Datenschutz und Webhosting: Ein Leitfaden zur DSGVO

Es gibt kaum eine Website, die keine personenbezogenen Daten verarbeitet. Ein Kontaktformular, eine Newsletter-Anmeldung, eine Bestellung in einem Online-Shop, aber auch die in den Server-Logdateien gespeicherten IP-Adressen gelten als personenbezogene Daten. Daher gilt die DSGVO, die Datenschutz-Grundverordnung der Europäischen Union, praktisch für alle Website-Betreiber, auch für kleine Unternehmen und von Privatpersonen betriebene Seiten.

In diesem Leitfaden untersuchen wir, wie Datenschutz und Webhosting zusammenhängen: Wer trägt welche Verantwortung – der Website-Betreiber oder der Hosting-Anbieter? Welche technischen Schutzmaßnahmen muss der Hosting-Anbieter bereitstellen? Was muss in der Datenschutzerklärung und in den Cookie-Richtlinien enthalten sein? Was ist nach einem Datenschutzvorfall zu tun, und was ändert sich bis zum Jahr 2026? Am Ende finden Sie zudem eine Checkliste.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Wenden Sie sich zur Beurteilung einer konkreten Datenverarbeitung bitte an einen Datenschutzexperten.

Welche personenbezogenen Daten befinden sich auf Ihrem Webhosting-Konto?

Personenbezogene Daten sind alle Informationen, die sich auf eine lebende Person beziehen. Auf einer durchschnittlichen Website kommen folgende Daten vor:

Serverprotokolle: Der Webserver protokolliert bei jeder Anfrage die IP-Adresse des Besuchers, die aufgerufene Seite, den Zeitpunkt sowie die Daten des Browsers. Die IP-Adresse kann gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union als personenbezogene Daten gelten.
Formulare: Kontaktaufnahme, Angebotsanfrage, Registrierung: Name, E-Mail-Adresse, Telefonnummer, Nachricht.
Datenbank: Daten der WordPress-Benutzer und Kommentatoren sowie Daten der Kunden eines Online-Shops, deren Bestellungen und Lieferadressen.
E-Mail: Die in den Postfächern gespeicherten E-Mails und das Adressbuch.
Cookies und Tracking-Codes: Analyse- und Marketing-Cookies speichern Identifikatoren und übermitteln häufig Daten an Dritte (beispielsweise an Google oder Meta).
Backups: Die Backups enthalten Kopien aller oben genannten Elemente und müssen ebenso geschützt werden.

Verantwortlicher und Auftragsverarbeiter: Wer ist wofür zuständig?

Die DSGVO unterscheidet zwei Rollen, und die Verantwortung verteilt sich entsprechend diesen Rollen.

Sie sind der Inhaber der Website oder der für die Datenverarbeitung Verantwortliche. Sie entscheiden, welche Daten Sie zu welchem Zweck, auf welcher Rechtsgrundlage und für welchen Zeitraum erheben. Sie sind verpflichtet, die Besucher zu informieren, deren Anfragen zu erfüllen (Auskunft, Berichtigung, Löschung), und Sie sind dafür verantwortlich, dass die Software Ihrer Website (WordPress, Plugins, WordPress-Theme) auf dem neuesten Stand und sicher ist.

Der Hosting-Anbieter ist der Auftragsverarbeiter. Er speichert und verarbeitet die Daten im Auftrag des Verantwortlichen und gemäß dessen Anweisungen: Er betreibt den Server, schützt das Netzwerk und das Betriebssystem und erstellt Sicherungskopien. Er darf die Daten nicht für eigene Zwecke verwenden.

Die Beziehung zwischen beiden Parteien muss gemäß Artikel 28 der DSGVO in einem Auftragsverarbeitungsvertrag geregelt werden. Darin wird festgelegt, welche Daten der Dienstleister zu welchem Zweck verarbeitet, welche Sicherheitsmaßnahmen er ergreift, wen er einbeziehen darf (Subunternehmer) und wie er dem Verantwortlichen im Falle eines Vorfalls oder einer Anfrage einer betroffenen Person unterstützt. Bei aWh schließen wir gemäß den Allgemeinen Geschäftsbedingungen einen Auftragsverarbeitungsvertrag ab, wenn Sie uns mit der Verarbeitung personenbezogener Daten beauftragen; falls Sie dies benötigen, schreiben Sie uns bitte.

