DSGVO-konformes Hosting: Die Checkliste für deine Website

Ein Hosting ist dann datenschutzkonform, wenn drei Dinge stimmen: Es gibt einen Vertrag über die Auftragsbearbeitung, der Anbieter schützt die Daten mit nachvollziehbaren technischen und organisatorischen Massnahmen, und Daten fliessen nur dorthin ins Ausland, wo das rechtlich abgesichert ist. Die Verantwortung dafür bleibt bei dir, auch wenn jemand anderes die Server betreibt. Diese Checkliste zeigt, was du prüfst und wie.

Ein Wort zu den Gesetzen: Für eine Website aus der Schweiz gilt in erster Linie das Schweizer Datenschutzgesetz (DSG). Die europäische DSGVO kommt dazu, sobald du dich mit deinem Angebot an Menschen in der EU richtest, zum Beispiel mit einem Shop, der nach Deutschland liefert. Beide verlangen im Kern dasselbe, im Detail gibt es Unterschiede. Wo es darauf ankommt, steht es unten dabei.

Das Wichtigste in Kürze

• Lass dir einen Vertrag über die Auftragsbearbeitung geben, mit einer aktuellen Liste aller Unterauftragnehmer.
• Prüfe, dass die ganze Website über HTTPS läuft, dass gesichert wird und wer auf die Server zugreifen kann.
• Klär, ob Daten die Schweiz und die EU verlassen und auf welcher Grundlage.
• Schau dir an, was deine Website selbst nachlädt: Schriften, Videos, Karten und Statistik-Skripte senden oft schon beim Aufruf Daten an Dritte.
• Halte deine Datenschutzerklärung aktuell und leg fest, was du bei einer Datenpanne tust.

Der schnelle Check

Bevor du dich durch Verträge arbeitest, lohnt sich ein kurzer Realitätscheck. Diese Fragen kannst du deinem heutigen oder künftigen Anbieter direkt stellen, meist per E-Mail oder im Kundenportal:

• Gibt es einen Vertrag über die Auftragsbearbeitung, und wo finde ich ihn?
• Wo stehen die Server, und welche weiteren Dienstleister bekommen Daten zu sehen?
• Läuft die ganze Website über HTTPS?
• Wird regelmässig gesichert, und wer hat Zugriff auf die Sicherungen?
• Stimmt meine Datenschutzerklärung noch mit dem überein, was tatsächlich passiert?

Fehlt eine Antwort, ist das kein Weltuntergang, aber ein klarer Auftrag. Gerade der letzte Punkt wird oft unterschätzt. Eine Datenschutzerklärung, die noch den alten Hoster oder ein längst abgeschaltetes Tracking nennt, ist nicht nur unordentlich. Sie informiert die Besucherinnen und Besucher falsch, und genau dazu verpflichten dich beide Gesetze.

Der Serverstandort allein sagt übrigens wenig. Ein Server in Zürich oder Frankfurt schützt nicht vor einem Datenfluss in die USA, wenn der Anbieter für Support, Sicherungen oder die Auslieferung über ein CDN Dienstleister von dort einsetzt. Frag deshalb nicht nur nach dem Standort, sondern nach der ganzen Kette.

Der Vertrag über die Auftragsbearbeitung

Sobald ein Anbieter Personendaten in deinem Auftrag bearbeitet, braucht es dafür eine Vereinbarung. Personendaten sind schneller da, als man denkt: Kontaktformulare, Bestellungen, ein Login, aber auch die IP-Adressen in den Server-Protokollen. In der Schweiz regelt das Artikel 9 DSG, in der EU Artikel 28 DSGVO. Die Schweiz spricht vom Auftragsbearbeitungsvertrag (ABV), die DSGVO vom Auftragsverarbeitungsvertrag (AVV). Gemeint ist dasselbe. Die DSGVO verlangt ausdrücklich die Schriftform, wobei elektronisch genügt. Das DSG ist offener, ein schriftlicher Vertrag ist aber auch hier der einzige Weg, etwas nachzuweisen.

Ein brauchbarer Vertrag regelt:

1. Gegenstand, Dauer und Zweck der Bearbeitung, konkret und nicht pauschal.
2. Welche Daten bearbeitet werden und von wem sie stammen.
3. Die Pflichten des Anbieters zu Vertraulichkeit und Sicherheit und seine Hilfe, wenn jemand Auskunft über seine Daten verlangt.
4. Den Einsatz von Unterauftragnehmern und wie du von Änderungen erfährst.
5. Was mit den Daten nach dem Vertragsende passiert.
6. Wie du kontrollieren kannst, dass das alles eingehalten wird.

