DSGVO-konformes WordPress Hosting: Ratgeber

Wer ist beim Hosting wofür verantwortlich?

Die DSGVO unterscheidet zwei Rollen. Dein Unternehmen ist der Verantwortliche: Du entscheidest, welche personenbezogenen Daten deine Webseite verarbeitet und wofür (Art. 4 Nr. 7 DSGVO). Dein Hoster ist Auftragsverarbeiter: Er verarbeitet diese Daten in deinem Auftrag (Art. 4 Nr. 8 DSGVO) und nur nach deinen Weisungen (Art. 28 Abs. 3 lit. a DSGVO).

Ein Hosting ganz ohne personenbezogene Daten gibt es praktisch nicht. Schon beim Aufruf einer Seite verarbeitet der Server die IP-Adresse des Besuchers. Der Europäische Gerichtshof hat 2016 entschieden, dass auch dynamische IP-Adressen für Webseitenbetreiber personenbezogene Daten sein können (Rechtssache C-582/14, Breyer). Dazu kommen Anfragen aus Kontaktformularen, Bestellungen im Shop und die E-Mails in deinen Postfächern.

Wichtig dabei: Die Verantwortung bleibt bei dir. Du darfst nur mit Auftragsverarbeitern arbeiten, die hinreichende Garantien für einen DSGVO-konformen Umgang mit den Daten bieten (Art. 28 Abs. 1 DSGVO). Die Wahl des Hosters ist also eine Datenschutzentscheidung.

VerantwortlicherDein UnternehmenEntscheidet, welche Daten wofür verarbeitet werden.schließt den AV-Vertrag nach Art. 28 DSGVO
AuftragsverarbeiterDein HosterVerarbeitet die Daten nur nach deinen Weisungen.setzt Dienstleister nur mit Genehmigung ein
UnterauftragsverarbeiterWeitere DienstleisterZum Beispiel Rechenzentrum, CDN oder Spamfilter.unterliegen denselben Pflichten wie der Hoster

Die Rollen beim Hosting nach Art. 4 und Art. 28 DSGVO.

Der Vertrag zur Auftragsverarbeitung

Weil dein Hoster personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung, kurz AV-Vertrag. Er muss schriftlich vorliegen, ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO). Die wichtigsten Mindestinhalte legt Art. 28 Abs. 3 DSGVO fest:

Gegenstand, Dauer, Art und Zweck der Verarbeitung sowie die Art der Daten und die Kategorien betroffener Personen
Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
Verpflichtung der Mitarbeitenden zur Vertraulichkeit
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO
Regeln für den Einsatz von Unterauftragsverarbeitern
Unterstützung bei Betroffenenrechten, Datenpannen und Datenschutz-Folgenabschätzungen
Löschung oder Rückgabe der Daten nach Vertragsende
Nachweise und Überprüfungen, auch durch Inspektionen

Ein seriöser Hoster stellt dir den AV-Vertrag von sich aus zur Verfügung, ohne Aufpreis und ohne dass du lange danach fragen musst. Fehlt er, ist das ein deutliches Warnsignal. Bei wpinabox schließen wir den AV-Vertrag mit jedem Kunden ab.

Serverstandort und Drittländer

Die DSGVO schreibt nicht vor, dass Server in Deutschland stehen müssen. Innerhalb der EU und des Europäischen Wirtschaftsraums gilt überall dasselbe Datenschutzniveau. Heikel wird es erst, wenn personenbezogene Daten in ein Land außerhalb davon übermittelt werden, ein sogenanntes Drittland. Das ist nur unter den Voraussetzungen von Kapitel V der DSGVO erlaubt, also zum Beispiel auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) oder mit geeigneten Garantien wie Standardvertragsklauseln (Art. 46 DSGVO).