Die Verantwortung wird also geteilt, verschmilzt jedoch nicht. Wenn ein Hacker über das Betriebssystem des Servers eindringt, liegt der Fehler beim Dienstanbieter. Geschieht dies über ein veraltetes WordPress-Plugin oder ein offengelegtes Passwort, liegt die Verantwortung beim Datenverantwortlichen. Bei einem VPS verläuft die Grenze anders: Dort obliegen sowohl die Aktualisierung des Betriebssystems als auch der Schutz des Servers Ihnen.

Was erwarten Sie von Ihrem Webhosting-Anbieter?

Artikel 32 der DSGVO schreibt „dem Risiko angemessene“ technische und organisatorische Maßnahmen vor, nennt jedoch keine konkreten Technologien. In der Praxis sollten diese von einem Webhosting-Anbieter erwartet werden.

Speicherort der Daten

Befindet sich der Server in der Europäischen Union (genauer gesagt im Europäischen Wirtschaftsraum), ist für die Speicherung der Daten keine gesonderte Rechtsgrundlage für die Datenübermittlung erforderlich. Bei einem Anbieter außerhalb der EU, beispielsweise einem US-amerikanischen Cloud-Anbieter, ist für die Datenübermittlung eine gesonderte Garantie erforderlich: Bei US-amerikanischen Unternehmen handelt es sich dabei in der Regel um eine Zertifizierung gemäß dem 2023 verabschiedeten EU-US-Datenschutzrahmen (Data Privacy Framework) oder um die Allgemeinen Geschäftsbedingungen der Europäischen Kommission. Die Rechtmäßigkeit des Rahmenwerks wurde 2025 vom Gericht der Europäischen Union bestätigt, doch die rechtlichen Auseinandersetzungen sind noch nicht abgeschlossen; daher stellt die Speicherung innerhalb der EU die berechenbarere Lösung dar. Fragen Sie den Dienstleister, wo sich seine Server und Sicherungskopien befinden.

Verschlüsselung

HTTPS auf der gesamten Website: Die in Formularen eingegebenen Daten, die Anmeldedaten und die Cookies sollten ausschließlich über eine verschlüsselte Verbindung übertragen werden. Hierfür reicht bereits das kostenlose Let’s Encrypt-Zertifikat aus, das auf allen Hosting-Paketen von aWh automatisch eingerichtet werden kann; ein kostenpflichtiges SSL-Zertifikat ist erforderlich, wenn Sie auch die Daten Ihres Unternehmens authentifizieren lassen möchten.
Verschlüsselte E-Mail-Kommunikation: zwischen E-Mail-Programm und Server über IMAPS, POP3S und SMTPS (TLS), Webmail über HTTPS.
Verschlüsselte Dateiübertragung: Verwenden Sie SFTP oder FTPS anstelle von FTP, da bei einfachem FTP auch das Passwort unverschlüsselt übertragen wird.

Zugriffsschutz

Die meisten Hackerangriffe beginnen mit einem gestohlenen oder erratenen Passwort. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) im Verwaltungsbereich Ihres Webhostings (so geht es im cPanel-Hosting), in Ihrem Kundenkonto sowie im WordPress-Adminbereich. Jeder, der an der Website arbeitet, sollte über ein eigenes Konto verfügen und nur so viele Berechtigungen haben, wie für seine Arbeit erforderlich sind; entziehen Sie ausscheidenden Mitarbeitern oder externen Entwicklern den Zugriff.

Serverseitiger Schutz

Bei Shared Hosting ist der Anbieter für den Schutz des Servers verantwortlich: für System-Updates, die Firewall, den DDoS-Schutz und die Malware-Prüfung. Auf den cPanel-Servern von aWh sucht ImunifyAV+ nach Malware, während CloudLinux CageFS die Konten voneinander isoliert, sodass ein gehacktes benachbartes Konto keinen Zugriff auf Ihre Dateien hat.

