Stellen Sie sich die Due Diligence eines HR-SaaS vor: Die kommerzielle Folie verspricht „100 % französisches Hosting“, der Vertrag schweigt zu Backups, indischer Support erscheint nirgendwo und eine Klausel erlaubt eine Übertragung „falls erforderlich“ in die Vereinigten Staaten. Der Datenschutzbeauftragte sperrt die Signatur – nicht aus Paranoia, sondern weil Art. 28 verlangt Garantien, die das PDF nicht enthält.
Die Auswahl eines Hosters gemäß DSGVO bedeutet nicht, dass „Europäische Union“ angekreuzt wird. Das bedeutet, dass vor der Abbuchung des ersten Euros geprüft werden muss, ob die Bearbeitung, Untervergabe und Vorfälle geregelt sind. Die gute Nachricht: Die richtigen Fragen sind für ein Geschäft, einen Verein oder einen Softwarehersteller gleich. Das Schlechte: Die wenigsten Verkäufer reagieren spontan.
Vertragsfragen: Die Datenschutzbehörde vor dem Ausweis
Der Hosting-Vertrag (CGV) und die Datenverarbeitungsvereinbarung (AVV) spielen nicht die gleiche Rolle. Die Allgemeinen Geschäftsbedingungen schützen vor allem den Dienstleister; Die Datenschutzbehörde regelt, was sie mit Ihren personenbezogenen Daten macht. Überprüfen Sie vor der Unterzeichnung, ob in der Datenschutzbehörde Ihre Rolle als Datenverantwortlicher und die des Gastgebers als Unterauftragnehmer ausdrücklich erwähnt werden.
Neun Punkte müssen aufgeführt oder beigefügt werden: Zweck und Dauer der Verarbeitung; die Art der Daten (Konten, IP-Adressprotokolle, Benutzerinhalte); dokumentierte Anweisungen (Löschung, Export, Lokalisierung); Vertraulichkeit des Personals; die Liste der Unterauftragsverarbeiter und das Benachrichtigungsverfahren im Falle einer Änderung; Unterstützung für DPO, Auswirkungsanalysen und 72-Stunden-Benachrichtigung bei Verstößen; das Schicksal der Daten am Ende des Vertrags (Löschung der Daten); und das Recht auf Information oder Prüfung.
| Schwache Reaktion | Solide Reaktion |
|---|---|
| „Wir sind DSGVO“ | DPA im Anhang unterzeichnet, datiert |
| „Daten in Europa“ | Aufgelistete Produktregionen, Backups und CDNs |
| „ISO in Bearbeitung“ | Datiertes und nachweisbares Scope-Zertifikat |
Technische Fragen: Wohin gehen die Daten eigentlich?
Fordern Sie über den Vertrag hinaus eine einfache Karte an: Produktion, Backups, Protokolle, Support-Tickets. Befinden sich diese Ströme im selben Land? Verlassen Sicherungskopien die Europäische Union? Welche Garantien gelten im Falle einer Übermittlung außerhalb der EU (Standardvertragsklauseln, Angemessenheitsbeschluss) und wie wird mit dem Cloud Act umgegangen, wenn ein amerikanischer Subunternehmer eingreift?
Stellen Sie auch die Verschlüsselung im Ruhezustand und während der Übertragung, die Schlüsselverwaltung und Administratorzugriffsprotokolle auf der Hostseite in Frage: Wer kann was, wie lange und mit welchem Genehmigungsprozess lesen? Welcher Zeitrahmen und Kanal für die Benachrichtigung über Verstöße im Falle eines Vorfalls? Ist Reversibilität dokumentiert (Exportformat, Zeit, Kosten)?
Vergleichen Sie diese Antworten mit unserer Umfrage zum realen Standort und den Verzeichnis-Dateien – zwei Quellen, die den kommerziellen Diskurs ergänzen.