Für die USA zeigt sich, wie unbeständig diese Grundlage sein kann. Der Europäische Gerichtshof hat die Angemessenheitsbeschlüsse zu den beiden Vorgängerregelungen für ungültig erklärt: 2015 zu Safe Harbor (C-362/14) und 2020 zum Privacy Shield (C-311/18). Seit dem 10.07.2023 gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, allerdings nur für US-Unternehmen, die unter dem Data Privacy Framework zertifiziert sind. Das Gericht der EU hat eine Klage dagegen am 03.09.2025 abgewiesen (T-553/23, Latombe). Gegen dieses Urteil ist seit dem 31.10.2025 ein Rechtsmittel beim Europäischen Gerichtshof anhängig (C-703/25 P).

Liegen Server und Anbieter in der EU und setzt der Anbieter keine Dienstleister in Drittländern ein, stellt sich diese Frage gar nicht erst. Genau deshalb entscheiden sich viele Unternehmen bewusst für einen europäischen Hoster mit Rechenzentrum in Deutschland.

Spielt der Firmensitz des Hosters eine Rolle?

Ja, und zwar aus zwei Gründen: Er bestimmt, welches nationale Recht neben der DSGVO für den Hoster gilt und welche Aufsichtsbehörde zuständig ist, und er entscheidet darüber, ob andere Rechtsordnungen auf die Daten zugreifen können.

Sitz in der EU: Die DSGVO gilt direkt

Die DSGVO ist eine EU-Verordnung. Sie gilt in allen Mitgliedstaaten unmittelbar und mit demselben Wortlaut. Ein Hoster mit Sitz in einem anderen EU-Land unterliegt deshalb denselben Pflichten wie ein deutscher Anbieter. Auch für die Menschen, deren Daten verarbeitet werden, ändert sich nichts: Sie können sich bei einer Aufsichtsbehörde in ihrem Mitgliedstaat beschweren, auch wenn der Hoster in einem anderen EU-Land sitzt (Art. 77 DSGVO).

Ein Beispiel ist wpinabox. Unser Unternehmen, die TK ENTERPRISES LTD, hat seinen Sitz in Paphos auf Zypern. Zypern ist seit dem 01.05.2004 Mitglied der Europäischen Union, die DSGVO gilt dort also genauso wie in Deutschland. Ergänzt wird sie durch das zyprische Datenschutzgesetz 125(I)/2018, die Aufsicht führt der Commissioner for Personal Data Protection. Unsere Server stehen im Rechenzentrum Maincubes FRA01 in Frankfurt am Main. Für das Hosting selbst findet also keine Übermittlung in ein Drittland statt, und der AV-Vertrag folgt denselben Regeln wie bei jedem deutschen Hoster.

Anbieter aus den USA: Der CLOUD Act

Anders sieht es bei Anbietern aus, die dem US-Recht unterliegen. Der CLOUD Act aus dem Jahr 2018 verpflichtet Anbieter, die der US-Gerichtsbarkeit unterliegen, Daten auf Anordnung herauszugeben, und zwar unabhängig davon, ob diese Daten in den USA oder anderswo gespeichert sind (18 U.S.C. § 2713). Auch Daten in einem europäischen Rechenzentrum eines US-Konzerns können davon betroffen sein. Mit der DSGVO verträgt sich das schlecht: Nach Art. 48 DSGVO werden Urteile und Behördenentscheidungen aus Drittländern, die eine Herausgabe verlangen, nur anerkannt oder vollstreckt, wenn sie auf einem internationalen Abkommen wie einem Rechtshilfeabkommen beruhen.

Ein Server in Deutschland bei einem US-Anbieter ist datenschutzrechtlich also nicht dasselbe wie ein Server in Deutschland bei einem europäischen Anbieter. Ein Hoster, der weder seinen Sitz in den USA hat noch zu einem US-Konzern gehört und dort auch keine Niederlassung hat, unterliegt dieser Herausgabepflicht in der Regel nicht.

Unterauftragsverarbeiter: Wer hat noch Zugriff?

