Eine CNIL-Inspektion oder ein Unternehmenskunde fordert Ihr Artikel-30-Register an. Hosting-Zeile: „Cloud-Dienstleister, Kundendaten, EU“. Unzureichend: Welcher Anbieter? Welche genauen Daten (zwölfmonatige IP-Protokolle, verschlüsselte Backups wo)? Welche vorgelagerten Subunternehmer (US-CDN, Indien-Unterstützung)?
Das Register ist keine Formalität. Dies ist die Übersicht darüber, was der Gastgeber wirklich mit Ihren persönlichen Daten macht.
Host-Rolle: Infrastruktur-Subunternehmer
Sie = Datenverantwortlicher (Site-Inhalt, Benutzerdatenbank). Host = Subunternehmer (Speicherung, Ausführung, Infrastrukturprotokolle), außer in Fällen, in denen er die Zwecke bestimmt (selten).
Dokument: Firmenname, Datenschutzbeauftragter oder Datenschutzkontakt, vertraglicher Standort des Rechenzentrums.
Registry-Inhalt – nützliche Felder für den Host
| Registerfeld | Host-Beispiel |
|---|---|
| Zweck | Hosting und Bereitstellung der Website |
| Datenkategorien | Anwendungsdateien, Client-Datenbanken, IP-Zugriffsprotokolle |
| Betroffene Personen | Besucher, Kunden, Admins |
| Empfänger / ST | OVHcloud SAS – siehe DPA + ST-Liste |
| Überweisungen außerhalb der EU | Nein / Ja + Garantien (SCC) |
| Dauer | Vertragsdauer + Protokollaufbewahrung (siehe Richtlinie) |
| Sicherheitsmaßnahmen | Transit-/Restverschlüsselung, Backups, ISO, falls relevant |
Zu verfolgende Unterauftragsverarbeiter
CDN, Transaktions-E-Mail, SaaS-Überwachung, verbunden durch den Host oder durch Sie auf demselben Server – jeder kann ein Subunternehmer sein, der in DPA aufgeführt und registriert wird.
Fordern Sie beim Gastgeber die Liste der vorgelagerten Subunternehmer an (Artikel 28.3). Kreuzen Sie mit Unterauftragsvereinbarung und Übertragungen außerhalb der EU.
Bei der Prüfung vergleicht der Prüfer Register, DPA und reale Architektur. Eine Zeile „OVH Gravelines VPS-Hosting“ mit einer Protokollaufbewahrungsfrist von zwölf Monaten und der Erwähnung des Cloudflare US CDN ist besser als ein allgemeiner Absatz – und vermeidet Verstöße, die durch dokumentarische Diskrepanzen festgestellt werden.
Aktualisieren Sie die Registrierung an dem Tag, an dem Sie ein CDN, ein Überwachungstool hinzufügen oder die Region ändern – nicht am Tag vor der jährlichen Prüfung.
Der Gipfel: Das Register offenbart die Lücken im DPA
Entscheide dich und gehe ohne blinden Fleck voran
Inventarisieren Sie personenbezogene Daten in Ihrer Infrastruktur: Anwendungen, Protokolle, Backups. Füllen Sie die Host-Zeile mit Vertragsprodukt, Region und Aufbewahrungsfristen aus. Cross-DPA und Liste der Subunternehmer. Aktualisieren Sie die Registrierung jedes Mal, wenn Sie Ihren Stack oder Anbieter wechseln – vor dem DNS-Wechsel, nicht danach. Konsultieren Sie unsere Compliance-Leitfäden und das Verzeichnis.
Häufig gestellte Fragen
Muss der Gastgeber im Register erscheinen?
Ja, sobald es personenbezogene Daten in Ihrem Namen verarbeitet – Subunternehmer Artikel 28. Geteilt oder dediziert: gleiche Verpflichtung, unterschiedlicher Umfang.
Was genau schreiben?
Identität, Infrastrukturzweck, Datenkategorien, Dauer, Unterauftragsverarbeiter, vertraglicher Standort – keine generische „EU-Cloud“.
Geteilt oder dediziert?
Gleiche Subunternehmerlogik; Geben Sie das Produkt und die Vertragsregion an, keine vagen Formulierungen.
Gastgeberwechsel?
Der Datenverantwortliche aktualisiert das Register und den DPA vor der DNS-Umstellung – nicht in einem Notfall nach der Migration.
Eine ehrliche Bilanz über den Gastgeber erzwingt die Klarheit, die das „DSGVO-konforme“ Zitat ohne Detaillierung versprach.