Deine Website braucht ein verlässliches Zuhause. Bei der Hosterwahl zählen deshalb mehr als Speicherplatz und ein günstiger Einstiegspreis: Datenschutz, verständliche Verträge, funktionierende Backups und Unterstützung, wenn etwas nicht läuft.
Vielleicht suchst du gerade einen Anbieter für deine erste Unternehmenswebsite. Vielleicht möchtest du wechseln, weil der bisherige Tarif langsam geworden ist oder du bei Problemen niemanden erreichst. Spätestens beim Vergleich begegnen dir Begriffe wie DSGVO, AVV und ISO 27001. Was davon hilft dir wirklich bei der Entscheidung?
In diesem Beitrag erfährst du, welche Unterlagen und Leistungen du prüfen solltest und wie ich dich dabei unterstütze, ein passendes Hosting für deine WordPress-Website zu finden.
Beginne mit deiner Website, bevor du Tarife vergleichst
Für eine kleine Firmenwebsite sind andere Anforderungen wichtig als für einen Onlineshop mit laufenden Bestellungen oder ein Portal mit Benutzerkonten. Eine pauschale Empfehlung für den „besten Hoster“ hilft deshalb nur begrenzt. Ich würde zuerst diese vier Punkte notieren:
- Funktionen: Brauchst du nur Informationsseiten und ein Kontaktformular oder auch Buchungen, einen Shop und externe Schnittstellen?
- Daten: Wo werden Anfragen, Bestellungen, Bewerbungen und E-Mails gespeichert? Welche zusätzlichen Dienste nutzt die Website?
- Betrieb: Wer übernimmt WordPress-Updates, technische Prüfungen und die Wiederherstellung nach einem Fehler?
- Ausfallfolgen: Was passiert für deinen Betrieb, wenn Website oder E-Mail mehrere Stunden nicht funktionieren?
Mit diesen Antworten lässt sich prüfen, ob ein Tarif zu deinem Unternehmen passt. Viel Speicherplatz löst zum Beispiel weder einen unklaren Supportweg noch die Frage, wer deine Plugins aktualisiert.
DSGVO-konformes Hosting: Warum der Serverstandort allein nicht reicht
Ein Rechenzentrum in Deutschland oder der EU kann die Auswahl erleichtern. Entscheidend ist aber die gesamte Verarbeitungskette: Wo liegen die laufenden Daten und die Backups? Welche weiteren Dienstleister sind eingebunden? Welche Stellen können im Support auf personenbezogene Daten zugreifen?
Erhält eine andere Stelle in einem Drittland Fernzugriff, kann bereits darin eine Drittlandübermittlung liegen. Darauf weist der Europäische Datenschutzausschuss in seinen Empfehlungen zu Datenübermittlungen hin. „Server in Deutschland“ beantwortet diese Frage deshalb nicht automatisch.
Bei Übermittlungen in Drittländer müssen zusätzlich die Voraussetzungen aus Kapitel V der DSGVO geprüft werden. Ein AVV allein ersetzt diese Prüfung nicht. Die Grundlage findest du in der DSGVO, insbesondere Artikel 44 und folgende.
Meine praktische Empfehlung: Lass dir Datenstandorte, Backupstandorte, Unterauftragnehmer und mögliche Supportzugriffe konkret nennen. Bewahre die Angaben zusammen mit dem Vertrag auf. Ein Werbesiegel auf der Startseite ist dafür zu wenig.
Zur Website gehören außerdem eingebundene Dienste wie Terminbuchung, Newsletter oder Analysewerkzeuge. Ein geeigneter Hoster macht deren Auswahl und Konfiguration nicht automatisch datenschutzkonform.
Was ist ein AVV und wann brauchst du ihn?
AVV steht für Vertrag zur Auftragsverarbeitung, auch Auftragsverarbeitungsvereinbarung genannt. Wenn ein Hoster personenbezogene Daten für dein Unternehmen im Auftrag verarbeitet, braucht diese Zusammenarbeit eine entsprechende verbindliche Grundlage. Bereits die Speicherung kann Auftragsverarbeitung sein. Der LfDI Baden-Württemberg erklärt das an einem Hosting-Beispiel.
Nach Artikel 28 DSGVO gehören unter anderem Angaben zu Zweck und Dauer, Datenarten, Weisungen, Sicherheitsmaßnahmen, Unterstützung und Rückgabe oder Löschung in die Vereinbarung. Weitere Auftragsverarbeiter brauchen eine vorherige besondere oder allgemeine schriftliche Genehmigung. Maßgeblich ist Artikel 28 DSGVO.
Für deinen Angebotsvergleich würde ich diese Fragen stellen:
- Wo finde ich den AVV und wie wird er verbindlich abgeschlossen?
- Sind der gebuchte Dienst und die tatsächlich verarbeiteten Daten nachvollziehbar beschrieben?
- Wo stehen die technischen und organisatorischen Maßnahmen, kurz TOM?