Kaum ein Hoster erledigt alles selbst. Rechenzentrum, Backup-Speicher, Spamfilter oder ein Content Delivery Network (CDN) werden oft von weiteren Dienstleistern betrieben. Die DSGVO nennt sie Unterauftragsverarbeiter. Dein Hoster darf sie nur mit deiner Genehmigung einsetzen und muss ihnen dieselben Datenschutzpflichten auferlegen, die er selbst dir gegenüber hat (Art. 28 Abs. 2 und 4 DSGVO). Bei einer allgemeinen Genehmigung muss er dich über jede geplante Änderung informieren, damit du widersprechen kannst.

Frag deshalb nach einer aktuellen Liste der Unterauftragsverarbeiter und prüfe, wo diese sitzen. Besondere Aufmerksamkeit verdient ein CDN: Es liefert Inhalte über Server in vielen Ländern aus und verarbeitet dabei die IP-Adressen deiner Besucher. Bei wpinabox ist das CDN in jedem Tarif enthalten und lässt sich bei Bedarf zuschalten. Es nutzt Bunny.net, einen Anbieter mit Sitz in Slowenien, also ebenfalls in der EU. Weil ein CDN Inhalte auch über Server außerhalb der EU ausliefern kann, solltest du es in deiner Datenschutzerklärung aufführen. Wie Bunny.net mit der DSGVO umgeht, beschreibt der Anbieter auf seiner DSGVO-Seite.

Technische Sicherheit nach Art. 32 DSGVO

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, die dem Stand der Technik und dem Risiko entsprechen. Ausdrücklich genannt werden unter anderem die Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität und Verfügbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und die regelmäßige Überprüfung der Maßnahmen.

Beim Hosting bedeutet das ganz praktisch:

Verschlüsselte Verbindungen: SSL-Zertifikate für alle Webseiten und verschlüsselte Zugänge, also SFTP statt FTP.
Trennung der Kunden: Jede Webseite läuft isoliert, damit ein kompromittiertes Projekt keine anderen erreicht.
Backups mit Wiederherstellung: Regelmäßige Sicherungen, die sich im Ernstfall schnell zurückspielen lassen.
Schutz vor Angriffen: Firewall, Sperrlisten und aktuelle Software auf dem Server.
Sicheres Rechenzentrum: Eine Zertifizierung nach ISO/IEC 27001 zeigt, dass Informationssicherheit systematisch gemanagt wird.

Bei wpinabox gehören SSL-Zertifikat, User-Isolation, Web Application Firewall und tägliche Backups zu jedem Tarif. Dateien tauschst du ausschließlich über SFTP aus. Das Rechenzentrum von Maincubes ist nach ISO/IEC 27001 zertifiziert.

Kommt es trotzdem zu einer Datenpanne, muss der Hoster dich unverzüglich informieren (Art. 33 Abs. 2 DSGVO). Du selbst musst die Panne in der Regel unverzüglich und möglichst binnen 72 Stunden, nachdem sie dir bekannt wurde, der Aufsichtsbehörde melden (Art. 33 Abs. 1 DSGVO). Ein Hoster, der schnell und klar kommuniziert, ist hier viel wert.

Server-Logfiles

Jeder Webserver protokolliert Zugriffe, meist mit IP-Adresse, Uhrzeit, aufgerufener Seite und Browser. Diese Logfiles sind für den Betrieb und die Abwehr von Angriffen notwendig. Als Rechtsgrundlage dient in der Regel das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Gespeichert werden dürfen die Daten aber nur so lange, wie es für diesen Zweck erforderlich ist (Grundsatz der Speicherbegrenzung, Art. 5 Abs. 1 lit. e DSGVO). Die Logfiles gehören außerdem in deine Datenschutzerklärung.

