DSGVO-konformes ERP-Hosting in Deutschland: Worauf Betriebe achten müssen

Warum der Serverstandort für Ihr ERP-System entscheidend ist

Im ERP-System laufen alle zentralen Fäden eines Unternehmens zusammen: Kundenstammdaten, Rechnungen, Lieferadressen, Bankverbindungen und Mitarbeiterdaten. Sobald personenbezogene Daten verarbeitet werden, greift die europäische Datenschutz-Grundverordnung (DSGVO). Für Inhaber und Geschäftsführer kleiner Betriebe bedeutet das: Sie tragen die Verantwortung dafür, wo und wie diese Daten gespeichert werden.

Hosting in Deutschland bietet hierbei einen entscheidenden rechtlichen und organisatorischen Vorteil. Liegen die Server in deutschen Rechenzentren, unterliegen sie ausnahmslos den strengen Vorgaben der DSGVO und des Bundesdatenschutzgesetzes (BDSG). Zudem entfallen rechtliche Unsicherheiten bezüglich des Datentransfers in unsichere Drittstaaten, wie sie bei Anbietern mit Servern außerhalb der EU häufig auftreten.

Die wichtigsten Bausteine für datenschutzkonformes ERP-Hosting

Damit der Betrieb Ihres ERP-Systems im Ernstfall einer behördlichen Prüfung standhält, müssen vier Kernbereiche lückenlos abgedeckt sein.

1. Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Sobald Sie ein Cloud-ERP nutzen oder ein externes Systemhaus mit dem Serverbetrieb beauftragen, handelt es sich um eine Auftragsverarbeitung. Der Anbieter verarbeitet Daten in Ihrem Auftrag.

• Der Abschluss eines AVV ist gesetzlich zwingend vorgeschrieben.
• Der Vertrag muss schriftlich oder in einem dokumentierten elektronischen Format vorliegen.
• Im AVV wird präzise geregelt, welche Datenarten verarbeitet werden, wer Zugriff hat und wie Weisungen erteilt werden.

Fehlt dieser Vertrag, drohen im Falle einer Überprüfung empfindliche Bußgelder – unabhängig davon, ob tatsächlich Daten entwendet wurden.

2. Technische und organisatorische Maßnahmen (TOM)

Ein DSGVO-konformer Hoster muss belegen können, wie er Ihre Daten vor Verlust, Diebstahl und unberechtigtem Zugriff schützt. Diese Maßnahmen werden als TOMs bezeichnet und sind typischerweise Anlage des AV-Vertrags.

• Zutrittskontrolle: Physischer Schutz des Rechenzentrums (Sicherheitsdienste, Schleusensysteme, Videoüberwachung).
• Zugangskontrolle: Mehrstufige Authentifizierung, Rollen- und Rechtekonzepte sowie sichere Passwörter.
• Verschlüsselung: Daten müssen sowohl bei der Übertragung (SSL/TLS) als auch im Ruhezustand auf den Festplatten verschlüsselt gespeichert sein.
• Wiederherstellbarkeit: Tägliche, automatische Datensicherungen, die räumlich getrennt aufbewahrt werden, um im Katastrophenfall Daten schnell wiederherzustellen.

Zertifizierungen des Rechenzentrums nach anerkannten Standards wie ISO 27001 oder dem BSI C5-Kriterienkatalog dienen hierbei als verlässlicher Nachweis für geprüfte Sicherheitsstandards.

3. Transparenz über Subunternehmer und Datentransfers

Viele Software-Anbieter betreiben keine eigenen Server, sondern mieten Infrastruktur bei großen Cloud-Providern an. Für Sie als Betriebsinhaber ist Transparenz hierbei Pflicht:

• Der ERP-Anbieter muss alle eingesetzten Unterauftragnehmer offenlegen.
• Werden Dienste von Anbietern mit Hauptsitz in Drittstaaten genutzt, muss sichergestellt sein, dass ausländische Behörden keinen unberechtigten Zugriff auf Unternehmensdaten erhalten.
• Bei Systemen wie NovaERP wird daher gezielt auf eine Serverinfrastruktur gesetzt, die vollständig innerhalb Deutschlands betrieben wird, um Abhängigkeiten und rechtliche Risiken von Drittländern zu vermeiden.

4. Vereinbarkeit mit GoBD und Aufbewahrungsfristen

Datenschutz und steuerrechtliche Pflichten müssen Hand in Hand gehen. Das ERP-Hosting muss gewährleisten, dass steuerrelevante Belege und Buchungsdaten über die gesetzlichen Aufbewahrungsfristen hinweg unveränderbar und jederzeit lesbar bleiben. Ein Löschkonzept nach DSGVO darf also nicht dazu führen, dass steuerlich relevante Rechnungen vor Ablauf der Fristen versehentlich gelöscht werden.

Typische Stolperfallen in der betrieblichen Praxis

In vielen Betrieben entstehen Datenschutzlücken nicht durch böse Absicht, sondern durch Unwissenheit bei der Einrichtung und Administration.

• Gemeinsame Zugänge: Wenn mehrere Mitarbeitende dasselbe Administratoren-Konto im ERP teilen, ist nicht nachvollziehbar, wer welche Daten geändert oder eingesehen hat.
• Fehlende Löschroutinen: Alte Kundenanfragen oder abgelehnte Angebote verbleiben oft jahrelang ungenutzt im System, obwohl der Zweck der Speicherung entfallen ist.
• Ungeprüfte Backups: Zwar werden Sicherungen erstellt, doch in der Praxis wird selten getestet, ob sich das Backup im Notfall auch tatsächlich fehlerfrei einspielen lässt.

Checkliste: So prüfen Sie Ihren ERP-Anbieter

Bevor Sie sich für eine Cloud-Lösung oder einen Hosting-Partner entscheiden, sollten Sie folgende Fragen klären:

• Stehen die Server physisch in Deutschland und unterliegen deutschem Recht?
• Liegt ein vollständiger, DSGVO-konformer AV-Vertrag inklusive detaillierter TOMs vor?
• Werden Daten nach aktuellen Standards verschlüsselt übertragen und gespeichert?
• Gibt es ein klar definiertes Backup- und Desaster-Recovery-Konzept mit garantierten Wiederherstellungszeiten?
• Können Sie Ihre Daten bei Vertragsende in gängigen, standardisierten Formaten vollständig exportieren?

Eine moderne Lösung wie NovaERP bietet diese Rahmenbedingungen standardmäßig, sodass sich Betriebsverantwortliche auf ihr Tagesgeschäft konzentrieren können, ohne Sicherheitslücken befürchten zu müssen.