Warum ist IONOS datenschutzrechtlich relevant?

Nutzen Unternehmen beispielsweise das Hosting oder die Cloud von IONOS, geben sie all die Daten an den Anbieter weiter, die sie auf ihrer Webseite speichern oder in ihrer Cloud ablegen. IONOS kann so zum Beispiel auf sensible Kundendaten wie

Namen,
E-Mail-Adressen und
Telefonnummern

zugreifen. Zudem kann es Log-Daten wie

Kunden-Domains,
anonymisierte IPs,
Request-Zeilen,
Timestamps und
Status Codes

auslesen. Bei den Daten handelt es sich zum Teil um personenbezogene Daten. Für diese schreiben die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) verschiedene Pflichten vor.

IONOS datenschutzkonform verwenden

Die DSGVO macht diese Vorgaben, wenn Seitenbetreiber Dienste wie Hosting oder Cloud-Speicher von IONOS nutzen möchten:

Vertrag zur Auftragsverarbeitung schließen

Seitenbetreiber erheben über die Dienste von IONOS personenbezogene Daten und geben diese zur weisungsgebundenen Verarbeitung an den Anbieter weiter. Dafür müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) eingehen. Das schreibt Art. 28 DSGVO vor. Der AV-Vertrag regelt die Rechte und Pflichten, die beide Seiten für den Schutz der sensiblen Daten haben.

Seitenbetreiber sollten darauf achten, dass der Vertrag angibt,

welche Daten sie an IONOS weitergeben,
wie lange IONOS die Daten speichert,
warum IONOS die Daten speichert und
welche Pflichten beide Seiten für den Schutz der Daten erfüllen müssen.

Datenschutzerklärung anpassen

Unternehmen müssen die Nutzung der Dienste von IONOS in ihrer Datenschutzerklärung angeben. Dabei sollten sie gemäß Art. 13 Abs. 1 DSGVO verständlich erklären,

welche Dienstleistungen von IONOS sie in Anspruch nehmen,
warum IONOS dabei personenbezogene Daten erhält,
wie lange IONOS diese Daten speichert,
welche Rechtsgrundlage das ermöglicht,
dass sie für die Datenweitergabe einen AV-Vertrag mit IONOS geschlossen haben und
dass Nutzer der Datenerhebung und Datenspeicherung jederzeit widersprechen können.

Damit User besser verstehen, was mit ihren Daten bei IONOS passiert, sollten Unternehmen in ihrer Datenschutzerklärung auch auf die Datenschutzbestimmungen und Nutzungsbedingungen von IONOS verweisen.

Deutschen Serverstandort wählen

IONOS verfügt über insgesamt zehn Rechenzentren in fünf Ländern. In Europa und den USA stehen Server in Frankfurt am Main, Berlin, London, Logroño, Las Vegas und New Jersey. Unternehmen sollten ein deutsches Rechenzentrum wählen. Auf diese Weise stellen sie sicher, dass die gespeicherten Daten bei IONOS den Schutz der DSGVO genießen.

Rechtsprechung zu IONOS

Zum Thema Datenschutz und IONOS liegt diese Rechtsprechung vor:

Landgericht Bonn zur Herausgabe von Kundendaten

Eine Frau rief 2018 bei einer 1&1-Hotline an und bekam auf diese Weise die Handynummer ihres Ex-Mannes heraus. Dabei musste sie lediglich den Namen und das Geburtsdatum ihres Ex-Mannes nennen. Der Ex-Mann gab an, dass sie ihn stalke. Der Bundesdatenschutzbeauftragte Ulrich Kelber kam daher zu dem Schluss: IONOS hat grob fahrlässig gegen Art. 32 DSGVO verstoßen. Denn: Das Authentifizierungssystem sei viel zu lax. Kelber legte für den DSGVO-Verstoß ein Bußgeld von 9,6 Millionen Euro fest. Das Landgericht (LG) Bonn entschied: Unternehmen müssen technische und organisatorische Maßnahmen ergreifen, um personenbezogene Daten zu schützen. IONOS hat gegen den Datenschutz verstoßen, als es die Daten herausgab. Dabei handelte es sich jedoch um einen Einzelfall. Die Authentifizierungspraxis bei IONOS hat bis dahin funktioniert. Das Gericht legte daher ein Bußgeld in Höhe von 900.000 Euro fest (Urteil vom 11.11.2020, Az. 29 OWi 1/20 LG).

Datenschutzbehörde Hamburg zum AV-Vertrag

Unternehmen, die personenbezogene Daten an einen Dritten zur Verarbeitung weitergeben, müssen mit diesem einen AV-Vertrag abschließen. Ansonsten droht ihnen eine Strafe von bis zu 10 Millionen Euro oder 2 Prozent ihres Jahresumsatzes.

Ein deutsches Versandunternehmen musste daher im Dezember 2018 eine Strafe in Höhe von 5.000 Euro zahlen. Es hatte mit einem spanischen Postdienstleister zusammengearbeitet. Dieser erhielt dabei Zugriff auf personenbezogene Kundendaten. Dafür schloss das deutsche Unternehmen jedoch keinen AV-Vertrag. Es sah sich nicht selbst, sondern den Postdienstleister in Spanien dafür verantwortlich, einen AV-Vertrag aufzusetzen.

Der Hessische Datenschutzbeauftragte wies das Versandunternehmen im Mai 2018 daher darauf hin, einen AV-Vertrag abzuschließen. Beide Seiten seien dafür verantwortlich, den Vertrag einzugehen. Das stufte das deutsche Unternehmen jedoch als zu aufwendig ein. Der Fall landete dann vor der Hamburger Datenschutzbehörde. Diese sah das als Verstoß gegen die DSGVO. Sie sprach daher das Bußgeld aus.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Um mehrere tausend Mitgliederdaten verarbeiten zu lassen, beauftragte der Fußballverein VfB Stuttgart verschiedene Dienstleister. Er schloss mit diesen jedoch keinen AV-Vertrag. Diesen hätte der VfB jedoch benötigt, um eine Rechtsgrundlage für die Weitergabe und Verarbeitung der Daten durch Dritte zu schaffen. Die Datenschutzbehörde Baden-Württemberg kam daher im März 2021 zu dem Schluss: Der Verein muss eine Strafe von 300.000 Euro zahlen.