Sicherung und Wiederherstellbarkeit

Artikel 32 der DSGVO schreibt ausdrücklich vor, dass nach einem Vorfall der Zugriff auf die Daten rechtzeitig wiederhergestellt werden muss. Dazu ist eine regelmäßige Datensicherung erforderlich, die getrennt vom Server gespeichert wird. Von den kostenpflichtigen Hosting-Paketen von aWh werden automatische Backups erstellt (täglich bei cPanel-Hosting und WordPress-Hosting), die an einem geografisch getrennten Standort gespeichert werden. Bitte beachten Sie auch, dass gelöschte Daten in den Backups für einen bestimmten Zeitraum erhalten bleiben; dies sollte in der Datenschutzerklärung angegeben werden.

Aufbewahrung von Protokollen

Serverprotokolle werden zur Fehlersuche und zur Untersuchung von Angriffen benötigt, müssen jedoch nicht auf unbegrenzte Zeit aufbewahrt werden. Erkundigen Sie sich bei Ihrem Anbieter, wie lange die Protokolle des Webservers und des E-Mail-Servers gespeichert werden, und nehmen Sie diese Information ebenfalls in die Informationsbroschüre auf.

Ihre Aufgaben auf der Website

Datenschutzerklärung

Jede Website benötigt eine leicht zugängliche, verständliche Datenschutzerklärung. Diese sollte Folgendes enthalten:

Name und Kontaktdaten des für die Datenverarbeitung Verantwortlichen (Sie oder Ihr Unternehmen),
Welche Daten Sie zu welchem Zweck und auf welcher Rechtsgrundlage (Einwilligung, Vertragserfüllung, gesetzliche Verpflichtung, berechtigtes Interesse) verarbeiten,
Wie lange bewahren Sie die Daten auf,
Liste der Auftragsverarbeiter: der Hosting-Anbieter, der Newsletter-Versender, das Abrechnungsprogramm, der Kurierdienst, der Analyseanbieter, der Zahlungsdienstleister,
Falls vorhanden: Datenübermittlung außerhalb der EU und die damit verbundenen Garantien,
die Rechte der betroffenen Personen und wo sie Beschwerde einlegen können (in Ungarn bei der Nationalen Behörde für Datenschutz und Informationsfreiheit, der NAIH).

Kopieren Sie keine Vorlage unverändert: Die Datenschutzerklärung muss die tatsächliche Datenverarbeitung beschreiben. Wenn Sie ein neues Tool einführen (neues Newsletter-Tool, neues Analysetool, Chatbot), aktualisieren Sie die Erklärung und überprüfen Sie sie einmal jährlich, auch wenn sich nichts geändert hat.

Formulare und Datenschonung

Fordern Sie nur so viele Daten an, wie für den jeweiligen Zweck unbedingt erforderlich sind: Für eine Kontaktaufnahme reichen der Name und die E-Mail-Adresse aus, die Telefonnummer sollte optional sein. Wenn Sie eine Einwilligung einholen (beispielsweise für einen Newsletter), darf das Kontrollkästchen nicht vorab angekreuzt sein, und die Einwilligung darf keine Voraussetzung für die Inanspruchnahme der Dienstleistung sein. Speichern Sie E-Mails und Datenbankeinträge, die über Formulare eingehen, nicht länger als unbedingt erforderlich.

Cookies und Tracking-Codes

Gemäß dem ungarischen Telekommunikationsgesetz (und der zugrunde liegenden EU-ePrivacy-Richtlinie) ist für Cookies, die nicht unbedingt für den Betrieb erforderlich sind – also für Analyse- und Marketing-Cookies –, die vorherige Einwilligung des Besuchers erforderlich. In der Praxis bedeutet dies:

Bitte laden Sie vor der Zustimmung zur Cookie-Leiste keine Tracking-Codes (Google Analytics, Meta Pixel und ähnliche) hoch.
Die Option „Ablehnen“ sollte genauso leicht zugänglich sein wie die Option „Akzeptieren“.
Die Einwilligung sollte jederzeit widerrufen werden können, beispielsweise über einen Link in der Fußzeile.
Für die Nutzung von Google Analytics und Google Ads verlangt Google im EWR ab 2024 zusätzlich die Einstellung „Consent Mode v2“.