- Welche Unterauftragnehmer werden eingesetzt und wie erfahre ich von Änderungen?
- Wie läuft die Unterstützung bei einem Datenschutzvorfall oder einer Auskunftsanfrage ab?
- Wie erhalte ich meine Daten zurück und was geschieht nach Vertragsende mit vorhandenen Kopien?
Der bloße Download eines Vertragsmusters belegt noch keinen verbindlichen Abschluss. Ein AVV kann auch elektronisch abgeschlossen werden. Kläre den Abschlussweg und sichere die vereinbarte Fassung einschließlich ihrer Anlagen.
ISO 27001: Ein sinnvoller Nachweis mit einem klaren Geltungsbereich
ISO/IEC 27001 beschreibt Anforderungen an ein Informationssicherheitsmanagementsystem. Es geht darum, Informationssicherheitsrisiken systematisch zu behandeln und die entsprechenden Abläufe zu steuern und zu verbessern. Eine Zertifizierung kann dafür ein aussagekräftiger Nachweis innerhalb des geprüften Bereichs sein. So beschreibt es die ISO zu ISO/IEC 27001.
Das Zertifikat ist für sich genommen kein Datenschutz-Zertifikat nach Artikel 42 DSGVO und bestätigt keine pauschale DSGVO-Konformität deiner Website. Die Datenschutzkonferenz erläutert diese Abgrenzung: Informationssicherheit deckt nur einen Teil des Datenschutzes ab.
Wenn ein Anbieter mit ISO 27001 wirbt, lass dir das vollständige Zertifikat zeigen und prüfe:
- Inhaber: Für welches Unternehmen gilt es?
- Geltungsbereich: Sind die relevanten Standorte, Dienste und Betriebsprozesse erfasst oder nur ein abgegrenzter Teil?
- Status: Ist das Zertifikat aktuell gültig und lässt sich das beim Aussteller bestätigen?
- Zertifizierungsstelle: Wer hat geprüft? Liegt eine passende unabhängige Akkreditierung vor?
ISO selbst stellt keine Zertifikate aus; dazu informiert die ISO über Zertifizierung und die Prüfung von Zertifikaten. Dass der Geltungsbereich entscheidend ist, erläutert auch das BSI im Kontext von ISO-27001-Nachweisen. Für deine Auswahl heißt das: Ein Zertifikat des Rechenzentrums umfasst nicht automatisch sämtliche Leistungen eines Hosting-Wiederverkäufers oder deine WordPress-Installation.
Backups, Updates und Support: Hier muss der Tarif konkret werden
Ein günstiges Hosting-Angebot kann gut passen, wenn sein Umfang klar ist. Begriffe wie „Managed“, „Backup inklusive“ oder „Premium-Support“ möchte ich vor einer Empfehlung genauer auflösen. Lass dir nicht nur bestätigen, dass es die Leistung gibt, sondern wie sie im Alltag funktioniert.
Backups: Eine Sicherung muss sich auch wiederherstellen lassen
Frage nach Häufigkeit, Aufbewahrungsdauer, Speicherort und Wiederherstellungskosten. Werden Dateien, Datenbank und benötigte Postfächer erfasst? Kannst du selbst einen älteren Stand zurückholen oder musst du den Support beauftragen? Wer prüft, ob die Wiederherstellung funktioniert?
Bei einem Shop können seit der letzten Sicherung neue Bestellungen hinzugekommen sein. Deshalb sollte die Backupplanung zu den Abläufen deines Unternehmens passen. Wiederherstellbarkeit und die regelmäßige Prüfung von Schutzmaßnahmen sind auch Teil der risikobezogenen Anforderungen aus Artikel 32 DSGVO.
Updates: Wer kümmert sich um welche Ebene?
Halte getrennt fest, wer die Serverumgebung betreut und wer WordPress, Themes und Plugins aktualisiert. Kläre auch, wer nach einem Update Formulare, Buchungen und wichtige Seiten prüft. „Managed Hosting“ sollte im Angebot durch konkrete Aufgaben beschrieben werden.
Support: Erreichbarkeit und Zuständigkeit müssen zusammenpassen
Welche Kontaktwege und Zeiten gibt es? Bearbeitet der Hoster nur seine Infrastruktur oder hilft er auch bei WordPress-Problemen? Eine vereinbarte Reaktionszeit sagt außerdem noch nicht, wann ein Fehler vollständig behoben ist. Lass dir erklären, wie dringende Störungen behandelt werden.
Bei der WordPress-Betreuung durch smarte pixel. besprichst du dein Anliegen direkt mit mir. Ich unterstütze dich im vereinbarten Umfang und bei der Abstimmung mit dem Hoster. Das ist besonders hilfreich, wenn du nicht selbst zwischen verschiedenen technischen Zuständigkeiten vermitteln möchtest.
Wer bleibt verantwortlich: du, der Hoster oder dein Betreuer?
