Datenschutzerklärung für Hetzner

Warum ist Hetzner datenschutzrechtlich relevant?

Je nachdem, welchen Dienst Unternehmen bei Hetzner buchen, kann der Anbieter auf sensible Daten zugreifen. Nutzen Unternehmen beispielsweise ein Hosting-Angebot von Hetzner, kann der Anbieter Kundendaten einsehen. Das können zum Beispiel Daten wie

• Namen,
• Adressen,
• E-Mail-Adressen und
• Telefonnummern.

sein. Dabei handelt es sich um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG))  besonders geschützt.

Und: Je nachdem, welchen Dienst Unternehmen bei Hetzner buchen, kann es sein, dass der Anbieter Daten nicht nur auf seinen Servern in Deutschland, sondern auch an seinem Serverstandort in Ashburn/USA ablegt. Letzterer stellt Rechenzentrumdienstleistungen für die Muttergesellschaft in den USA (Hetzner US LLC) zur Verfügung. Zwar gibt Hetzner an, dass Kundenstammdaten stets in Deutschland gespeichert werden. Andere Daten können jedoch sowohl auf deutschen Servern als auch auf US-amerikanischen Servern landen. Hetzner verweist auf seiner Webseite daher darauf, dass es nicht damit dienen kann, keine Verbindung zu den USA zu haben.

Hetzner DSGVO-konform verwenden

Um rechtlich zulässig Dienste von Hetzner nutzen zu können, müssen Unternehmen diese datenschutzrechtlichen Vorgaben beachten:

Vertrag zur Auftragsverarbeitung schließen

Hetzner kann auf personenbezogene Daten von Unternehmen zugreifen, wenn diese beispielsweise Hosting-Dienstleistungen des Anbieters nutzen. Auf diese Weise landen schützenswerte Daten bei einem Dritten. Dafür müssen Unternehmen mit Hetzner einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das schreibt Art. 28 DSGVO vor. Bei den Produkten Webhosting, Managed Server und Storage Share finden sie den Vertrag in der „konsoleH“.

Unternehmen sollten darauf achten, dass der AV-Vertrag angibt,

• welche Daten sie an Hetzner weitergeben,
• wie lange Hetzner die Daten speichert,
• warum Hetzner die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Nutzen Unternehmen Services von Hetzner, müssen sie ihre Datenschutzerklärung aktualisieren. Sie müssen dabei angeben,

• dass sie Hetzner als Dienstleister nutzen,
• welche Leistungen sie von Hetzner in Anspruch nehmen,
• warum Hetzner dabei personenbezogene Daten erhält,
• wie lange Hetzner diese Daten speichert,
• welche Rechtsgrundlage das ermöglicht,
• dass sie für die Datenweitergabe einen AV-Vertrag mit Hetzner geschlossen haben und
• dass Nutzer der Einwilligung in die Datenerhebung und Datenweitergabe jederzeit widersprechen können.

Diese Pflichten schreibt Art. 13 Abs. 1 DSGVO vor.

Um Nutzern einen konkreten Einblick in die Datenverarbeitung bei Hetzner zu geben, sollten Unternehmen in ihrer Datenschutzerklärung auf die Datenschutzbestimmungen und Nutzungsbedingungen des Anbieters verweisen. Auf diese Weise können User selbst überprüfen, wie ihre Daten bei Hetzner genutzt werden.

Standardvertragsklauseln prüfen

Abgesehen von den Stammdaten kann es vorkommen, dass Hetzner Daten auf Servern in Ashburn in den USA speichert. Dafür nutzt es Standardvertragsklauseln. Unternehmen müssen diese prüfen und mit Hetzner abschließen. Um das Risiko des Datentransfers in die USA offenzulegen, müssen sie zudem festhalten,

• welche Art von Daten sie an Hetzner weiterreichen,
• welche Gesetze zum Datenschutz in den USA gelten und
• ob Hetzner weitere Maßnahmen ergreift, um Userdaten zu schützen.

Rechtsprechung zu Hetzner

Buchen Unternehmen Leistungen von Hetzner, sind diese Urteile relevant:

Europäischer Gerichtshof zum Privacy Shield

Der Privacy Shield eignet sich nicht als rechtliche Grundlage, um personenbezogene Daten rechtssicher in die USA zu verschicken. Das entschied der Europäische Gerichtshof (EuGH) im Juli 2020. Denn: Die dortigen Überwachungsprogramme sind nicht auf das zwingend erforderliche Maß beschränkt. Damit entspricht der US-amerikanische Datenschutz nicht dem der DSGVO (Az. C-311/18).

Datenschutzbehörde Hamburg zum AV-Vertrag

Schließen Unternehmen keinen AV-Vertrag mit einem Dienstleister, der Zugriff auf personenbezogene Daten hat, um diese weisungsgebunden zu verarbeiten, droht ihnen ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Das ermöglicht Art. 83 Abs. 4 lit. a DSGVO. Ein deutsches Versandunternehmen musste daher im Dezember 2018 eine Strafe in Höhe von 5.000 Euro zzgl. Gebühren zahlen. Es hatte versäumt, mit einem beauftragten Postdienstleister aus Spanien einen AV-Vertrag zu schließen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Zwischen 2016 und 2018 beauftragte der VfB Stuttgart mehrere Dienstleister, um Daten seiner Mitglieder weisungsgebunden verarbeiten zu lassen. Der Verein versäumte es jedoch, mit den Dritten entsprechende AV-Verträge abzuschließen. Das ahndete die Datenschutzbehörde Baden-Württemberg im März 2021 mit einem Bußgeld von 300.000 Euro.