Der Hostingvertrag nennt einen Serverstandort in der EU. Damit scheint die Frage nach der Datenhoheit für viele Unternehmen erledigt. Im tatsächlichen Website-Betrieb greifen jedoch oft ein Dutzend weitere Systeme ein: Domainverwaltung, CDN, Schriftarten, Formulare, Newsletter, CRM, Analyse, Werbung, Chat, Video, Backups und Support. Wo Daten gespeichert werden, ist deshalb nur eine Zeile in einem deutlich größeren Abhängigkeitsplan.

Genau diese breitere Perspektive greift die Europäische Kommission mit einer neuen Konsultation auf. Seit 8. Juli 2026 sammelt sie bis 8. September Rückmeldungen zu Herausforderungen für die Datensouveränität europäischer Organisationen. Gefragt wird unter anderem nach Abhängigkeiten, Hindernissen bei internationalen Datenflüssen und Risiken eines Zugriffs aus Drittstaaten auf sensible Daten. Die Konsultation knüpft an die europäische Data Union Strategy an, schafft aber keine neue unmittelbare Pflicht für österreichische KMU. Sie ist ein aktueller Anlass, den eigenen Website-Stack nicht nur nach Preis und Funktionen, sondern auch nach Kontrolle, Wechselbarkeit und Zugriffsmöglichkeiten zu beurteilen.

Datensouveränität ist mehr als Datenresidenz

Datenresidenz beantwortet vor allem die Frage, in welcher Region oder welchem Rechenzentrum Informationen gespeichert werden. Datensouveränität ist weiter gefasst. Im betrieblichen Sinn geht es darum, ob ein Unternehmen nachvollziehen und steuern kann, welche Daten entstehen, wer darauf zugreifen kann, welche Rechtsordnungen und Unterauftragnehmer eine Rolle spielen, wie Informationen exportiert werden und was bei einem Ausfall oder Anbieterwechsel passiert.

Ein EU-Server kann ein wichtiger Baustein sein, aber keine vollständige Antwort. Ein Anbieter kann von einem Konzern außerhalb der EU kontrolliert werden, Supportzugriffe aus anderen Regionen ermöglichen oder Unterauftragnehmer in mehreren Staaten einsetzen. Umgekehrt ist ein außereuropäischer Dienst nicht automatisch unzulässig. Der EDPB-Leitfaden für kleine Unternehmen zeigt, dass es bei personenbezogenen Daten auf den konkreten Transfer, die beteiligten Stellen, den Transfermechanismus, mögliche Zusatzmaßnahmen und die tatsächliche Verarbeitung ankommt. Diese Bewertung gehört bei Unsicherheit in eine fachliche Datenschutzprüfung.

Die EU-Konsultation zur Datensouveränität blickt zudem nicht ausschließlich auf personenbezogene Daten. Sie fragt breiter nach wirtschaftlich oder strategisch sensiblen Informationen und nach Abhängigkeiten im internationalen Datenverkehr. Ein interner Website-Audit sollte diese Ebenen sauber trennen: Datenschutzrecht, Informationssicherheit, betriebliche Kontinuität und Verhandlungsmacht hängen zusammen, sind aber nicht dasselbe.

Die digitale Lieferkette einer Website sichtbar machen

Eine moderne Website ist selten ein einzelnes System. Für ein brauchbares Inventar werden ihre Bestandteile in Schichten zerlegt. Das verhindert, dass nur das Hosting dokumentiert wird, während Daten über Skripte, Formulare oder Supportzugänge in andere Richtungen fließen.

  1. Domain und DNS: Wer verwaltet die Domain, die Nameserver und Zertifikate? Gibt es getrennte Administrationskonten und einen dokumentierten Wiederherstellungsweg?
  2. Hosting, CDN und Backups: Wo laufen Website, Datenbank, Medien und Sicherungen? Werden Kopien in anderen Regionen gespeichert oder durch einen externen Dienst verarbeitet?
  3. CMS, Themes und Plugins: Welche Erweiterungen telefonieren mit Lizenz-, Update-, Telemetrie- oder KI-Diensten? Welche Konten und Schlüssel sind dafür hinterlegt?
  4. Formulare und Geschäftssysteme: Wohin gelangen Anfragen, Bewerbungen, Bestellungen oder Terminbuchungen? Bleiben sie im CMS oder werden sie an CRM, Helpdesk und E-Mail-Marketing weitergegeben?
  5. Analyse und Werbung: Welche Browser- und Server-Signale gehen an Analytics-, Tag-Management-, Conversion- oder Werbeplattformen?
  6. Externe Inhalte: Karten, Videos, Schriften, Bewertungswidgets und Social-Media-Feeds können bereits beim Laden Kontakte zu weiteren Anbietern auslösen.
  7. Betrieb und Support: Agenturen, Entwickler, Hoster und SaaS-Support benötigen teilweise administrative Zugriffe. Entscheidend ist, wer sie vergibt, protokolliert und wieder entzieht.