Es gibt auch kleinere, oft übersehene Datenübertragungen: Wenn Ihre Website Schriftarten von den Servern von Google (Google Fonts) lädt oder eingebettete YouTube-Videos und Karten verwendet, wird die IP-Adresse des Besuchers bereits beim Öffnen der Seite an Google übermittelt. Laden Sie die Schriftarten herunter und stellen Sie sie von Ihrem eigenen Hosting bereit; laden Sie Videos und Karten erst beim Anklicken ein.

Ende 2025 legte die Europäische Kommission unter dem Namen „Digital Omnibus“ einen Vorschlag zur Vereinfachung der Cookie-Vorschriften vor, der unter anderem im Browser einstellbare Zustimmungshinweise vorsieht. Da es sich hierbei bislang um einen Vorschlag und nicht um eine geltende Vorschrift handelt, gelten weiterhin die oben genannten Anforderungen.

Gemäß dem ungarischen Gesetz über kommerzielle Werbung dürfen Sie in Ungarn E-Mails mit Werbeinhalten nur an Personen versenden, die dem zuvor ausdrücklich zugestimmt haben. Das Double-Opt-in-Verfahren, bei dem der Abonnent durch Anklicken eines in einer E-Mail enthaltenen Links seine E-Mail-Adresse bestätigt, ist nicht in jedem Fall vorgeschrieben, stellt jedoch den einfachsten Nachweis dar, dass die Einwilligung tatsächlich vom Inhaber der E-Mail-Adresse stammt. Jede E-Mail sollte eine einfache Abmeldemöglichkeit enthalten. Versenden Sie Ihren Newsletter nicht über den Mailserver Ihres Webhosts, sondern über einen dafür vorgesehenen Newsletter-Versanddienst, der sowohl An- als auch Abmeldungen verwaltet.

Anfragen der betroffenen Personen

Ihre Besucher können von Ihnen Auskunft darüber verlangen, welche Daten Sie über sie speichern, sowie eine Kopie dieser Daten, deren Berichtigung oder Löschung. Sie sind verpflichtet, innerhalb eines Monats auf diese Anfragen zu reagieren (in begründeten Fällen kann diese Frist um weitere zwei Monate verlängert werden). Es ist ratsam, im Voraus zu wissen, wo sich die Daten befinden: in der WordPress-Datenbank, im Postfach, im Newsletter-Versandprogramm oder im Rechnungsstellungsprogramm. Die integrierten Funktionen von WordPress (Extras › Persönliche Daten exportieren bzw. löschen) bieten Unterstützung bei den in der WordPress-Datenbank gespeicherten Daten.

Datenschutzvorfall: Was ist zu tun?

Ein Datenschutzvorfall ist jedes Sicherheitsereignis, bei dem personenbezogene Daten vernichtet werden, verloren gehen, verändert werden oder Unbefugte Zugriff darauf erhalten: eine gehackte Website, ein gestohlener Laptop, eine an den falschen Empfänger gesendete Kundenliste.

Beheben Sie das Problem: Ändern Sie Ihre Passwörter überall, sperren Sie den Angreifer aus und schalten Sie die Seite gegebenenfalls ab.
Ermitteln Sie den Schaden: Welche Daten sind betroffen, wie viele Personen sind betroffen und seit wann besteht der Schaden? Der Hosting-Anbieter kann Ihnen dabei mit den Serverprotokollen und den Backups helfen; wenn Sie Kunde von aWh sind, eröffnen Sie bitte ein Support-Ticket.
Melden Sie den Vorfall: Wenn der Vorfall ein Risiko für die betroffenen Personen darstellt, müssen Sie ihn innerhalb von 72 Stunden bei der NAIH melden. Bei hohem Risiko (z. B. wenn Passwörter, Kreditkartendaten oder Gesundheitsdaten offengelegt wurden) müssen Sie auch die betroffenen Personen benachrichtigen.
Beheben Sie das Problem: Stellen Sie die Website anhand eines sauberen Backups wieder her, aktualisieren Sie die Software und beheben Sie die Sicherheitslücke, über die der Angreifer eingedrungen ist.
Dokumentieren Sie: Sie müssen jeden Vorfall dokumentieren, auch diejenigen, die nicht gemeldet werden mussten.

