Webhosting für kleine Unternehmen: Worauf es bei Speicherplatz, Datenschutz und Support ankommt
Für ein Büro mit fünf oder zehn Beschäftigten ist das Hostingpaket eine Entscheidung, die man einmal trifft und danach jahrelang nicht mehr anfasst. Ausgewählt wird oft nach dem Monatspreis, obwohl im Alltag drei andere Punkte darüber entscheiden, ob der Tarif trägt. Der Speicher muss neben der Website auch alle Postfächer und Sicherungen aufnehmen. Bei den Daten zählt, wo sie verarbeitet werden und welches Recht dort gilt. Und wenn das Kontaktformular plötzlich keine Anfragen mehr zustellt, braucht es einen Support, der schnell reagiert.
Die Website belegt meist den kleinsten Teil des Speichers
Eine Firmenwebsite mit Leistungsseiten, Teamfotos und einigen PDF-Dateien kommt in der Regel mit wenigen Gigabyte aus. Anders sieht es bei den E-Mail-Postfächern aus, die in vielen Tarifen dasselbe Kontingent nutzen wie die Website. Jede Mail mit Angebot, Plan oder Rechnung im Anhang bleibt dort liegen, oft über Jahre, weil viele Betriebe ihre Korrespondenz direkt im Postfach archivieren. Eine belastbare Schätzung berücksichtigt fünf Posten:
- die Website mit Bildern, Dokumenten und Datenbank
- alle Postfächer samt Archivordnern nach heutigem Stand
- das jährliche Wachstum der Postfächer, hochgerechnet auf drei Jahre
- Sicherungskopien, falls der Tarif sie im selben Kontingent ablegt
- ein Puffer von etwa einem Viertel für neue Mitarbeitende und Projekte
Angenommen, sechs Postfächer belegen heute je drei Gigabyte und wachsen um einen Gigabyte pro Jahr. Dann sind es nach drei Jahren 36 Gigabyte allein für E-Mails. Mit Website und Puffer landet der Betrieb bei rund 50 Gigabyte, einem Wert, den manche Einstiegstarife bereits ausschöpfen. Den aktuellen Stand liefert das Mailprogramm, in dem sich die Größe jedes Ordners abrufen lässt.
Sicherungen brauchen Platz und einen erprobten Rückweg
Bei den Sicherungen zählt zuerst, wo sie liegen und wie viele Generationen der Anbieter aufbewahrt. Kopien im selben Rechenzentrum helfen bei einem versehentlich gelöschten Ordner, gegen einen Brand oder einen Verschlüsselungstrojaner schützen sie kaum. Ebenso wichtig ist, ob sich eine einzelne Datei, eine Datenbank oder ein Postfach zurückholen lässt, ohne den gesamten Bestand zu überschreiben.
Von den drei gängigen Verfahren der Datensicherung kommt die inkrementelle mit wenig Zeit und Speicher aus. Für eine Wiederherstellung braucht sie aber die letzte Vollsicherung und jede einzelne Sicherung, die danach entstanden ist. Wer zusätzlich eine eigene Kopie außerhalb des Hostings anlegt, etwa monatlich auf einem verschlüsselten Datenträger, bleibt auch dann handlungsfähig, wenn der Anbieter selbst ausfällt.
Artikel 28 DSGVO verlangt einen schriftlichen Vertrag mit dem Hoster
Sobald über die Website Anfragen eingehen oder Postfächer beim Hoster liegen, verarbeitet dieser personenbezogene Daten im Auftrag des Betriebs. Artikel 28 der DSGVO verlangt dafür einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung festhält und den Anbieter auf angemessene technische und organisatorische Schutzmaßnahmen verpflichtet. Viele Hoster stellen ihn im Kundenkonto zum Abschluss bereit. Aufschlussreich ist vor allem die Liste der Unterauftragnehmer, denn dort steht, ob etwa Spamfilter oder Sicherungskopien bei einem weiteren Dienstleister landen und in welchem Land dieser arbeitet.
Der Serverstandort bestimmt die Regeln für den Datentransfer
Innerhalb der EU und des Europäischen Wirtschaftsraums gilt die DSGVO einheitlich, ein Rechenzentrum in Frankfurt ist rechtlich so zu behandeln wie eines in Wien oder Dublin. Liegt der Standort außerhalb, braucht die Übermittlung eine eigene Grundlage, also einen Angemessenheitsbeschluss der EU-Kommission oder zusätzliche Garantien wie Standardvertragsklauseln. Für einen Kleinbetrieb ohne Rechtsabteilung ist ein Land mit Angemessenheitsbeschluss der einfachere Weg, weil dann weder solche Klauseln noch eine eigene Bewertung der Rechtslage im Zielland nötig sind. Maßgeblich ist dabei der Ort, an dem die Daten tatsächlich liegen, auch bei Sicherungen und Mailfiltern.