Eine erfahrene Web- und Online-Marketing-Agentur kann diese Schichten gemeinsam betrachten, weil Webentwicklung, Datenschutz, SEO, Kampagnen und Analyse im realen Betrieb ineinandergreifen. Das Ziel ist nicht, jeden externen Dienst abzuschaffen. Es geht darum, unbekannte Abhängigkeiten in bewusste Entscheidungen zu verwandeln.

Sieben Felder pro Dienst genügen für den Anfang

Das Inventar muss kein hundertseitiges Vertragsregister werden. Für den ersten Durchlauf reicht eine Tabelle, in der jeder Dienst dieselben sieben Fragen beantwortet:

  1. Zweck: Welche konkrete Funktion erfüllt der Dienst, und wer im Unternehmen braucht sie?
  2. Daten: Welche Inhalte, Kennungen, Metadaten oder Zugangsdaten erhält oder erzeugt er?
  3. Anbieterstruktur: Mit welcher juristischen Einheit besteht der Vertrag, und welche wesentlichen Unterauftragnehmer sind bekannt?
  4. Standorte und Zugriffe: Wo wird verarbeitet, von wo kann administrativ zugegriffen werden und wer verwaltet Schlüssel oder Backups?
  5. Export: Lassen sich Inhalte, Konfigurationen, Einwilligungen, Kontakte und Protokolle in einem nutzbaren Format ausgeben?
  6. Abschaltung: Welche Website-Funktion fällt aus, wenn der Dienst nicht erreichbar ist oder kurzfristig beendet werden muss?
  7. Verantwortung: Wer prüft Änderungen, verlängert den Vertrag, entfernt Zugänge und entscheidet über einen Ersatz?

Die Tabelle sollte auf Belege verweisen: Vertrag, Auftragsverarbeitungsvereinbarung, Liste der Unterauftragnehmer, Sicherheitsinformationen, Exportdokumentation und interne Freigabe. Ein Marketingname oder ein Häkchen mit „EU-Hosting“ ersetzt diese Nachweise nicht.

Ein 90-Minuten-Audit für österreichische KMU

Für den Start braucht es kein Großprojekt. Ein kleines Team aus Website-Verantwortung, Datenschutz oder Geschäftsführung und einer technisch kundigen Person kann in 90 Minuten eine belastbare erste Landkarte erstellen.

Minute 0 bis 20: Systeme sammeln

Beginnen Sie nicht mit Verträgen, sondern mit der echten Website. Prüfen Sie DNS, Quellcode, Netzwerkaufrufe, Tag Manager, Plugins, Formulare, eingebettete Medien und Administrationskonten. Ergänzen Sie Systeme, die erst nach einer Einwilligung, Anmeldung oder Bestellung aktiv werden. Nehmen Sie auch Staging, Backups und Monitoring auf.

Minute 20 bis 50: Datenwege einzeichnen

Für jeden Dienst wird festgehalten, ob Daten direkt aus dem Browser, vom Webserver oder durch Mitarbeitende übertragen werden. Ein Formular kann beispielsweise zunächst im CMS landen, dann per E-Mail verschickt, im CRM gespeichert und später in ein Newsletter-System kopiert werden. Erst die Kette zeigt, wie viele Abhängigkeiten tatsächlich bestehen.

Minute 50 bis 70: Ausstieg testen

Öffnen Sie die Export- und Löschfunktionen der wichtigsten Anbieter. Kann das Team Daten selbst exportieren? Sind Konfigurationen ebenfalls enthalten? Gibt es offene Formate oder nur eine unstrukturierte Datei? Wie lange dauert eine Vertragsbeendigung? Wer besitzt Domain, Werbekonto und Analytics-Property? Ein theoretisches Kündigungsrecht hilft wenig, wenn das Unternehmen keinen administrativen Zugang oder keinen brauchbaren Export hat.

