Wofür diese Liste gut ist
Wenn du eine Website betreibst, verarbeitest du in der Regel personenbezogene Daten — und bist nach der DSGVO mitverantwortlich dafür, wie und wo das passiert. Diese Liste hilft dir, die wichtigsten Punkte strukturiert zu prüfen. Sie ersetzt keine Rechtsberatung, gibt dir aber eine gute Grundlage, um die richtigen Fragen zu stellen.
Auftragsverarbeitungsvertrag (AVV) vorhanden?
Sobald dein Hoster personenbezogene Daten für dich verarbeitet, braucht ihr einen AVV. Ohne ihn fehlt eine zentrale Grundlage für DSGVO-konformes Hosting.
Worauf achten: Gibt es einen AVV zum Einsehen oder Abschließen — idealerweise direkt online auffindbar?
Serverstandort in der EU bzw. Deutschland?
Der geografische Speicherort ist ein wichtiger Baustein. Daten innerhalb der EU zu halten erleichtert deine Dokumentation und vermeidet zusätzliche Hürden bei Drittlandtransfers.
Worauf achten: Wird der Standort konkret benannt — und nicht nur vage mit „europäische Cloud" umschrieben?
Sitz und Eigentümer des Anbieters geklärt?
Der Standort allein sagt nichts über das Recht aus. Hängt der Anbieter oder dessen Mutterkonzern am US-Recht, kann das die Zugriffslage verändern — auch bei EU-Servern.
Worauf achten: Wo sitzt das Unternehmen, und gibt es einen Mutterkonzern in einem Drittland?
Subdienstleister transparent offengelegt?
Kaum ein Hoster steht ganz für sich allein. Je klarer offengelegt ist, welche Subprozessoren beteiligt sind, desto besser kannst du die gesamte Kette einschätzen.
Worauf achten: Gibt es eine nachvollziehbare Liste der eingesetzten Subdienstleister?
Verschlüsselung bei Transport und Speicherung?
Daten sollten sowohl auf dem Weg zum Server (Transport) als auch bei der Ablage abgesichert sein. Das gehört zu den technischen Maßnahmen, die die DSGVO erwartet.
Worauf achten: Ist Transportverschlüsselung (TLS) Standard, und wie werden gespeicherte Daten geschützt?
Backups innerhalb der EU?
Eine Sicherung nützt wenig, wenn sie die Datenschutz-Logik aushebelt. Liegen die Backups in einem Drittland, gilt für sie nicht automatisch dasselbe Schutzniveau.
Worauf achten: Verlassen die Sicherungen den europäischen Rechtsraum — oder bleiben sie in der EU?
Datenexport möglich, kein Lock-in?
Du solltest jederzeit mit deinen Daten wieder rauskommen. Offene Standards und ein sauberer Export sind die Voraussetzung dafür, den Anbieter notfalls zu wechseln.
Worauf achten: Lassen sich Website, Mails und Daten in gängigen Formaten exportieren?
Lösch- und Auskunftskonzept vorhanden?
Betroffene haben Rechte: Auskunft, Berichtigung, Löschung. Dein Hoster sollte dir technisch ermöglichen, diesen Pflichten nachzukommen.
Worauf achten: Ist klar geregelt, wie Daten auf Anfrage exportiert und gelöscht werden?
Wie IVRY diese Punkte abdeckt
Damit du die Liste nicht ins Leere prüfst — hier kurz, wie wir die Punkte handhaben und wo du es nachlesen kannst:
AVV: Für die Verarbeitung personenbezogener Daten stellen wir dir einen Auftragsverarbeitungsvertrag bereit — nachzulesen unter /legal/avv.
Standort & Betreiber-Recht: Daten in Deutschland, betrieben von einer deutschen GmbH auf eigener Hardware — Details unter Wo deine Daten liegen.
Verschlüsselung & Sicherheit: Wie wir Transport und Speicherung absichern, findest du auf unserer Security-Seite.
Kein Lock-in: Standard-WordPress, IMAP-Mail und Standard-DNS — deine Daten sind portabel und du kommst jederzeit wieder raus.
Den größeren Zusammenhang — warum Standort und Recht zwei verschiedene Fragen sind — beleuchten wir auf der Seite zum souveränen Hosting.
Stand: 16.06.2026. Diese Checkliste ist eine allgemeine Orientierung und keine Rechtsberatung.
Genannte Begriffe und Marken gehören ihren jeweiligen Inhabern; die Nennung dient der Beschreibung und stellt keine Verbindung oder Empfehlung dar.