Hosting, SSL und E-Mail: Was ein Unternehmen wirklich braucht
Das Wichtigste in Kürze
- Ihr Hoster verarbeitet personenbezogene Daten — dafür ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO Pflicht.
- Ein Serverstandort in der EU erspart die komplizierte Frage nach Datenübermittlung in Drittländer.
- Ein SSL-Zertifikat ist heute kostenlos und bei den meisten Hostern automatisch — fehlt es, warnt der Browser.
- Von Google-Servern geladene Schriften übermitteln bei jedem Aufruf die IP-Adresse; das Landgericht München hat dafür Schadensersatz zugesprochen.
- Domain, Hosting und E-Mail sollten auf Ihren Namen laufen, nicht auf den eines Dienstleisters.
Hosting, Verschlüsselung und E-Mail gehören zu den Dingen, über die kaum jemand nachdenkt — bis etwas schiefgeht. Dann wird aus einer technischen Nebensache plötzlich eine rechtliche oder geschäftliche Frage.
Das Gute: Alle drei lassen sich einmal richtig einrichten und dann weitgehend vergessen. Dieser Artikel zeigt, worauf es dabei ankommt.
Inhalt
Wo Ihre Seite liegt
Jede Website liegt auf einem Server, den ein Anbieter betreibt — dem Hoster. Das klingt nach reiner Technik, hat aber rechtliche Folgen.
Sobald jemand Ihre Seite aufruft, verarbeitet der Server dabei Daten: mindestens die IP-Adresse des Besuchers, die in Protokollen landet. Schickt jemand ein Kontaktformular ab, kommen Name, E-Mail-Adresse und Nachricht hinzu. Das sind personenbezogene Daten, und der Hoster verarbeitet sie in Ihrem Auftrag.
Der Vertrag, der fast immer fehlt
Daraus folgt eine Pflicht, die erstaunlich oft übersehen wird.
Weil der Hoster Daten in Ihrem Auftrag verarbeitet, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das ist Pflicht, nicht optional.
Seriöse Anbieter stellen diesen Vertrag standardmäßig bereit, meist zum Abschluss mit wenigen Klicks im Kundenbereich. Man muss es nur tun. Und genau das passiert oft nicht — weil niemand daran denkt oder weil ein Dienstleister das Hosting eingerichtet und die Frage nie gestellt hat.
Dasselbe gilt für jeden weiteren Dienst, der Daten in Ihrem Auftrag verarbeitet: den E-Mail-Anbieter, einen Buchungsdienst, ein Analyse-Tool. Jeder braucht seinen eigenen Vertrag. Welche Angaben dazu in die Datenschutzerklärung gehören, steht im Artikel zu Impressum und DSGVO.
Warum ein Serverstandort in der EU einfacher ist
Wo der Server physisch steht, ist keine Nebensache.
Liegen die Daten auf Servern innerhalb der EU, unterliegen sie direkt europäischem Datenschutzrecht. Die Sache ist überschaubar.
Werden Daten dagegen in ein Drittland wie die USA übermittelt, kommen zusätzliche Anforderungen hinzu. Das ist nicht verboten, aber es macht die Rechtslage komplizierter und verlangt mehr Sorgfalt in Vertrag und Datenschutzerklärung.
Für ein kleines Unternehmen gibt es selten einen guten Grund, sich diese Komplexität aufzuladen. Ein Hoster mit Rechenzentrum in der EU ist der einfachere Weg. Für Kanzleien gilt das erst recht, denn Mandanten schildern oft schon im Kontaktformular Vertrauliches — was das für eine Kanzlei-Website bedeutet.
SSL: kostenlos, aber unverzichtbar
SSL — genauer heute TLS — ist die Verschlüsselung zwischen Browser und Server. Erkennbar am »https« in der Adresse und am Schloss-Symbol.
Vor einigen Jahren kostete ein Zertifikat noch Geld und musste jährlich erneuert werden. Das ist vorbei. Über Let's Encrypt gibt es Zertifikate kostenlos, und die meisten modernen Hoster richten sie automatisch ein und erneuern sie selbst.
Fehlt die Verschlüsselung trotzdem, hat das drei Folgen:
Der Browser warnt. Seiten ohne HTTPS werden als »Nicht sicher« markiert. Für einen Besucher, der Ihnen gerade seine Daten anvertrauen soll, ist das ein Grund zu gehen.
Formulare werden unsicher. Wer über ein Kontaktformular personenbezogene Daten überträgt, muss sie angemessen schützen. Die DSGVO verlangt in Art. 32 geeignete technische Maßnahmen — und eine unverschlüsselte Übertragung von Formulardaten erfüllt das nicht.
Google bevorzugt HTTPS. Die Verschlüsselung ist ein, wenn auch schwaches, Signal für das Ranking.
Die Frage »Brauche ich SSL?« hat deshalb nur eine Antwort. Die eigentliche Frage ist, ob Ihr Hoster es automatisch einrichtet — und bei einem guten Anbieter tut er das.
Die Schriften-Falle
Ein Punkt, der viele überrascht hat und eine regelrechte Abmahnwelle auslöste.
Viele Websites laden Schriftarten direkt von den Servern von Google. Das ist bequem, hat aber eine Folge: Bei jedem Seitenaufruf baut der Browser des Besuchers eine Verbindung zu Google auf und übermittelt dabei seine IP-Adresse.
