundlagen angelesen und dachte trotzdem lange, Hosting sei damit erledigt, sobald der Standort passt. Ein Gespräch mit einer anderen Solopreneurin aus meiner Freelancer-Community hat mir gezeigt, wie verbreitet dieser Denkfehler ist – fast jede, die neu startet, sucht zuerst nach der Landkarte statt nach dem Vertrag.

Rechtssicheres Hosting hängt am Vertrag, nicht am Rechenzentrum

Rechtssicheres Hosting entscheidet sich nicht am Blinken der Deutschland-Flagge, sondern am Papier, das dahintersteht. Der Hoster ist als Auftragsverarbeiter mit dem größten Zugriff auf die Daten meiner Kundinnen überhaupt mein wichtigster Vertragspartner, was mir erst richtig bewusst wurde, als ich verstand, warum ich als Solopreneur für jedes Tool einen AV Vertrag brauche.

Google Fonts einfach drin lassen und hoffen

Nicht alles, was ich anfangs für erledigt hielt, war es auch. Impressum, Datenschutzerklärung, Cookie-Einwilligung und AGB hatte ich so weit abgehakt, dass mir dabei niemand mehr auf die Finger klopfen konnte. Google Fonts dagegen hab ich im WordPress-Theme einfach drin gelassen und auf das Beste gehofft, weil mir das Thema in dem Moment zu kompliziert war, um es sofort anzugehen – während auf dem zweiten Monitor ohnehin schon etliche Behörden-Tabs offen standen und die Festplatte bei jedem geöffneten PDF leise vor sich hin ächzte.

Aufgelöst hat sich das erst, als ich mich später näher mit lokal eingebundenen Google Fonts beschäftigt habe. Das ist eine andere Geschichte für sich, die hier nicht hingehört. Was blieb, war die Erkenntnis, dass Hosting eben nicht nur der Server ist, sondern alles, was technisch damit zusammenhängt: Schriftarten, eingebettete Skripte, jedes einzelne Puzzleteil.

Woran ein Hoster wirklich mitzieht

Woran erkenne ich also einen Hoster, der wirklich mitzieht? An drei Dingen, die ich mir inzwischen bei jedem Anbieter zuerst ansehe: ob der AV-Vertrag automatisch mitgeliefert wird oder ob ich extra danach fragen muss, wo die Backups tatsächlich liegen, und wie offen ein Anbieter über Subunternehmer spricht. Einen Nachmittag lang hab ich das im Basislager Co-Working in Leipzig-Zentrum mit einer Liste von sechs Anbietern durchgespielt, bis nur noch zwei übrig waren.

Weil ich keine Lust hatte, jede Vertragsklausel selbst zu erfinden, hab ich mir parallel fertige Vertragsvorlagen für Online-Unternehmer geholt, und für die Feinarbeit an der eigenen Seite hat mir der DSGVO Schritt-für-Schritt Generator geholfen, alle offenen Baustellen in eine sinnvolle Reihenfolge zu bringen. Wie genau ich damit vorgegangen bin, hab ich an anderer Stelle aufgeschrieben: wie ich mit dem DSGVO Schritt für Schritt Generator meine Website absichere. Zur gleichen Checkliste gehört inzwischen auch, wie eingebettete Drittanbieter-Inhalte ohne Tracking laufen, auch wenn das beim Hosting selbst nur ein Randpunkt ist.

Der Moment, an dem ich wusste: es funktioniert

Sicher gefühlt hab ich mich nicht durch eine Checkliste, sondern durch eine ziemlich banale Aktion: den ersten Newsletter rausschicken. Über einen sauberen Double-Opt-In ging die erste Ausgabe raus, und danach hab ich zwei Stunden lang mein Postfach angestarrt, überzeugt, dass gleich eine Abmahnung reinflattert. Es kam keine E-Mail von einem Anwalt, nur eine Antwort von einer Leserin, die sich für den Tipp zur Rechnungsstellung bedankte.

Seit ich easyRechtssicher nutze, muss ich mir über solche Details keine Gedanken mehr machen, weil sich die Texte automatisch aktualisieren, wenn sich an den Regeln etwas ändert. Meine Nachbarin Christel Marquardt, die ihre Yogastunden über eine eigene Buchungsseite anbietet, hat mich neulich gefragt, ob ich ihr das nicht in einem einzigen Satz zusammenfassen kann, ohne Paragrafen-Nummern. Die Kurzfassung, die ich ihr gegeben habe, steckt eigentlich in diesem ganzen Text.

Diese Faustregel nutze ich seither bei jeder Hosting-Wahl

Als Faustregel gilt bei mir inzwischen: Serverstandort ist der erste Blick, der AV-Vertrag die eigentliche Prüfung, und wenn ein Anbieter beim zweiten Punkt zögert oder ausweicht, ist der erste Punkt komplett egal. Diese Reihenfolge hätte mir am Anfang eine Menge Zeit gespart, in der ich stattdessen Serverstandorte auf einer Landkarte verglichen habe, statt Verträge zu lesen.

Falls dich das Thema Impressum genauso nervös macht wie mich am Anfang, hab ich aufgeschrieben, wie ich mein Impressum und Datenschutz automatisiert habe – dort geht es tiefer in die Nachbarthemen, die hier nur am Rand vorkommen. Ein Rechenzentrum mit deutscher Adresse ist ein guter erster Filter, aber eben nur einer von mehreren, und garantiert für sich allein noch gar nichts.