Een SaaS-uitgever tekent bij een Duitse host in de veronderstelling dat “GDPR + BDSG = vakje aangevinkt”. Vervolgens vraagt de advocaat of er aan cliëntzijde een Datenschutzbeauftragter nodig is, of de technische en organisatorische maatregelen bij het contract zijn gevoegd, en hoe de boetes worden verdeeld bij onjuiste configuratie van een infrastructuur in IaaS-modus.
Duitsland blijft een bolwerk van Europese hosting — Hetzner, IONOS, Strato en vele anderen. De BDSG is geen tweede tegenstrijdige AVG: het is de lokale laag die de contractuele interpretatie en de verwachte documentaire nauwkeurigheid verandert.
AVG en BDSG: wie doet wat
Twee teksten bestaan naast elkaar zonder elkaar te vervangen. De AVG bepaalt het Europese kader: onderaanneming, overdrachten, individuele rechten, aansprakelijkheid. De BDSG verstrekt Duitse details: DPO-verplichting in bepaalde gevallen, sectorale regels, bevoegdheden van de autoriteiten van de deelstaten. Het hostingcontract en de DPA brengen deze principes dagelijks in praktijk.
TTDSG (cookies en telemetrie) vormt een aparte maar gerelateerde laag als uw gehoste site bezoekers bijhoudt. Verwar het niet met het pure hostingframework, maar integreer het in uw algehele register.
| Niveau | Rol voor hosting |
|---|---|
| AVG | EU-kader: onderaanneming, overdrachten, rechten, aansprakelijkheid |
| BDSG | Details DE: DPO verplicht in bepaalde gevallen, sectorale regels, bevoegdheden van de autoriteiten van de deelstaten |
| Contract/DPA | Operationalisatie met de host |
| TTDSG (cookies/telemetrie) | Onderscheidend maar gekoppeld indien gevolgd aan de kant van de gehoste site |
Voor een klassiek hostingcontract wordt de BDSG voornamelijk gelezen via de DPO-verplichting (artikel 38 AVG + § 38 BDSG), versterkte documentatie van beveiligingsmaatregelen en samenwerking met de autoriteiten van de deelstaten, afhankelijk van de locatie van uw organisatie.
Lees een DPA "made in Germany".
Serieuze Duitse hosts bieden vaak een gedetailleerde AVV (Auftragsverarbeitungsvertrag), soms nauwkeuriger dan bij spelers buiten Duitsland. Controleer zes items voordat u ondertekent.
Eerst het doel en de duur van de verwerking: wat de host feitelijk voor u doet. Dan de technische en organisatorische maatregelen in de bijlage: encryptie, toegangscontrole, backups, logging. Dan de lijst van onderaannemers (Unterauftragsverarbeiter) met de mogelijkheid van bezwaar. De locatie van de datacenters (Duitsland, soms Finland). De methoden voor controle en assistentie bij verzoeken van de betrokken personen. Tenslotte de restitutie of verwijdering van gegevens aan het einde van het contract.
Vergelijk de AVV met uw registratie verwerkingsactiviteiten en indien van toepassing de eisen van uw interne FG. Voor Hetzner specifiek, zie onze analyse van DPA Hetzner.
Duitse IaaS: niet-delegeerbare verantwoordelijkheden
Op de cloud of dedicated server blijft de grens van verantwoordelijkheid duidelijk. U: verharding, patches, encryptie, back-ups, logs, melding van overtredingen aan de bevoegde autoriteit (BfDI of Landesbehörde). De host: beveiliging van het platform en datacenter, gedocumenteerd in technische en organisatorische maatregelen.
De BDSG vermindert uw operationele lasten niet; zij documenteert beter wat de Duitse rechtbanken verwachten in geval van een geschil. Een slecht geconfigureerde server bij Hetzner blijft uw verantwoordelijkheid als gegevensbeheerder of onderaannemer, al naar gelang het geval.
De top: het datacentrum van Falkenstein ondertekent uw AVV niet
Dit is de illusie van “100% DSGVO-conforme” citaten: de Duitse naleving is bewezen, het is niet gelokaliseerd.
Beslis en ga vooruit zonder blinde vlek
Controleer eerst of uw organisatie een DPO aan de clientzijde moet aanwijzen op basis van de BDSG-drempels. Onderteken vervolgens de volledige AVV en archiveer de bijlagen met technische maatregelen. Breng zowel de Duitse onderaannemers van de gastheer als die van u in het register in kaart. Test de verwijderings- en exportprocedures voordat u daartoe door een klant of autoriteit wordt gedwongen. Vergelijk ten slotte de spelers via de overzicht en de vergelijker op contractuele criteria, niet alleen op de prijs van de VPS.
Veelgestelde vragen
Vervangt de BDSG de AVG?
Nee. Het vormt een aanvulling op de AVG in de Duitse wetgeving met details over de DPO, sancties en bepaalde lokale verwerkingen. Accommodatie blijft gereguleerd door het Europese raamwerk; de BDSG voegt een lees- en documentatielaag toe die in Duitsland wordt verwacht.
Voldoet een Duitse host automatisch aan de regels?
Nee. Naleving is afhankelijk van de ondertekende DPA, onderaannemers in de keten, uw configuratie en uw branche. Het datacentrum in Duitsland vergemakkelijkt de afstemming van rechtsgebieden, maar vervangt contractuele analyse niet.
Welke clausules moet u in het contract controleren?
Klant DPO indien nodig, bijbehorende technische en organisatorische maatregelen, hulp bij persoonlijke rechten, melding van overtreding, datalokalisatie en lijst van onderaannemers. De Duitse AVV groepeert deze vaak bij elkaar – lees de bijlage, niet alleen de tarievenpagina.
Wijzigt de BDSG overschrijvingen buiten de EU?
Niet fundamenteel: Hoofdstuk V van de AVG is van toepassing. Daarentegen produceert de Duitse documentairecultuur vaak meer gedetailleerde bijlagen, die nuttig zijn voor audits en overdrachtseffectbeoordelingen.
Vraag voordat u zich aanmeldt in Duitsland naar de volledige AVV - niet alleen de DSGVO-vermelding op de prijzenpagina.