Das Landgericht München I hat im Januar 2022 entschieden, dass eine solche Einbindung ohne Einwilligung gegen die DSGVO verstößt, und dem betroffenen Besucher 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20). Die Summe klingt klein. Aber das Urteil löste eine Welle von Abmahnungen aus, die viele kleine Unternehmen traf.
Die Lösung ist einfach: Schriften auf dem eigenen Server ablegen. Dann lädt der Browser sie von Ihrer Seite, nicht von Google, und es entsteht keine Verbindung zu einem Dritten. Nebenbei entfällt damit ein häufiger Grund für einen Cookie-Banner — mehr dazu im Artikel zum Cookie-Banner.
E-Mail auf der eigenen Domain
info@ihre-firma.de statt firma1985@gmail.com. Das ist mehr als eine Äußerlichkeit.
Eine Geschäftsadresse auf der eigenen Domain wirkt seriös. Ein Angebot von einer kostenlosen Adresse lässt den Absender dagegen vorläufig erscheinen — gerade im deutschen Geschäftsleben, wo auf solche Signale geachtet wird.
Hinzu kommt die Kontrolle. Die Adresse gehört Ihnen, solange die Domain Ihnen gehört. Wechseln Sie den Anbieter, bleibt die Adresse gleich.
E-Mail auf der eigenen Domain kostet wenig — meist einige Euro im Monat oder im Jahr, je nach Anbieter und Umfang. Und auch hier gilt: Mit dem E-Mail-Anbieter brauchen Sie einen Vertrag zur Auftragsverarbeitung.
Alles auf Ihren Namen
Ein Grundsatz, der viel Ärger erspart: Domain, Hosting und E-Mail sollten auf Ihren Namen laufen — nicht auf den eines Dienstleisters.
Ihr Dienstleister kann alles technisch verwalten. Er kann als technischer Ansprechpartner eingetragen sein. Aber Vertragspartner und Inhaber sollten Sie sein.
Wer das versäumt, merkt es oft erst, wenn der Dienstleister nicht mehr erreichbar ist. Was dann zu tun ist, beschreibt der Artikel zu fehlenden Zugangsdaten.
Backups
Ein letzter Punkt, der ebenfalls erst zählt, wenn es zu spät ist.
Viele Hoster erstellen automatisch Sicherungen. Prüfen Sie, wie oft, wie lange sie aufbewahrt werden und wie Sie im Notfall darauf zugreifen. Ein Backup, das auf demselben Server liegt wie die Website, hilft bei einem Angriff mit Ransomware wenig.
Wichtiger noch: Testen Sie einmal, ob die Wiederherstellung tatsächlich funktioniert. Ein Backup, das sich nicht einspielen lässt, ist keins. Wie man im Ernstfall vorgeht, steht im Artikel zu gehackten Websites.
Hosting und Geschwindigkeit
Der Hoster beeinflusst auch, wie schnell Ihre Seite lädt. Ein überlasteter, günstiger Server kann eine gut gebaute Seite ausbremsen.
Für schlichte Unternehmensseiten ist das selten ein Problem, besonders wenn die Seite als statische Dateien ausgeliefert wird. Warum Ladezeit für Besucher und Google zählt, erklärt der Artikel zu Core Web Vitals.
Häufige Fragen
Brauche ich mit meinem Hoster einen AV-Vertrag? Ja. Der Hoster verarbeitet in Ihrem Auftrag personenbezogene Daten, etwa IP-Adressen und Formulardaten. Nach Art. 28 DSGVO ist ein Vertrag zur Auftragsverarbeitung Pflicht. Seriöse Anbieter stellen ihn im Kundenbereich bereit.
Kostet ein SSL-Zertifikat Geld? In der Regel nicht mehr. Über Let's Encrypt gibt es Zertifikate kostenlos, und die meisten modernen Hoster richten sie automatisch ein und erneuern sie.
Muss mein Server in Deutschland stehen? Nicht zwingend in Deutschland, aber ein Standort in der EU ist deutlich einfacher. Bei Servern in Drittländern wie den USA kommen zusätzliche Anforderungen an die Datenübermittlung hinzu.
Darf ich Google Fonts verwenden? Ja, aber laden Sie die Schriften vom eigenen Server statt von Google. Das Landgericht München I hat 2022 entschieden, dass die Einbindung über Google-Server ohne Einwilligung gegen die DSGVO verstößt.
Lohnt sich eine E-Mail-Adresse auf der eigenen Domain? Ja. Sie wirkt seriöser als eine kostenlose Adresse, gehört Ihnen und bleibt bei einem Anbieterwechsel gleich. Die Kosten sind gering.
Auf wessen Namen sollten Domain und Hosting laufen? Auf Ihren. Ein Dienstleister kann alles technisch verwalten, aber Vertragspartner und Inhaber sollten Sie sein — sonst stehen Sie ohne Zugang da, wenn er nicht mehr erreichbar ist.
Kurz zusammengefasst
Ein Hoster mit Servern in der EU, ein abgeschlossener Vertrag zur Auftragsverarbeitung, automatisches SSL und Schriften auf dem eigenen Server — damit ist die technische Grundlage rechtlich sauber.
Dazu eine E-Mail-Adresse auf der eigenen Domain, alles auf Ihren Namen und funktionierende Backups. Einmal richtig eingerichtet, müssen Sie sich um diese Dinge kaum noch kümmern.