Was revDSG und Angemessenheitsbeschluss für Server in der Schweiz bedeuten
Die Schweiz gehört zu den Ländern, für die ein solcher Beschluss besteht. Ihr revidiertes Datenschutzgesetz, kurz revDSG, ist seit dem 1. September 2023 in Kraft, und ein erklärtes Ziel der Revision war es, den freien Datenverkehr mit der EU zu erhalten. Beim Vergleich der Anbieter von Webhosting in der Schweiz lohnt trotzdem ein genauer Blick, denn ein Schweizer Firmensitz verrät noch nicht, ob die Hardware im Land steht oder bei einem Rechenzentrumsbetreiber im Ausland. Für Anbieter wie beispielsweise hosttech bestätigt das Qualitätssiegel „swiss hosting“ beides, den Firmensitz und den Datenstandort in der Schweiz. Die rechtliche Grundlage ist der Angemessenheitsbeschluss der EU-Kommission vom 26. Juli 2000, den die Kommission am 15. Januar 2024 in einem Bericht bestätigt hat. Wie das Bundesamt für Justiz zur Angemessenheit der Schweiz erläutert, dürfen personenbezogene Daten aus der EU deshalb in die Schweiz übermittelt werden, ohne dass zusätzliche Garantien erforderlich sind. Den Vertrag zur Auftragsverarbeitung ersetzt der Beschluss allerdings nicht, und in die Datenschutzerklärung gehört der Hinweis, dass Daten in der Schweiz verarbeitet werden und ein Angemessenheitsbeschluss vorliegt.
Beim Support zählen Sprache, Uhrzeit und ein nachvollziehbarer Meldeweg
Ein Kleinbetrieb hat selten jemanden, der abends Serverprotokolle liest. Umso mehr kommt es darauf an, zu welchen Zeiten der Anbieter erreichbar ist, ob am Telefon Deutsch gesprochen wird und ob es für Notfälle einen eigenen Kanal gibt. Zugesagte Reaktionszeiten stehen, wenn überhaupt, in der Leistungsbeschreibung, häufig mit Unterschieden zwischen Werktag und Wochenende. Aufschlussreich ist auch der Weg, den eine Störungsmeldung nimmt. Läuft sie über ein Ticketsystem mit Nummer und Verlauf, lässt sich später belegen, wann der Ausfall gemeldet und wann er behoben wurde, was bei einer Reklamation hilft.
Wiederherstellung und Ausstieg gehören vor der Unterschrift geklärt
Zwei Fragen stellen sich oft erst, wenn es zu spät ist. Die erste betrifft die Wiederherstellung, also ob der Betrieb sie selbst im Kundenkonto auslösen kann, wie lange sie dauert und ob dafür Gebühren anfallen. Bei der zweiten geht es um den Ausstieg. Mit dem Hostingvertrag lagert ein Betrieb einen Teil seiner IT aus und spart sich eigene Server. Die Kehrseite, die jedes Outsourcing mit sich bringt, ist die Bindung an den Partner, und sie zeigt sich erst beim Wechsel. Deshalb lohnt es sich, die Exportwege vorab zu kennen, also ein Archiv der Dateien, einen Abzug der Datenbank und den Zugriff auf die Postfächer per IMAP. Der Vertrag nach Artikel 28 DSGVO muss außerdem vorsehen, dass der Hoster die personenbezogenen Daten am Vertragsende nach Wahl des Betriebs löscht oder zurückgibt.
Fazit
Ob ein Hostingtarif im Kleinbetrieb funktioniert, zeigt sich an drei Stellen. Der Speicher sollte die Postfächer der kommenden drei Jahre samt Sicherungen tragen, was eine kurze Rechnung mit den heutigen Ordnergrößen klärt. Beim Datenschutz zählen der Vertrag zur Auftragsverarbeitung und der tatsächliche Standort aller Server, wobei ein Schweizer Rechenzentrum dank Angemessenheitsbeschluss ohne zusätzliche Vertragsklauseln nutzbar ist. Beim Support kommt es auf deutschsprachige Erreichbarkeit, einen dokumentierten Meldeweg und eine Wiederherstellung an, die der Betrieb notfalls selbst anstoßen kann.
