Wer Nextcloud statt Dropbox oder Matomo statt Google Analytics betreibt, verändert seine rechtliche Lage stärker, als die meisten Anleitungen zugeben. In dem Moment, in dem Ihr VPS den Namen, die E-Mail-Adresse, die IP-Adresse oder das Foto einer anderen Person speichert, sind Sie Verantwortlicher im Sinne der DSGVO, und Ihr Hosting-Anbieter ist Ihr Auftragsverarbeiter. „Das ist doch nur mein Homelab” gilt nicht mehr, sobald Familienmitglieder, Vereinsmitglieder oder Kunden eigene Konten haben.
Ein „DSGVO-konformes VPS” zum Kaufen gibt es nicht. Konformität ist eine Eigenschaft Ihrer Einrichtung, nicht des Anbieters. Was ein Anbieter liefern kann, sind die Unterlagen und der Datenstandort, die Konformität überhaupt erst möglich machen.
Das eine Dokument, das Sie wirklich brauchen
Art. 28 Abs. 3 DSGVO verlangt einen schriftlichen Vertrag zwischen Ihnen und jedem Auftragsverarbeiter, der personenbezogene Daten in Ihrem Auftrag verarbeitet. Auf Deutsch heißt er Auftragsverarbeitungsvertrag (AVV), im Englischen Data Processing Agreement (DPA). Ohne ihn ist Ihr Hosting rechtlich nicht konform – egal, wie sauber Sie den Server konfiguriert haben.
Alle drei großen EU-Budget-Anbieter stellen ihn direkt im Control Panel bereit, ohne Aufpreis:
| Anbieter | Wo Sie den AVV bekommen | Hinweise |
|---|---|---|
| Hetzner | Direkt im Kundenkonto abgeschlossen | Deckt die Pflichten aus Art. 28 (Verantwortlicher/Auftragsverarbeiter) ab; TOMs werden jährlich vom TÜV Rheinland (i-sec GmbH) geprüft |
| Netcup | CCP → Stammdaten → Auftragsverarbeitung | Vertragsgenerator, keine Zusatzkosten |
| Contabo | Control Panel → Auftragsverarbeitungsvertrag → „Neu erstellen” | Deckt VPS, VDS, Dedicated Server, Object Storage und Colocation ab |
Contabo bietet zusätzlich die EU-Standardvertragsklauseln an, wenn der gewählte Serverstandort außerhalb der EU liegt – gut zu wissen, denn Contabo verkauft US- und Asien-Regionen zum gleichen Preis wie die deutschen.
Wo die Daten physisch liegen
An der Wahl der Region scheitern die meisten, weil Anbieter EU- und Nicht-EU-Standorte hinter einem einzigen Login mischen.
Hetzner zieht hier eine klare Grenze. Falkenstein, Nürnberg und Helsinki halten sowohl Ihre Kundenstammdaten als auch Ihre Serverdaten innerhalb der EU. Ashburn (Virginia), Hillsboro (Oregon) und Singapur stehen ebenfalls zur Auswahl – dort verlassen die Serverdaten die EU, während die Kundenstammdaten in der EU bleiben. Eine US-Region bei einem deutschen Anbieter zu buchen, hält die Dateien Ihrer Nutzer also nicht in Europa.
Netcup betreibt Nürnberg und Wien. Contabos günstigste Stufe steht standardmäßig auf Deutschland, verkauft aber US-, UK-, Singapur- und Australien-Regionen aus demselben Dropdown.
Die praktische Regel: Wählen Sie die Region beim Bereitstellen bewusst aus und überprüfen Sie sie anschließend, statt sich auf die Voreinstellung zu verlassen.
Die Frage nach US-Anbietern ist nicht geklärt
DigitalOcean, Vultr und Akamai/Linode betreiben alle EU-Rechenzentren, und alle drei haben ihren Hauptsitz in den USA. Das ist relevant, weil der CLOUD Act US-Unternehmen unabhängig davon erfasst, wo die Hardware steht – eine andere Frage als die, ob das Rechenzentrum in Frankfurt steht.
Die Rechtslage ist hier tatsächlich instabil, behandeln Sie also jede Anleitung, die mit Gewissheit spricht, als veraltet:
- Der Angemessenheitsbeschluss der Europäischen Kommission vom Juli 2023 für das EU-US Data Privacy Framework ist heute geltendes Recht.
- Am 3. September 2025 wies das Gericht der EU die Klage von Philippe Latombe dagegen ab und befand das Data Protection Review Court für hinreichend unabhängig.
- Latombe legte am 31. Oktober 2025 Rechtsmittel ein. Das Verfahren liegt beim Gerichtshof als Rechtssache C-703/25 P und ist weiterhin anhängig; ein Verhandlungstermin war bis Mai 2026 nicht angesetzt.