Punkt 4 wird in der Praxis am häufigsten übersehen. Viele Anbieter lagern Sicherungen, den Mailversand oder den Support aus. Lass dir die Liste dieser Dienstleister geben und achte darauf, dass Änderungen vorher angekündigt werden und nicht still in den AGB auftauchen.

Halte fest, wann du den Vertrag zuletzt angeschaut hast. Die Verantwortung für die ganze Kette kannst du nicht abgeben: Du musst nicht jeden Dienstleister selbst prüfen, aber du musst wissen, wer dabei ist.

Technische Massnahmen: HTTPS, Zugriff, Sicherungen

Artikel 8 DSG und Artikel 32 DSGVO verlangen «angemessene» oder «geeignete» Massnahmen. Was das heisst, hängt vom Risiko ab. Ein paar Dinge gehören aber praktisch immer dazu:

• HTTPS für die ganze Website, nicht nur für Login oder Kasse.
• Ein HSTS-Header, damit Browser die Seite gar nicht erst unverschlüsselt aufrufen.
• Keine veralteten Protokolle wie TLS 1.0 oder 1.1.
• Klare Regeln, wer beim Anbieter auf Server und Daten zugreifen darf, und ein Protokoll darüber.
• Sicherungen mit einer festgelegten Aufbewahrungsdauer.

Das Schloss im Browser allein ist kein Nachweis. Ob ein Server veraltete Protokolle anbietet, zeigt dir ein kostenloser Test wie der von SSL Labs in einer Minute.

Sicherungen verdienen einen zweiten Blick, weil sie oft die schwächste Stelle sind. Eine tägliche Sicherung ist wenig wert, wenn nie ausprobiert wurde, ob sich daraus etwas zurückholen lässt. Frag auch, was gesichert wird. Bei vielen Angeboten sind die Dateien der Website gesichert, die Daten, die sie im Betrieb sammelt, aber nicht. Und frag, wie lange alte Sicherungen aufbewahrt werden. Endlos ist auch nicht richtig, denn Daten, die niemand mehr braucht, sollen gelöscht werden.

Wenn deine Website eigenen Code ausführt, etwa ein Kontaktformular in PHP, liegt ein Teil der Sicherheit bei dir: Zugangsdaten gehören nicht in die Website-Dateien, Eingaben werden geprüft, Fehler nicht öffentlich angezeigt. Was das konkret heisst, steht in den Best Practices für PHP-Websites.

Daten im Ausland: was erlaubt ist

Entscheidend ist, wohin die Daten tatsächlich fliessen: über den Support, über die Sicherungen, über eingebundene Dienste. Die Schweiz und die EU anerkennen sich gegenseitig ein gleichwertiges Datenschutzniveau. Daten dürfen also ohne weitere Hürden zwischen der Schweiz und den EU-Ländern hin und her. Für alle anderen Länder gilt:

1. Klär, ob der Anbieter oder einer seiner Dienstleister Daten ausserhalb der Schweiz und der EU bearbeitet.
2. Prüfe, ob das Zielland als angemessen gilt. Die Liste des Bundesrats steht im Anhang 1 der Datenschutzverordnung.
3. Für die USA gilt eine Besonderheit: Unternehmen, die nach dem Swiss-U.S. Data Privacy Framework zertifiziert sind, gelten seit September 2024 als angemessen. Für die EU gilt dasselbe mit dem EU-U.S. Data Privacy Framework seit 2023. Ob ein Unternehmen zertifiziert ist, steht öffentlich auf der Liste des US-Handelsministeriums.
4. Ist das Land nicht angemessen, braucht es Standardvertragsklauseln. Die allein reichen nicht immer: Können Behörden im Zielland auf die Daten zugreifen, braucht es zusätzliche Massnahmen, typischerweise eine Verschlüsselung, deren Schlüssel nur du hältst.
5. Halte das Ergebnis schriftlich fest, mit Datum.

Der EDÖB beschreibt dieses Vorgehen ausführlich, der Europäische Datenschutzausschuss ebenso (Links unten). Lässt sich kein ausreichender Schutz herstellen, bleibt nur, auf den Dienst zu verzichten.