Für die Zwecke und wesentlichen Mittel der von deinem Unternehmen bestimmten Verarbeitung bleibt dein Unternehmen verantwortlich. Der Hoster übernimmt die vereinbarten Aufgaben. Auch eine betreuende Agentur kann Auftragsverarbeiter sein, wenn sie personenbezogene Daten auf Weisung verarbeitet. Die konkrete Tätigkeit und Beauftragung bestimmen, welche Verträge und gegebenenfalls Unterauftragsverhältnisse nötig sind. Die Datenschutzaufsicht erklärt diese Rollen anhand der tatsächlichen Aufgaben.
Für die Zusammenarbeit empfehle ich eine kurze Aufgabenübersicht: Wer verwaltet Zugänge? Wer pflegt die Website? Wer sichert Daten? Wer handelt bei einem Ausfall und wer liefert Informationen bei einem Datenschutzvorfall? So wird aus „Darum kümmert sich bestimmt jemand“ eine nachvollziehbare Vereinbarung.
Deine Checkliste für den Hostervergleich
Vergleiche zwei oder drei Angebote anhand derselben Fragen. Notiere zu jeder Antwort den Nachweis oder die betreffende Vertragsstelle. Unklare Punkte bleiben offen, bis der Anbieter sie beantwortet hat.
- Passender Tarif: Deckt er Funktionen, erwartete Nutzung und technische Anforderungen deiner Website ab?
- Datenstandorte: Wo liegen Website, Datenbank, Postfächer und Backups?
- Verträge: Wie schließt du den passenden AVV ab und wo findest du die TOM?
- Weitere Dienstleister: Welche Unterauftragnehmer und möglichen Drittlandzugriffe gibt es?
- Nachweise: Was umfasst ein beworbenes ISO-27001-Zertifikat tatsächlich?
- Sicherungen: Was wird wie oft gesichert, wie lange aufbewahrt und wie wiederhergestellt?
- Pflege: Wer übernimmt Server-, WordPress-, Theme- und Plugin-Updates?
- Hilfe: Wen erreichst du wann und welche Probleme werden vom Support bearbeitet?
- Gesamtkosten: Was kosten Verlängerung, Domain, Postfächer, Lizenzen, Wiederherstellungen und ein späterer Wechsel?
- Eigene Kontrolle: Welche Zugänge bekommst du und wie exportierst du Website, Datenbank und E-Mails?
Ein Beispiel: Tarif A ist monatlich günstiger, berechnet aber Wiederherstellungen separat und enthält keine WordPress-Pflege. Tarif B kostet mehr und umfasst bestimmte Pflegeleistungen. Welcher besser passt, hängt davon ab, wer die fehlenden Aufgaben bei Tarif A übernimmt. Vergleiche den tatsächlich benötigten Gesamtumfang. Weitere Fragen dazu findest du in meiner Checkliste zu Website-Angeboten und versteckten Folgekosten.
So unterstütze ich dich bei Auswahl und Hostingwechsel
Du musst dich vor dem ersten Gespräch nicht durch sämtliche Tarifdetails arbeiten. Schick mir deine Webadresse und sag mir, was du brauchst oder was beim bisherigen Anbieter nicht gut funktioniert. Bitte sende dabei noch keine Passwörter mit.
- Anforderungen klären: Website, E-Mail, zusätzliche Dienste und benötigte Betreuung gemeinsam erfassen.
- Angebote einordnen: Technische Leistungen und Kosten vergleichen, verfügbare Datenschutzunterlagen und Zertifikate zusammentragen und offene Fragen an den Anbieter formulieren.
- Umzug vorbereiten: Erreichbare Daten sichern, Website und Postfächer berücksichtigen, Zuständigkeiten klären und den Wechsel mit Funktionsprüfung planen.
- Weiterbetreuen: Updates, Backups und Unterstützung in einem gemeinsam vereinbarten Umfang übernehmen.
Ich helfe dir bei der technischen Auswahl und Umsetzung. Die rechtliche Bewertung deiner konkreten Verarbeitung und der Vertragsunterlagen gehört bei Bedarf zu deiner Datenschutzberatung oder einer entsprechend qualifizierten Rechtsberatung. Ein Hostingwechsel allein ist keine vollständige Datenschutzprüfung.
Quellen und weiterführende Informationen
Fachstand: 9. Oktober 2026. Die Checklisten sind praktische Auswahlhilfen und keine vollständige rechtliche Prüfung.
- EUR-Lex: DSGVO, insbesondere Artikel 28, 32 und 44 ff.
- LfDI Baden-Württemberg: Verantwortlichkeit und Auftragsverarbeitung
- EDSA: Empfehlungen 01/2020 zu Datenübermittlungen, endgültige Fassung
- ISO: ISO/IEC 27001 und Informationssicherheitsmanagement
- ISO: Zertifizierungsstellen und Zertifikate prüfen
- Datenschutzkonferenz: Zertifizierung nach Artikel 42 DSGVO
- BSI: Geltungsbereich bestehender ISO-27001-Zertifikate