Szenarien je nach Sensibilität des Projekts
Nicht alle Anwendungen erfordern das gleiche Maß an Genauigkeit. Ein Showcase-Blog kann mit einem Standard-DPA, einer Region der Europäischen Union und minimierten Protokollen verwaltet werden. Eine E-Commerce-Site muss zusätzlich zur DSGVO auch Backups, das Content-Verteilungsnetzwerk und, sofern die Zahlung integriert ist, die PCI-Konformität verwalten.
Für Gesundheitsdaten oder andere sensible Daten in Frankreich kann das HDS-Framework zur DSGVO hinzugefügt werden – ein allgemeiner gemeinsamer Dienst ohne Zertifizierung reicht nicht aus. Vergleichen Sie die Frameworks in DSGVO, HDS, SecNumCloud – wer braucht was?, bevor Sie Akronyme in einem Absatz mit einfachen Anführungszeichen mischen.
Häufige Fehler vor dem Signieren
Verwirrung zwischen Registrar und Hosting: zwei Anbieter, manchmal zwei separate DPAs. Vergessen Sie das Content-Delivery-Netzwerk von Drittanbietern ohne On-Chain-DPA. Sich für ein „kostenloses“ Angebot entscheiden, ohne sich mit dem zugrunde liegenden Cloud-Outsourcing vertraut zu machen. Aktualisieren Sie das Verarbeitungsregister nach der Unterzeichnung nicht – das interne Audit wird die Diskrepanz sechs Monate später aufdecken.
Der Gipfel: Angezeigte Compliance ist keine vertraglich vereinbarte Compliance
Stellen Sie die Fragen vor der jährlichen Verpflichtung. Eine Neuverhandlung nach der Migration ist teurer als die Ablehnung eines unvollständigen Angebots.
Entscheide dich und gehe ohne blinden Fleck voran
Laden Sie zunächst die DPA und die vollständigen AGB herunter – keine kommerzielle Zusammenfassung. Ordnen Sie dann die Datenflüsse zu: Produktion, Backups, Vertriebsnetzwerk, Transaktionsnachrichten. Sehen Sie sich die Liste der Subunternehmer und möglicher Übermittlungen außerhalb der Europäischen Union an. Richten Sie Ihr Verarbeitungsverzeichnis und ggf. Ihre Wirkungsanalyse daran aus, was der Vertrag tatsächlich erlaubt. Vergleichen Sie abschließend die Gastgeber, die diese Punkte dokumentieren, über den Vergleicher und die Ratgeber – die Auswahlliste wird schnell enger, sobald die richtigen Fragen gestellt werden.
Häufig gestellte Fragen
Ist ein EU-Host automatisch DSGVO-konform?
Nein. Die DSGVO erfordert einen dokumentierten vertraglichen und technischen Rahmen. Ein Rechenzentrum in Frankreich garantiert nichts, wenn die Backups, der Support oder das Vertriebsnetz über Länder oder Dienstanbieter laufen, die nicht unter das DPA fallen.
Ist ein DPA mit dem Host erforderlich?
Ja, sobald der Gastgeber personenbezogene Daten in Ihrem Auftrag verarbeitet – Art. 28. Eine Ablehnung oder ein leeres Modell ist ein Warnsignal. Ohne eine unterzeichnete DPA können Sie keine konforme Unterauftragsvergabe nachweisen.
Was ist bei Subunternehmern zu fragen?
Eine aktuelle Liste mit Standort- und Transfergarantien. Ihr Register und Ihr DPA müssen diese widerspiegeln. Jede Änderung an der Kette muss vor der Produktion mitgeteilt werden.
Reicht ISO 27001 aus?
Sinnvoll, wenn der zertifizierte Geltungsbereich Ihr Angebot abdeckt. Die ISO ergänzt die DSGVO, ersetzt jedoch weder das Datenschutzgesetz noch die Rechte des Einzelnen. Lesen Sie das Zertifikat, bevor Sie es in einer Besprechung zitieren.
Bevor Sie sich bei einem DSGVO-Gastgeber anmelden, lautet die richtige Frage nicht: „Sind Sie in Europa?“ » – es ist „zeig mir den DPA und den Backup-Pfad“.