Minute 70 bis 90: Prioritäten vergeben

Markieren Sie jeden Dienst nach Kritikalität, Datenumfang und Ersetzbarkeit. Ein Karten-Embed ist meist leichter austauschbar als das CRM mit sämtlichen Kundenanfragen. Hohe Priorität erhalten Systeme, die sensible Daten, zentrale Geschäftsprozesse und geringe Exportmöglichkeiten kombinieren. Für diese Dienste wird ein konkreter nächster Schritt mit Termin und Verantwortung eingetragen.

Mit einer einfachen Matrix vom Inventar zur Entscheidung

Eine lange Diensteliste schafft noch keine Kontrolle. Damit das Inventar zu Maßnahmen führt, erhält jeder Dienst zwei Bewertungen von eins bis vier: geschäftliche Kritikalität und Abhängigkeitsrisiko. Zur Kritikalität zählen Umsatzbezug, Kundenkontakt, gesetzlich relevante Dokumentation und Auswirkung eines Ausfalls. Das Abhängigkeitsrisiko berücksichtigt Datenmenge, Anzahl weiterer Empfänger, administrative Zugriffe, Exportqualität, Vertragsbindung und verfügbare Alternativen.

Ein Dienst mit niedriger Kritikalität und niedrigem Risiko bleibt im normalen Review. Bei hoher Kritikalität und niedrigem Risiko genügen meist getestete Backups, klare Kontoeigentümer und ein Wiederanlaufplan. Niedrige Kritikalität bei hohem Risiko ist oft ein guter Kandidat für Entfernung: Wenn ein Widget kaum Nutzen bringt, aber zusätzliche Datenwege, Skripte und Verträge erzeugt, ist die einfachste Ersatzstrategie möglicherweise der Verzicht.

Besondere Aufmerksamkeit braucht die Kombination aus hoher Kritikalität und hohem Abhängigkeitsrisiko. Hier sollte das Team nicht sofort migrieren, sondern zuerst Belege und Optionen sichern:

  • einen vollständigen Testexport durchführen und die Datei tatsächlich öffnen;
  • administrative Konten, Eigentumsrechte und Wiederherstellungscodes prüfen;
  • Unterauftragnehmer, Supportregionen und wesentliche Vertragsfristen dokumentieren;
  • eine technische Ersatzoption mit grobem Aufwand und Datenmapping benennen;
  • eine maximal tolerierbare Ausfallzeit und einen manuellen Notbetrieb festlegen.

Die Matrix ist kein automatisches Rechts- oder Sicherheitsurteil. Sie sorgt dafür, dass knappe Zeit zuerst in die Abhängigkeiten fließt, die den Betrieb tatsächlich lähmen könnten. Außerdem trennt sie zwei Entscheidungen, die häufig vermischt werden: Ein Dienst kann fachlich ersetzt werden müssen, ohne dass sofort ein Notfall vorliegt. Umgekehrt kann ein grundsätzlich passender Anbieter dringend bessere Zugangs- und Exportprozesse benötigen.

Drei typische Lücken im Website-Alltag

Das Formular endet nicht im Postfach

Ein Anfrageformular sieht nach einer einfachen Website-Funktion aus. Dahinter können Spam-Schutz, Formular-Plugin, Hosting, Mailserver, CRM, Terminbuchung und Supportsystem stehen. Unternehmen sollten den gesamten Weg einer Testanfrage nachvollziehen. Der Beitrag Wenn der Dienstleister die Datenpanne auslöst zeigt, warum Zuständigkeiten und Meldewege bereits vor einem Vorfall geklärt sein müssen.

Der Tag Manager wird zum Nebeneingang

Viele Teams prüfen neue Plugins sorgfältig, erlauben aber Änderungen im Tag Manager ohne vergleichbares Gate. Dadurch können Analyse-, Werbe- oder Testdienste live gehen, ohne dass Plugin-Inventar, Consent-Konfiguration und Datenschutzdokumentation angepasst werden. Der technische Einbauweg ändert nichts daran, dass Zweck, Datenfluss und Verantwortlichkeit geklärt werden müssen.

Ein KI-Tool bekommt mehr Kontext als geplant

Text-, Chat- oder Suchfunktionen werden zunehmend direkt in CMS, Support und CRM eingebaut. Dabei können Prompts, Entwürfe, Kundennachrichten oder Website-Inhalte an weitere Anbieter gelangen. Vor der Aktivierung sollte geklärt sein, welche Daten verarbeitet werden, ob Eingaben für Training oder Qualitätskontrolle genutzt werden, wie lange sie gespeichert bleiben und ob ein datensparsamer Modus verfügbar ist. Das bestehende KI-Tool-Inventar für Website-Projekte liefert dafür eine ergänzende Struktur.

