Von Danijel Balog, Gründer von Fragon Studios in Linz · Stand:
Was macht Hosting DSGVO-konform?
Sechs Punkte entscheiden: ein geeigneter Serverstandort, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, keine ungeregelte Übermittlung in Drittländer, bekannte Subprozessoren, funktionierende Backups und eine saubere Zugriffskontrolle.
| Punkt | Worauf Sie achten sollten |
|---|---|
| Serverstandort | Rechenzentrum in der EU, im EWR oder in einem Land mit Angemessenheitsbeschluss, auch für Backups und Logs |
| Auftragsverarbeitungsvertrag | AVV nach Art. 28 DSGVO mit dem Hoster, schriftlich oder elektronisch |
| Drittlandübermittlung | keine, oder eine klare Grundlage nach Art. 44-50 DSGVO |
| Subprozessoren | Liste aller weiteren Dienstleister und wo diese sitzen |
| Backups | regelmäßig, getrennt gespeichert, Wiederherstellung getestet |
| Zugriffskontrolle | wenige Personen mit Zugriff, persönliche Konten, Protokollierung |
Verantwortlich im Sinne der DSGVO bleiben Sie als Betreiber der Anwendung. Der Hoster ist Auftragsverarbeiter. Er muss Ihnen zusichern und belegen können, dass er die Daten nur nach Ihrer Weisung und mit geeigneten Schutzmaßnahmen verarbeitet.
Muss der Server in Österreich stehen?
Nein. Die DSGVO gilt in der ganzen EU gleich, ein Rechenzentrum in Deutschland oder Finnland ist datenschutzrechtlich einem in Wien gleichgestellt. Engere Vorgaben können aus Branchenregeln, Kundenverträgen oder Ausschreibungen kommen.
Entscheidend ist, wer Zugriff auf die Daten hat und ob sie die EU verlassen. Die Datenschutzbehörde stellt bei Übermittlungen darauf ab, ob der Empfänger in einem Drittland sitzt, nicht auf die Adresse des Rechenzentrums.
Brauche ich einen Auftragsverarbeitungsvertrag mit dem Hoster?
Ja, sobald der Hoster personenbezogene Daten für Sie verarbeitet, und das tut praktisch jeder Hoster einer App oder Webanwendung. Der Vertrag folgt Art. 28 DSGVO.
- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeit aller Personen mit Zugriff
- technische und organisatorische Maßnahmen nach Art. 32 DSGVO
- Regeln für weitere Auftragsverarbeiter
- Unterstützung bei Auskunfts- und Löschanfragen Betroffener
- Unterstützung bei Datenschutz-Folgenabschätzung und Meldepflichten
- unverzügliche Meldung von Datenschutzverletzungen
- Löschung oder Rückgabe der Daten nach Vertragsende
- Nachweise und Kontrollen, einschließlich Inspektionen
Bei großen Anbietern ist der AVV meist ein Standarddokument, das Sie im Konto akzeptieren. Das ist üblich. Lesen sollten Sie ihn trotzdem, vor allem die Liste der Subprozessoren und die Regeln, wie Sie über neue informiert werden.
Darf ich AWS, Azure oder Google Cloud nutzen?
Grundsätzlich ja. Übermittlungen in die USA sind seit dem Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 an Unternehmen zulässig, die am EU-US Data Privacy Framework teilnehmen.
Die Regeln für Übermittlungen in Drittländer stehen in Art. 44-50 DSGVO. Gibt es einen Angemessenheitsbeschluss nach Art. 45, braucht es keine weiteren Garantien. Ohne einen solchen Beschluss sind geeignete Garantien nach Art. 46 nötig, meist Standarddatenschutzklauseln, und eine Prüfung im Einzelfall, wie sie der EuGH im Urteil Schrems II verlangt hat. Für gelegentliche Übermittlungen kommen in Ausnahmefällen die Tatbestände nach Art. 49 in Frage.
Laut Österreichischer Datenschutzbehörde müssen Sie vor jeder Übermittlung prüfen, ob der US-Empfänger auf der Data Privacy Framework List steht. Steht er nicht darauf, brauchen Sie eine Garantie nach Art. 46 oder eine Ausnahme nach Art. 49 DSGVO. Das gilt auch für Dienste, die Sie nebenbei einbinden: E-Mail-Versand, Fehler-Tracking, Analyse oder KI-Schnittstellen.
Der Angemessenheitsbeschluss ist gerichtlich angefochten. Das Gericht der EU hat eine Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23), gegen dieses Urteil ist ein Rechtsmittel beim EuGH eingelegt (C-703/25 P). Bis zu einer Entscheidung gilt der Beschluss.
Ein Rechenzentrum in Frankfurt oder Wien macht aus einem US-Konzern keinen europäischen Anbieter. Wir halten die Rechtslage bei US-Anbietern deshalb für weniger stabil als bei einem Anbieter ohne US-Bezug. Das ist unsere Einschätzung als Entwickler, keine Rechtsauskunft.