Was deine Website selbst nachlädt

Viele Datenschutzprobleme entstehen nicht beim Hosting, sondern auf der Website. Eine Schrift von Google Fonts, ein eingebettetes YouTube-Video, eine Google-Karte, ein Statistik-Skript: Jedes davon schickt die IP-Adresse des Besuchers an einen Dritten, sobald die Seite lädt. Oft hat das niemand bewusst entschieden, es kam mit einer Vorlage oder einem Plugin. Ein deutsches Gericht hat 2022 einem Besucher Schadenersatz zugesprochen, weil eine Website Schriften direkt von Google lud.

Vor jeder Einbindung lohnen sich vier Fragen:

• Welche Daten gehen dabei an den Anbieter? Die IP-Adresse allein kann schon ein Personendatum sein.
• Wo sitzt der Anbieter, und ist das Land angemessen?
• Braucht es eine Einwilligung, und wird sie eingeholt, bevor etwas lädt?
• Gibt es mit dem Anbieter einen eigenen Vertrag?

Die Alternative ist oft einfacher als gedacht: Schriften auf dem eigenen Server ablegen, Videos erst nach einem Klick laden, Besuche serverseitig zählen statt mit einem Skript im Browser. Halte schriftlich fest, warum du einen Dienst eingebunden oder ersetzt hast. Bei einer Prüfung bist du froh darum.

Woran du einen guten Anbieter erkennst

Ein Zertifikat ersetzt keine konkreten Antworten. Eine ISO-Zertifizierung zeigt, dass ein Anbieter strukturiert arbeitet. Ob deine Daten in den USA landen oder ob Sicherungen je zurückgespielt wurden, beantwortet sie nicht.

Vor dem Vertragsabschluss solltest du bekommen:

• den Vertrag über die Auftragsbearbeitung mit den Punkten von oben,
• eine aktuelle Liste der Unterauftragnehmer mit ihrem Standort,
• eine Beschreibung der technischen und organisatorischen Massnahmen, nicht nur ein Werbeblatt,
• Angaben dazu, was wie oft gesichert wird.

Achte bei den Bedingungen besonders auf drei Dinge: ob und wie du kontrollieren darfst, wann deine Daten nach dem Vertragsende gelöscht werden, und wie früh ein Wechsel bei den Unterauftragnehmern angekündigt wird. Ein Anbieter, der Dienstleister ohne Ankündigung wechseln darf, schiebt das Risiko still zu dir.

Die Prüfung endet nicht mit der Unterschrift. Nimm dir einmal im Jahr eine Stunde für Vertrag, Dienstleisterliste und Datenschutzerklärung, auch wenn sich scheinbar nichts geändert hat.

Schritt für Schritt

Ob du beim bisherigen Anbieter bleibst oder wechselst, diese Reihenfolge hat sich bewährt:

1. Bestandesaufnahme: Welche Personendaten sammelt deine Website, wo landen sie, und wie heikel sind sie?
2. Vertrag: Fordere den Vertrag über die Auftragsbearbeitung an und gleiche die Dienstleisterliste mit deiner Bestandesaufnahme ab.
3. Technik: HTTPS, Sicherungen, fremde Einbindungen. Was sich ersetzen lässt, ersetzen.
4. Datenschutzerklärung: an das anpassen, was tatsächlich passiert.
5. Notfallplan: Wer macht was, wenn Daten abhanden kommen?

Beim Notfallplan unterscheiden sich die Gesetze. Die DSGVO verlangt eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden, ausser die Panne bringt voraussichtlich kein Risiko für die Betroffenen. Das DSG verlangt eine Meldung an den EDÖB «so rasch als möglich», wenn die Panne voraussichtlich zu einem hohen Risiko führt. In beiden Fällen gilt: Wer erst im Ernstfall überlegt, wer zuständig ist, verliert die Zeit, die er nicht hat.

Steht ein Wechsel an, plan die Übernahme der Website und den Umzug der Domain zusammen mit diesen Schritten. Wie das bei uns geht, steht in Bestehende Website übernehmen und Domain mitnehmen.

