Deutsches Hosting & DSGVO bei Managed IT: worauf es ankommt

Wer den IT-Betrieb an einen Managed-Service-Provider abgibt, übergibt zwangsläufig auch personenbezogene Daten — von Mitarbeiterkonten über Gehaltslisten bis zur Kundendatenbank. Damit wird der Serverstandort zur Compliance-Frage: Managed IT, deutsches Hosting und DSGVO gehören für den Mittelstand untrennbar zusammen. Dieser Leitfaden zeigt Schritt für Schritt, worauf Sie im Vertrag und in der Technik achten müssen, bevor Sie unterschreiben.

Warum der Serverstandort bei Managed IT über die DSGVO entscheidet

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet — und genau das tut jeder Managed-IT-Anbieter, der Ihre Postfächer, Geräte oder Nutzerkonten verwaltet — liegt eine Auftragsverarbeitung vor. Laut Art. 28 DSGVO ist dafür ein schriftlicher Auftragsverarbeitungsvertrag (AVV) verpflichtend; die IHK Stuttgart weist ausdrücklich darauf hin, dass mit dem Anbieter zwingend ein solcher Vertrag zu schließen ist. Verantwortlich für die Daten bleiben rechtlich Sie, nicht der Dienstleister.

Kritisch wird es beim Serverstandort. Verarbeitet ein Anbieter Daten außerhalb der EU — etwa in einer US-Cloud —, handelt es sich um einen Drittland-Transfer. Seit dem Schrems-II-Urteil des EuGH von 2020, das den damaligen „Privacy Shield“ für ungültig erklärt hat, müssen solche Transfers gesondert abgesichert und dokumentiert werden. Deutsches Hosting umgeht diesen Aufwand vollständig: Bleiben die Daten physisch in Deutschland, entfällt die Drittland-Prüfung, und Sie ersparen sich Standardvertragsklauseln samt Transfer-Impact-Assessment.

Hinzu kommt ein Aspekt, der oft übersehen wird: Der Anbieter selbst muss dem Recht eines EU-Staates unterliegen. Sitzt der Mutterkonzern eines Cloud-Dienstleisters in den USA, können US-Behörden auf Datenbestände zugreifen — auch dann, wenn die Server nominell in Europa stehen. Ein deutscher Anbieter mit deutschem Rechenzentrum schließt diese Grauzone. Für die meisten Mittelständler ist das der schnellste Weg zu einem belastbaren Datenschutzniveau, ohne monatelang Verträge und Risikobewertungen zu wälzen.

Managed IT, deutsches Hosting, DSGVO: die sechs Prüfpunkte vor Vertragsschluss

Gehen Sie jeden Anbieter mit dieser Checkliste durch. Fehlt ein Punkt oder bleibt er vage, verlagern Sie das Compliance-Risiko in Ihr eigenes Haus.

1. AVV nach Art. 28 DSGVO

Ein unterschriftsreifer AVV muss vorliegen — mit Weisungsrecht, Vertraulichkeitspflicht, Regelungen zu Sub-Auftragsverarbeitern und Löschung nach Vertragsende. Ein Anbieter, der erst nach dem Vertrag „einen AVV nachreichen“ will, hat den Prozess nicht im Griff.

2. Serverstandort vertraglich fixiert

„Hosting in Europa“ ist kein Standort. Lassen Sie sich das konkrete Rechenzentrum und das Land schriftlich zusichern. Deutsches Hosting ist der sauberste Weg, weil es die DSGVO-Anforderungen erfüllt und zusätzlich das Risiko behördlicher Zugriffe aus Drittstaaten minimiert.

3. Technische und organisatorische Maßnahmen (Art. 32)

Verschlüsselung im Transit und at Rest, rollenbasierte Zugriffskonzepte, Protokollierung und ein getestetes Backup gehören dokumentiert vorgelegt — nicht auf Zuruf behauptet. Fragen Sie konkret nach: Wie ist der administrative Zugriff auf Ihre Systeme abgesichert, wie oft werden Backups getestet, und wie schnell wäre der Anbieter im Ernstfall wiederherstellungsfähig? Ein seriöser Managed-IT-Partner beantwortet das mit Zahlen, nicht mit Marketingphrasen.

4. Transparente Sub-Auftragsverarbeiter

Jeder Unterauftragnehmer (etwa für Backup oder Monitoring) muss benannt und ebenfalls DSGVO-konform gebunden sein. Eine aktuelle Sub-AV-Liste ist ein gutes Reifezeichen.

5. NIS2-Readiness

Das NIS2-Umsetzungsgesetz ist in Deutschland seit Dezember 2025 in Kraft. Laut secjur begann mit dem Inkrafttreten am 6. Dezember 2025 eine dreimonatige Registrierungsfrist für betroffene Unternehmen, die am 6. März 2026 ablief. Fällt Ihr Unternehmen unter NIS2, sollte Ihr Managed-IT-Anbieter die geforderten Nachweise zu Risikomanagement und Meldewegen aktiv unterstützen.

6. Lösch- und Auskunftsfähigkeit

Betroffenenrechte (Auskunft, Löschung, Datenportabilität) müssen sich technisch umsetzen lassen. Klären Sie, in welcher Frist der Anbieter ein Löschkonzept umsetzt und Auskunftsersuchen beantworten kann.

Was DSGVO-konforme Managed IT kostet

Transparente Anbieter nennen einen Seat-Preis, statt jede Anfrage einzeln zu kalkulieren. Der folgende Rahmen zeigt eine typische Struktur für den Mittelstand mit deutschem Hosting.

Ein Praxisbeispiel: Managed IT mit deutschem Hosting aus Hamburg

Wer die sechs Prüfpunkte an einem konkreten Angebot durchspielen will, findet ein passendes Beispiel in kjello: Der Dienst kombiniert Managed IT, deutsches Hosting und DSGVO-Konformität in einem Paket, das AVV, Serverstandort in Deutschland und dokumentierte Maßnahmen von vornherein mitbringt — zum öffentlich genannten Festpreis von 29 € pro User und Monat. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004).

Der Vorteil für datenschutzsensible Betriebe liegt in der Kombination: der Bedienkomfort eines Self-Service-Portals plus ein echtes Systemhaus im Rücken, das Cloud und On-Prem betreut, mit deutschem Hosting und Ø 4 Minuten Erstreaktion im Support. Ehrlich bleibt die Grenze: Zugeschnitten ist das Modell auf den deutschen Mittelstand mit 20 bis 250 Mitarbeitenden — Konzerne mit eigener großer IT-Abteilung oder reine Cloud-only-Startups ohne Betreuungsbedarf sind nicht die Zielgruppe.

Managed IT mit deutschem Hosting: dafür und dagegen

Häufige Fragen