Datenresidenz, Datenschutz und Ausfallsicherheit getrennt bewerten

Ein häufiger Fehler ist eine einzige Ampelfarbe für völlig verschiedene Risiken. Sinnvoller sind drei getrennte Bewertungen:

  • Recht und Datenschutz: Sind Rollen, Rechtsgrundlagen, Informationen, Verträge und gegebenenfalls internationale Transfers nachvollziehbar?
  • Sicherheit und Zugriff: Sind administrative Zugänge, Protokollierung, Verschlüsselung, Schlüsselverwaltung und Unterauftragnehmer angemessen?
  • Betrieb und Wechselbarkeit: Gibt es Exporte, Backups, Dokumentation, Ersatzwege und eine realistische Wiederanlaufzeit?

Ein Dienst kann in einer Dimension stark und in einer anderen schwach sein. EU-Hosting verbessert etwa die Residenzfrage, sagt aber noch nichts über Exportqualität oder Kontoeigentum. Ein technisch gut exportierbarer Dienst kann wiederum zusätzliche Datenschutzprüfung benötigen. Die getrennte Bewertung verhindert falsche Sicherheit und macht Entscheidungen begründbar.

Der Data Act stärkt den Blick auf den Ausstieg

Die EU verbindet Datensouveränität nicht nur mit Zugriffsschutz, sondern auch mit Wechselmöglichkeiten. Der Data Act enthält Vorgaben zum Wechsel zwischen Datenverarbeitungsdiensten und zur Interoperabilität. Für Website-Betreiber folgt daraus keine pauschale Garantie, dass jedes SaaS-Plugin sofort vollständig portierbar ist. Die Richtung ist dennoch klar: Ein Anbieter sollte nicht nur nach dem Einstieg, sondern auch nach dem Ausstieg bewertet werden.

Unser Beitrag Data Act Österreich: Cloud-Wechsel und Datenpflichten vertieft die Vertrags- und Wechselperspektive. Im Website-Inventar wird daraus eine praktische Frage: Welche Daten, Einstellungen, Medien, Nutzerrechte und Protokolle brauchen wir, um den Dienst tatsächlich zu ersetzen?

Ein Beschaffungsgate verhindert neue blinde Flecken

Das Inventar bleibt nur aktuell, wenn neue Dienste vor dem Livegang dieselben Fragen beantworten. Ein schlankes Beschaffungsgate verlangt daher Zweck, Datenarten, Anbieter, Standorte, Unterauftragnehmer, Exportweg, Kontoeigentum, Consent-Auswirkung und verantwortliche Person. Erst wenn diese Punkte geklärt sind, werden Script, Plugin oder API-Schlüssel produktiv eingebunden.

Der Prozess sollte auch Testversionen umfassen. Ein kostenloser Probemonat kann bereits echte Kundendaten, Produktionszugänge oder Tracking-Signale verarbeiten. Verwenden Sie nach Möglichkeit synthetische Testdaten und getrennte Konten, bis die Freigabe abgeschlossen ist. Nach Ablehnung eines Tools werden Schlüssel, Testnutzer und eingebaute Snippets wieder entfernt.

Fazit: Kontrolle beginnt mit einer brauchbaren Landkarte

Die EU-Konsultation ist noch kein fertiges Regelwerk und kein Verbot internationaler Anbieter. Sie macht jedoch sichtbar, dass digitale Abhängigkeiten zu einer strategischen Unternehmensfrage geworden sind. Für österreichische KMU beginnt Datensouveränität nicht mit einem politischen Schlagwort, sondern mit einer aktuellen Liste der Systeme, Datenwege, Zugriffe und Ausstiegsmöglichkeiten.

Wer den Website-Stack als digitale Lieferkette behandelt, kann Dienstleister gezielter auswählen, Vorfälle schneller einordnen und Migrationen realistischer planen. Die AdSimple Agentur verbindet Webentwicklung, Datenschutz und Online Marketing, um solche Abhängigkeiten nicht isoliert zu betrachten. Der erste sinnvolle Schritt ist ein gemeinsamer Stack-Audit mit klaren Verantwortlichkeiten und einem priorisierten Maßnahmenplan.

Hinweis: Dieser Beitrag bietet eine allgemeine organisatorische Orientierung und keine individuelle Rechtsberatung.