Gemäß der DSGVO kann die Geldbuße in schweren Fällen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens betragen, in weniger schweren Fällen bis zu 10 Millionen Euro oder 2 %. Bei der Festsetzung der Geldbuße berücksichtigt die NAIH die Schwere des Verstoßes, die Größe des Unternehmens sowie die Maßnahmen, die der Datenverantwortliche zur Schadensminderung ergriffen hat. Ein gut dokumentierter, rechtzeitig gemeldeter Vorfall ist weitaus besser als ein verschwiegenes Ereignis.

Was hat sich bis zum Jahr 2026 geändert?

NIS2 und das Gesetz zur Cybersicherheit: Die ungarischen Vorschriften, die die EU-Richtlinie NIS2 umsetzen, erlegen mittelständischen und großen Unternehmen seit 2024 in zahlreichen Branchen (Energie, Verkehr, Gesundheitswesen, digitale Dienste, Lebensmittelverarbeitung, Fertigung und andere) Verpflichtungen im Bereich der Cybersicherheit auf. Die Website eines durchschnittlichen Kleinunternehmens ist davon nicht unmittelbar betroffen; sollte Ihr Unternehmen jedoch in den Geltungsbereich fallen, sind auch die Website und die E-Mail-Kommunikation Teil des Risikomanagements.
AI-Verordnung: Die Bestimmungen der EU-Verordnung über künstliche Intelligenz treten schrittweise in Kraft. Wenn auf Ihrer Website ein KI-basierter Chatbot eingesetzt wird, müssen die Nutzer darüber informiert werden, dass sie mit einer Maschine kommunizieren, und in der Datenschutzerklärung muss ebenfalls angegeben werden, welche Daten der Anbieter des Chatbots erhält.
Datenschutzgesetz: Gilt seit September 2025 und betrifft in erster Linie die Daten vernetzter Geräte sowie den Wechsel zwischen Cloud-Diensten; es erleichtert den Anbieterwechsel und die Datenübertragbarkeit.
Verkürzte Gültigkeitsdauer von SSL-Zertifikaten: Seit März 2026 sind öffentliche SSL-Zertifikate maximal 200 Tage gültig, und diese Frist wird sich in den kommenden Jahren weiter verkürzen. Ein abgelaufenes Zertifikat stellt zwar keinen Datenschutzvorfall dar, bedeutet jedoch einen Verlust der Verschlüsselung; daher empfiehlt es sich, den Zertifikatswechsel zu automatisieren.

DSGVO-Checkliste für Website-Betreiber

Zusammenfassung

Die Einhaltung der DSGVO ist kein einmaliger Vorgang, sondern eine fortlaufende Aufgabe, an der der Website-Betreiber und der Hosting-Anbieter gemeinsam arbeiten. Der Anbieter ist für die Serversicherheit, die Datensicherungen und die im Auftragsverarbeitungsvertrag vereinbarten Verpflichtungen verantwortlich; Sie hingegen sind für den Zweck der Datenverarbeitung, die Informationspflichten, den Umgang mit Cookies und die Sicherheit der Software Ihrer Website verantwortlich.

Auf den aWh-Hosting-Servern sorgen HTTPS, Zwei-Faktor-Authentifizierung, separat gespeicherte Backups, DDoS-Filterung sowie Malware-Scans auf unseren cPanel-Servern für die technische Sicherheit. Sollten Sie Fragen zur Datenverarbeitung haben, schreiben Sie uns bitte.

Sehen Sie sich unsere Hosting-Pakete an

Häufig gestellte Fragen

Gilt die DSGVO für alle Websites?

Ja, wenn die Website personenbezogene Daten verarbeitet – und das tun fast alle: Ein Kontaktformular, ein Analyse-Cookie oder eine in den Serverprotokollen gespeicherte IP-Adresse reichen bereits aus. Eine Ausnahme bilden lediglich rein private, familiäre Aktivitäten, doch eine öffentliche Website fällt selten in diese Kategorie.

Muss ich einen Datenschutzbeauftragten (DSB) ernennen?