Welche technischen Maßnahmen gehören zu sicherem Hosting?
Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. In der Praxis heißt das: Verschlüsselung, getrennte Backups mit getesteter Wiederherstellung und eine strenge Zugriffskontrolle.
- Verschlüsselung bei der Übertragung und auf den Datenträgern
- tägliche Backups an einem getrennten Standort
- Wiederherstellung regelmäßig ausprobiert statt nur angenommen
- Zugriff nur für benannte Personen, mit persönlichen Konten
- Updates für Betriebssystem und Abhängigkeiten nach festem Rhythmus
- Protokolle, die nur so lange aufbewahrt werden wie nötig
Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung. Fragen Sie Ihren Hoster, wie lange eine Wiederherstellung dauert und wann sie zuletzt getestet wurde. Läuft Ihre Anwendung schon und Sie sind unsicher, wie es um Sicherheit und Datenschutz steht, klärt das ein Software-Audit.
Was bietet Fragon Cloud für DSGVO-konformes Hosting?
Fragon Cloud läuft auf dedizierten Servern in Hetzner-Rechenzentren in Nürnberg, Falkenstein und Helsinki. Wir arbeiten mit AVV nach Art. 28 DSGVO und ohne Drittlandübermittlung.
| Punkt | Fragon Cloud |
|---|---|
| Standorte | Hetzner-Rechenzentren in Nürnberg, Falkenstein und Helsinki |
| Subprozessor | Hetzner Online GmbH, Deutschland (Rechenzentren) |
| Hardware | AMD EPYC und Ryzen Pro, dedizierte Kerne |
| Speicher | NVMe-SSD mit RAID, lokal verschlüsselt |
| Backups | täglich, 14 Tage Aufbewahrung, geografisch getrennter Speicher |
| Wiederherstellung | auf Anfrage innerhalb weniger Stunden |
| Vertrag | AVV nach Art. 28 DSGVO, 30 Tage Kündigungsfrist |
Hetzner ist ein deutsches Unternehmen und betreibt die Rechenzentren. Auf der Seite Fragon Cloud beschreiben wir zwei Produkte: Managed Kubernetes für containerisierte Anwendungen und Application Hosting, bei dem wir Deployment, SSL, Monitoring und Backups übernehmen.
Der Unterschied zu einem großen Anbieter ist weniger die Technik als der Kontakt. Sie sprechen direkt mit dem Engineer in Österreich, der den Server betreibt und meist auch Ihre Anwendung gebaut hat. Wie wir mit Schwachstellen und Sicherheitsvorfällen umgehen, beschreibt unsere Sicherheitsrichtlinie am Beispiel unserer Apps im Atlassian Marketplace.
Wann passt ein großer US-Cloud-Anbieter trotzdem besser?
Für die meisten KMU-Anwendungen reicht eine Infrastruktur wie Fragon Cloud. Für den Rest ist AWS, Azure oder Google Cloud die ehrlichere Empfehlung.
- Nutzer auf mehreren Kontinenten mit Bedarf an Rechenzentren außerhalb Europas
- stark schwankende Last, die automatisch auf ein Vielfaches skalieren muss
- spezielle verwaltete Dienste, die es nur dort gibt
- bestehende Konzernverträge oder Vorgaben der eigenen IT
In diesen Fällen beraten wir zu AWS, Azure und GCP und achten darauf, dass Region, AVV und Subprozessoren zu Ihren Daten passen. Projekte mit DSGVO-sensiblen Daten setzen wir selbst nicht auf US-Anbietern um. Die Anwendung bleibt portabel: Der Stack ist Standard, ein späterer Umzug ist kein Neubau.
Keine Rechtsberatung
Diese Seite gibt einen technischen Überblick. Ob Ihre konkrete Verarbeitung DSGVO-konform ist, klären Ihr Datenschutzbeauftragter oder eine Rechtsanwältin für Datenschutzrecht.
Häufige Fragen
Reicht ein Server in der EU für die DSGVO?
Nein. Der Standort ist ein wichtiger Punkt, dazu gehören aber auch ein AVV nach Art. 28 DSGVO, eine Grundlage für jede Drittlandübermittlung, bekannte Subprozessoren und angemessene technische Maßnahmen.
Wo stehen die Server von Fragon Cloud?
In Hetzner-Rechenzentren in Nürnberg, Falkenstein und Helsinki, also in Deutschland und Finnland. Fragon Cloud selbst übermittelt keine Daten in Drittländer.
Wie lange werden Backups bei Fragon Cloud aufbewahrt?
Standardmäßig 14 Tage, mit täglichen Backups auf geografisch getrenntem Speicher. Längere Aufbewahrung ist gegen Aufpreis möglich, eine Wiederherstellung dauert auf Anfrage wenige Stunden.
Kann ich mit meiner Anwendung später den Hoster wechseln?
Ja. Bei Fragon Cloud gilt eine Kündigungsfrist von 30 Tagen ohne automatische Verlängerung über zwölf Monate, und wir helfen bei der Migration, egal wohin.