Wie wir das bei MADLAB // Publishing handhaben

Wir betreiben selbst ein Hosting, deshalb hier offen, wie es bei uns aussieht, auch dort, wo es Grenzen gibt:

• Standort: Unsere Server stehen in der Schweiz und der EU. Die Websites liefern wir selbst aus, ohne CDN eines Dritten dazwischen. Wer deine Website aufruft, spricht nur mit unseren Servern.
• Dienstleister: Alle, die Daten in unserem Auftrag sehen, stehen mit ihrer Aufgabe in unserer Datenschutzerklärung. Drei davon sitzen in den USA oder haben dort ihre Muttergesellschaft: Stripe für die Zahlung deines Abos, Cloudflare für unsere DNS-Einträge und Google, mit dessen Analytics wir auf unseren eigenen Seiten (madpublishing.ch) Besuche messen. Alle drei betreffen unser Portal und unsere eigenen Seiten, nicht die Besucherinnen und Besucher deiner Website: Dort binden wir nichts von Google ein. Die Schriften unserer Seiten liefern wir selbst aus.
• Besucherstatistik: Wenn du sie buchst, setzt dein Assistent ein kleines Matomo-Skript in deine Seiten. Gezählt wird auf unseren eigenen Servern in der Schweiz und der EU, ohne Cookies und mit gekürzter IP-Adresse. Dafür braucht es kein Einwilligungsbanner. Mehr dazu in Besucherstatistik.
• Fremde Einbindungen: Bevor dein Assistent eine Website veröffentlicht, prüft er sie gegen unsere Regeln. Schriften und Skripte von fremden Servern gehören zu dem, was er dabei anmahnt.
• Versionen: Jede Änderung wird eine eigene Version mit Datum und Uhrzeit und lässt sich zurückholen. So siehst du jederzeit, was wann geändert wurde. Siehe Versionen.
• Sicherungen: Wir sichern täglich, auch den Datenbereich, in den eine PHP-Website im Betrieb zum Beispiel Bestellungen oder Formulareinträge schreibt. Diese Sicherung schützt unsere Systeme bei einem Ausfall. Einzelne Stände stellen wir daraus nicht auf Wunsch wieder her. Deine Website-Dateien holst du über die Versionen selbst zurück, wichtige Daten aus dem Datenbereich lädst du regelmässig herunter. Wie, steht in PHP und der Datenbereich.
• Dein KI-Assistent: Was du im Chat eingibst, bearbeitet der Anbieter deines Assistenten, also zum Beispiel Anthropic oder OpenAI, nach dessen eigenen Bedingungen. Gib dort keine Personendaten deiner Kundinnen und Kunden ein, die du für die Arbeit an der Website nicht brauchst.

Ausprobieren kannst du das alles im Gratis-Plan. Was die Pläne kosten und was drin ist, steht in Pläne und Zusatzpakete.

Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung. Für deine konkrete Situation wende dich an eine Fachperson.

Quellen

• Bekanntgabe von Personendaten ins Ausland – EDÖB
• Recommendations on supplementary measures – Europäischer Datenschutzausschuss (PDF)
• Artikel 32 DSGVO – GDPRhub
• Hostingvertrag und DSGVO – Giel Rechtsanwalt

Häufige Fragen

Gilt die DSGVO für meine Website in der Schweiz?

Nur, wenn du dich mit deinem Angebot an Menschen in der EU richtest oder ihr Verhalten auswertest, zum Beispiel mit einem Shop, der in die EU liefert. Sonst gilt das Schweizer Datenschutzgesetz. Die Anforderungen an das Hosting sind in beiden Fällen sehr ähnlich.

Reicht ein Server in der Schweiz?

Nein. Entscheidend ist die ganze Kette: wer Support leistet, wo gesichert wird und welche Dienste deine Website selbst nachlädt. Ein Server in der Schweiz mit einem amerikanischen CDN davor schickt die Daten trotzdem in die USA.

Brauche ich für ein einfaches Kontaktformular einen Vertrag mit meinem Hoster?

Ja. Sobald dein Hoster die Einträge speichert oder per Mail weiterleitet, bearbeitet er Personendaten in deinem Auftrag. Genau dafür ist der Vertrag über die Auftragsbearbeitung da.

Ist Google Fonts erlaubt?

Lädt deine Website die Schriften direkt von Google, geht die IP-Adresse jedes Besuchers an Google, ohne dass jemand eingewilligt hat. Leg die Schriften stattdessen auf deinen eigenen Server. Das ist erlaubt und meist sogar schneller.

Was muss ich tun, wenn Daten abhanden kommen?

Halte fest, was passiert ist und wer betroffen ist, und schätze das Risiko ein. Nach der DSGVO meldest du die Panne innert 72 Stunden der Aufsichtsbehörde, nach dem DSG so rasch als möglich dem EDÖB, wenn ein hohes Risiko droht. Je nach Fall musst du auch die Betroffenen informieren.