Für die meisten Kleinunternehmen gilt dies nicht. Eine Datenschutzbeauftragtenpflicht besteht bei Behörden sowie dann, wenn Ihre Haupttätigkeit in der umfassenden, regelmäßigen Überwachung von Personen oder der Verarbeitung großer Mengen besonderer Daten (z. B. Gesundheitsdaten) besteht. Bei einer durchschnittlichen Website oder einem Online-Shop reicht es aus, wenn Sie einen internen Verantwortlichen benennen.

Darf ich einen US-amerikanischen Dienstleister nutzen, beispielsweise Google Analytics?

Ja, allerdings ist hierfür die vorherige Einwilligung des Besuchers erforderlich; in der Datenschutzerklärung müssen der Anbieter und die Datenübermittlung in Länder außerhalb der EU namentlich genannt werden, und die Datenschutzeinstellungen des Anbieters müssen entsprechend angepasst werden (beispielsweise die Kürzung von IP-Adressen und der „Consent Mode“). Wenn Sie dies vermeiden möchten, gibt es auch cookiefreie Analysetools, die in der EU betrieben werden oder auf Ihrem eigenen Server ausgeführt werden können.

Reicht ein kostenloses SSL-Zertifikat aus?

Was die Verschlüsselung betrifft: Das kostenlose Let’s Encrypt-Zertifikat bietet dieselbe Verschlüsselungsstärke wie ein kostenpflichtiges Zertifikat. Das kostenpflichtige Zertifikat unterscheidet sich lediglich hinsichtlich der Authentifizierung der Unternehmensdaten und der damit verbundenen Dienstleistungen; aus datenschutzrechtlicher Sicht ist es nicht zwingend erforderlich.

Wer haftet, wenn meine Website gehackt wird?

Das hängt davon ab, wo der Fehler lag. Wenn der Angreifer über das Betriebssystem des Servers oder die Infrastruktur des Anbieters eingedrungen ist, liegt die Verantwortung beim Anbieter. Wenn der Angriff über ein veraltetes Plugin, ein schwaches Passwort oder ein falsch konfiguriertes Formular erfolgte, liegt die Verantwortung bei Ihnen als Datenverantwortlicher. Die Meldepflicht obliegt in beiden Fällen dem Datenverantwortlichen; der Anbieter unterstützt ihn dabei.

Benötigen Sie ein spezielles WordPress-Plugin für die DSGVO?

WordPress enthält Datenschutzfunktionen (WordPress-Theme für die Datenschutzseite, Export und Löschung personenbezogener Daten), doch für die Cookie-Leiste und die Verwaltung von Einwilligungen ist in der Regel ein Plugin erforderlich. Ein Plugin allein macht die Website noch nicht rechtskonform: Die Einstellungen müssen die tatsächliche Datenverarbeitung widerspiegeln, und es muss überprüft werden, ob die Tracking-Codes tatsächlich erst nach Erteilung der Einwilligung geladen werden.

Wie lange darf ich die Daten aufbewahren?

Solange dies zur Erreichung des Zwecks erforderlich ist oder solange es gesetzlich vorgeschrieben ist. Rechnungen und Buchhaltungsbelege müssen beispielsweise 8 Jahre lang aufbewahrt werden, während es in der Regel nicht gerechtfertigt ist, eine Kontaktanfrage nach Beantwortung der Frage über einen längeren Zeitraum zu speichern. Geben Sie die Aufbewahrungsfristen in der Datenschutzerklärung an.

Mit welcher Höhe der Geldbuße muss ich rechnen?

Die DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder in Höhe von 4 % des weltweiten Jahresumsatzes vor, doch die NAIH passt die Höhe der Geldbuße an die Schwere des Verstoßes und die Größe des Unternehmens an. Bei kleinen Unternehmen fallen die Geldbußen in der Regel um ein Vielfaches geringer aus; häufig fordert die Behörde zunächst auf, den Verstoß abzustellen. Die beste Verteidigung ist eine dokumentierte und durchdachte Datenverarbeitung.

Datenschutz
Gesetzgebung
Webhosting
Website-Sicherheit
Anleitungen

Datenschutz und Webhosting (DSGVO): Ein umfassender Leitfaden für Website-Betreiber