- Zwei tragende Säulen wackeln: Das PCLOB, das die nachrichtendienstlichen Schutzmaßnahmen des Frameworks überwacht, steckt in einem rechtlichen Schwebezustand, und FISA Section 702 läuft nur auf einer kurzfristigen Verlängerung.
Sollte der EuGH das Framework in der Sache kippen, wäre es nach Safe Harbour und Privacy Shield der dritte gescheiterte transatlantische Übermittlungsmechanismus. Für Selbsthoster ist die pragmatische Lesart einfach: Ein EU-eigener Anbieter in einer EU-Region umgeht die ganze Frage – und kostet nicht mehr.
Was die DSGVO vom Server selbst verlangt
Art. 32 verlangt Sicherheit, die „dem Risiko angemessen” ist, statt einer festen Checkliste – deshalb ist pauschaler Rat nutzlos. Konkret für ein Einzel-VPS-Setup:
- Verschlüsseln Sie die Backups, nicht nur die Festplatte. Anbieter-Snapshots liegen meist unverschlüsselt im selben Konto.
resticoderborgmit Passphrase, auf getrennten Speicher geschoben, ist die eigentliche Maßnahme. - Wissen Sie, wo die Backups landen. Ein Hetzner-Server in Falkenstein, der in einen US-S3-Bucket sichert, ist eine Übermittlung, die Sie dokumentieren müssen.
- Kürzen Sie die Log-Aufbewahrung. Nginx und Traefik protokollieren standardmäßig vollständige IP-Adressen, und eine IP ist ein personenbezogenes Datum. Anonymisieren Sie das letzte Oktett oder rotieren Sie aggressiv – 7 bis 14 Tage reichen fürs Debugging, ohne eine Haftung anzuhäufen.
- Führen Sie ein Verzeichnis nach Art. 30. Für die meisten Selbsthoster ist das eine Seite: was Sie verarbeiten, warum, wo es liegt, wer sonst darauf zugreift und wie lange Sie es aufbewahren.
- Listen Sie Ihre Unterauftragsverarbeiter auf. Ihr VPS-Host, Ihr Backup-Ziel, Ihr Mail-Relay und Ihr CDN zählen jeweils dazu.
Hinweise auf App-Ebene
Nextcloud speichert Dateinamen, Freigabelinks und Login-IPs – den vollen Umfang also, und seine Serverlogs brauchen dieselbe Aufbewahrungsdisziplin wie der Reverse Proxy.
Matomo und Plausible sind oft überhaupt erst der Grund für den Umzug: Beide laufen ohne Cookies und ohne Einwilligungsbanner, wenn sie auf IP-Anonymisierung eingestellt sind – genau das, was Google Analytics nicht bieten kann. Siehe Plausible selbst hosten.
Vaultwarden hält einen verschlüsselten Tresor, den der Server nicht lesen kann, aber die Konto-E-Mail und die Login-Zeitstempel sind trotzdem personenbezogene Daten.
Bei der Wahl zwischen zwei deutschen Anbietern entscheidet nicht die DSGVO, sondern Ausstattung und Preis – siehe unseren Vergleich Hetzner gegen Netcup und den vollständigen VPS-Vergleich.
Dies ist eine Zusammenfassung aus der Praxis, keine Rechtsberatung. Wenn Sie Gesundheitsdaten, Daten von Kindern oder etwas in großem Umfang verarbeiten, sprechen Sie mit einem Fachanwalt für Datenschutzrecht.
Frequently asked questions
Macht mich ein deutscher Anbieter automatisch DSGVO-konform?
Nein. Ein deutscher Anbieter beseitigt das Problem der internationalen Übermittlung und liefert einen einfachen AVV. Die Pflichten, an denen Audits scheitern, bleiben aber bei Ihnen als Verantwortlichem: das Verzeichnis nach Art. 30, Aufbewahrungsgrenzen, die Meldung von Datenpannen binnen 72 Stunden und die Beantwortung von Auskunftsersuchen.
Brauche ich einen AVV für einen rein privaten Server?
Wenn ausschließlich Ihre eigenen Daten auf dem Server liegen, greift in der Regel die Haushaltsausnahme und es ist kein AVV nötig. Hetzner weist ausdrücklich auf diese Ausnahme für die private Nutzung hin. Sobald jedoch ein externer Nutzer ein eigenes Konto hat, entfällt die Ausnahme.
Ist Hetzner oder Netcup besser für die DSGVO geeignet?
Keiner der beiden hat einen rechtlichen Vorteil. Es sind zwei deutsche Unternehmen, die den AVV direkt aus dem Control Panel bereitstellen. Entscheiden Sie deshalb nach Ausstattung und Preis statt nach Datenschutz – rechtlich nehmen sich die beiden nichts.