Was dein Hoster nicht für dich erledigen kann

Ein DSGVO-konformes Hosting ist die Grundlage, macht deine Webseite aber nicht automatisch DSGVO-konform. Viele Datenschutzprobleme entstehen auf der Webseite selbst:

Datenschutzerklärung: Sie muss vollständig und aktuell sein (Art. 13 DSGVO).
Cookies und Tracking: Für das Speichern von Informationen auf dem Endgerät und den Zugriff darauf brauchst du eine Einwilligung, sofern das nicht unbedingt erforderlich ist (§ 25 TDDDG).
Externe Dienste: Eingebundene Schriften, Videos, Karten oder Analyse-Tools übertragen Daten an Dritte. Das Landgericht München I hat 2022 einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Webseite Google Fonts ohne Einwilligung direkt von Google-Servern geladen hatte (Urteil vom 20.01.2022, Az. 3 O 17493/20).
Plugins: Manche Plugins senden Daten an ihre Hersteller oder laden Inhalte von fremden Servern nach.

Bei wpinabox helfen wir hier technisch, wo es geht: Unsere Web-Statistiken kommen ohne Cookies aus, und unser WP:BOX Cache-Plugin kann Google Fonts lokal auf deinem Server ausliefern. Prüfen und dokumentieren musst du deine Webseite aber selbst oder gemeinsam mit deinem Datenschutzbeauftragten.

Checkliste für die Wahl deines Hosters

Der AV-Vertrag nach Art. 28 DSGVO ist verfügbar und ohne Aufpreis.
Die Server stehen in der EU, idealerweise in Deutschland.
Der Anbieter hat seinen Sitz in der EU und gehört nicht zu einem US-Konzern.
Es gibt eine aktuelle Liste der Unterauftragsverarbeiter mit deren Standorten.
Die technischen und organisatorischen Maßnahmen sind dokumentiert.
Backups laufen automatisch, und du kannst sie selbst wiederherstellen.
Zugänge sind verschlüsselt, unsichere Protokolle wie FTP sind abgeschaltet.
Das Rechenzentrum ist zertifiziert, zum Beispiel nach ISO/IEC 27001.
Der Hoster sagt vertraglich zu, Datenpannen unverzüglich zu melden.

Häufige Fragen

Ist ein Hoster mit Sitz in Zypern DSGVO-konform?

Ja, wenn er die Anforderungen der DSGVO erfüllt, genau wie jeder deutsche Hoster. Zypern ist seit 2004 Mitglied der EU, die DSGVO gilt dort unmittelbar. Eine Datenübermittlung in ein Drittland liegt nicht vor. Entscheidend sind wie überall der AV-Vertrag, die eingesetzten Dienstleister und die technischen Maßnahmen.

Müssen die Server in Deutschland stehen?

Nein. Die DSGVO verlangt keinen Serverstandort in Deutschland, innerhalb der EU und des EWR gilt überall dasselbe Schutzniveau. Viele Unternehmen bevorzugen Deutschland trotzdem, etwa wegen kurzer Ladezeiten für deutsche Besucher oder aus internen Vorgaben.

Brauche ich einen AV-Vertrag mit meinem Hoster?

In der Praxis ja. Sobald dein Hoster personenbezogene Daten in deinem Auftrag verarbeitet, schreibt Art. 28 DSGVO einen solchen Vertrag vor. Das ist schon durch die IP-Adressen in den Server-Logfiles der Fall.

Ist meine Webseite mit einem DSGVO-konformen Hoster automatisch DSGVO-konform?

Nein. Das Hosting ist nur ein Baustein. Datenschutzerklärung, Einwilligungen, eingebundene Dienste und Plugins liegen in deiner Verantwortung als Betreiber der Webseite.

Geschrieben von

Tobias Fronk

Gründer und Geschäftsführer von wpinabox

Tobias arbeitet seit vielen Jahren mit WordPress und hat sich auf Hosting, Server-Performance und Sicherheit spezialisiert. Seit 2012 betreibt er mit seinem Team WordPress-Hosting auf eigenen Servern und entwickelt die Plattform hinter wpinabox kontinuierlich weiter. Außerdem hat er mit der Rechnungssoftware Invoboard und dem Monitoring-Tool ServerMon zwei umfangreiche Projekte auf Basis von WordPress entwickelt.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Stand: 23.10.2026.

DSGVO-konformes WordPress Hosting: Worauf es wirklich ankommt