Kurz gesagt: Dein Hosting-Anbieter sieht jeden Aufruf deiner Seite und speichert die Server-Logfiles samt IP-Adresse. Er ist damit Empfänger von Personendaten und gehört in die Erklärung, mit Name und Land. Liegt der Server im Ausland, kommt die Auslandbekanntgabe dazu.
Das ist die Lücke, die mir in der eigenen Erhebung am deutlichsten aufgefallen ist: Bei 93 von 206 geprüften Seiten erkennt der Scan ein System wie WordPress, aber keinen Betreiber. Genau dieser Anbieter fehlt dann praktisch immer im Text.
Warum ausgerechnet der Hoster vergessen wird
Weil man ihn nicht sieht. Ein Analysewerkzeug hat man selbst eingebaut, an einen Newsletter erinnert man sich. Der Hoster dagegen ist einfach da, seit die Agentur die Seite aufgesetzt hat. Kein Generator fragt danach, und kein Scanner erkennt ihn von aussen, denn der eigene Server ist keine fremde Adresse.
Dabei ist er der Empfänger mit dem breitesten Zugriff: Jede Anfrage jedes Besuchers läuft über ihn, dazu kommen Formulareingaben und oft auch die E-Mails.
Wie du deinen Hoster herausfindest
1. Rechnung oder Vertrag. Der sicherste Weg, dort steht auch, ob du bei einer Agentur oder direkt beim Anbieter bist.
2. Die Agentur fragen, wenn jemand anderes die Seite betreut. Dann ist die Agentur meist zusätzlich Empfänger, siehe unten.
3. Der Namensdienst. Der Scan schaut nach, über wen deine Domain verwaltet wird, und schlägt dir den Anbieter zur Bestätigung vor. Das ist ein Hinweis, keine Feststellung: Nameserver können beim Registrar liegen und die Website woanders.
Was in den Abschnitt gehört
- Name und Sitz des Anbieters
- Zweck: Betrieb der Website, Speicherung und Auslieferung der Seiten
- Server-Logfiles: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser
- Land: liegt der Server in der Schweiz, findet keine Bekanntgabe ins Ausland statt, und das darf so dastehen. Liegt er in der EU, gilt die Staatenliste des Bundesrats (Anhang 1 DSV). Liegt er in den USA, braucht es die Grundlage nach Art. 16 Abs. 2 lit. d revDSG oder das Swiss-US Data Privacy Framework.
Eine Sache, die oft falsch steht: Ein Schweizer Anbieter bedeutet nicht automatisch einen Schweizer Serverstandort. Frag im Zweifel nach, statt es zu behaupten.
Cloudflare, Vercel und andere Zwischenschichten
Läuft deine Seite über ein Netzwerk wie Cloudflare, kommt ein zweiter Empfänger dazu. In meiner Erhebung war das bei 7% der Seiten der Fall. Solche Dienste sehen den Verkehr, bevor er deinen Server erreicht, und gehören deshalb genauso genannt wie der Hoster selbst.
Und die Webagentur?
Wer deine Seite pflegt, hat in aller Regel Zugriff auf den Server und damit auf Daten. Das Gesetz verlangt die Empfänger oder wenigstens ihre Kategorien, also genügt eine Zeile wie „Webagentur für Wartung und Weiterentwicklung“. Dasselbe gilt für IT-Support und Treuhand.
Was das Gesetz verlangt
Das revidierte Datenschutzgesetz (revDSG) verlangt in Art. 19, dass du bei der Beschaffung von Personendaten angemessen informierst: wer verantwortlich ist, zu welchem Zweck du bearbeitest und wer die Daten sonst noch zu sehen bekommt. Geht etwas ins Ausland, kommt nach Art. 19 Abs. 4 der Staat dazu und die Grundlage dafür.
Empfänger sind nicht nur die grossen Namen. Auch dein Hosting-Anbieter ist einer, ebenso das Terminwerkzeug, der Newsletter-Versand und die Treuhandstelle, die deine Buchhaltung macht. Das Gesetz lässt zu, sie als Kategorien zu nennen statt einzeln, aber weglassen darfst du sie nicht.
Bussen bis CHF 250'000 sieht Art. 60 revDSG vor, allerdings nur bei Vorsatz, nur auf Strafantrag und gegen die verantwortliche natürliche Person statt gegen die Firma. In der Praxis ist das selten der Anlass. Häufiger ist eine Anfrage: jemand will wissen, welche Daten du über ihn hast, oder eine Kundin fragt, warum ihre Adresse bei einem Anbieter in den USA liegt. Wer dann nichts vorzuweisen hat, steht schlecht da, und zwar vor der Kundschaft, nicht vor einer Behörde.