Ein Backup-Plugin im Hoster-Dashboard erledigt ein Website-Backup mit einem Klick – eine selbst gebaute 3-2-1-Lösung mit externer Festplatte und verschlüsselter Cloud-Kopie kostet an manchen Abenden Nerven, dafür weiß ich bei jedem Baustein genau, wo meine Kundendaten liegen. Für echte Datensicherheit gibt es bei einem DSGVO-konformen Backup nämlich nicht die eine richtige Antwort, sondern zwei grundverschiedene Wege, und welcher für eine Solopreneurin wie mich besser passt, hängt davon ab, wie viele personenbezogene Daten über mein Kontaktformular laufen.
Wer schnell eine Entscheidung treffen will: Ein automatisches Backup-Tool reicht aus, sobald der Anbieter nachweislich in der EU sitzt, einen unterschriebenen Vertrag zur Auftragsverarbeitung vorlegt und die Wiederherstellung im Test tatsächlich funktioniert. Fehlt eines von beiden, oder verarbeite ich über das Kontaktformular besonders sensible Anfragen, baue ich mir lieber die zweite Variante selbst zusammen – mit einer Kopie, die außer mir niemand entschlüsseln kann.
Dass Datensicherung für jede Website zur Pflicht gehört, ist für mich inzwischen selbstverständlich, sobald Kommentare oder Kontaktformular-Anfragen personenbezogene Daten in die Datenbank schreiben. Spannend wird es erst bei der Frage, wie man diese Sicherung technisch und organisatorisch so baut, dass sie im Ernstfall auch wirklich hilft.
Bevor ich mich für einen der beiden Wege entschieden habe, habe ich, das gebe ich zu, wochenlang DSGVO-Erklärvideos auf YouTube angeschaut, ohne danach tatsächlich etwas davon umzusetzen. Theorie sammeln fühlte sich produktiv an, brachte meine Backup-Routine aber keinen Millimeter weiter.
Was ein Backup-Plugin automatisch übernimmt und was nicht
Automatisiert heißt in der Praxis: Ein Tool im Hoster-Dashboard oder ein WordPress-Plugin sichert die Website nach Zeitplan, verschlüsselt die Kopie nach eigenen Vorgaben und legt sie meist direkt beim selben Anbieter oder einem angebundenen Speicherdienst ab. Weniger Klicks, weniger Nachdenken, und genau darin liegt für viele Solopreneurinnen der Reiz.
Renée Faßbender, eine Grafikdesignerin aus Hamburg, mit der ich mich seit einer DSGVO-Facebook-Gruppe austausche, dokumentiert solche Umstellungen immer nach demselben Muster: erst die Frage, dann der Lösungsversuch, dann das Ergebnis. Bei ihrem automatischen Backup-Plugin sah das Ergebnis so aus: deutlich weniger Arbeit, aber auch deutlich weniger Wissen darüber, was im Hintergrund technisch tatsächlich passiert.
Der Haken an dieser Bequemlichkeit: Ich gebe die Kontrolle über den Verschlüsselungsschlüssel und den genauen Speicherort an den Anbieter ab. Wenn dessen Vertragsunterlagen zur Auftragsverarbeitung lückenhaft sind oder der Server doch nicht in der EU steht, trage ich als Website-Betreiberin trotzdem die Verantwortung.
Die 3-2-1-Regel als Gegenentwurf: mehr Arbeit, mehr Kontrolle
Die zweite Variante sieht unspektakulärer aus, kostet dafür mehr Zeit: eine Kopie beim Hoster, eine auf einer externen Festplatte im eigenen Büro, eine dritte verschlüsselt in einer Cloud außerhalb des eigenen Netzwerks. Drei Kopien, zwei Medientypen, ein externer Standort – die alte 3-2-1-Regel, nur eben mit einem DSGVO-Blick drübergelegt.
Beim Durchlesen der Kleingedruckten verschiedener Cloud-Anbieter rutsche ich regelmäßig so nah an den Monitor heran, dass am Rand danach deutliche Fingerabdrücke kleben – ein Zeichen dafür, wie viel in diesen Formulierungen tatsächlich hängt.
Ein EU-Server allein reicht nicht aus
Ein Serverstandort innerhalb der EU oder des EWR nimmt schon viel Druck aus der Sache, löst aber nicht automatisch alles. Sobald Kundendaten bei einem externen Anbieter liegen, kommt ein eigenes Vertragsthema dazu – ich nenne es hier bewusst nur kurz, weil ich dem an anderer Stelle schon einen ganzen Beitrag gewidmet habe, und Ähnliches gilt für die Frage, was bei Anbietern außerhalb der EU rechtlich zusätzlich zu klären ist.
Den eigentlichen Unterschied zwischen „sicher gelagert" und „wirklich geschützt" macht für mich die lokale Verschlüsselung: Die Daten werden schon auf meinem eigenen Rechner verschlüsselt, bevor sie überhaupt irgendwo hochgeladen werden. Der Cloud-Anbieter bekommt dann nur noch einen Haufen unlesbarer Zeichen zu sehen, mit dem er technisch nichts anfangen kann.
Die richtige Backup-Lösung für DSGVO-Konformität wählen
Ein Leser, Manfred Küppers, der meine Beiträge inzwischen regelmäßig in seinem eigenen Coaching-Netzwerk weiterempfiehlt, schrieb mir vor einiger Zeit: Er musste nach einem Domain-Wechsel seine gesamte Website neu aufsetzen und wollte wissen, ob sich der Aufwand der selbst gebauten Lösung für einen einzelnen Freelancer überhaupt lohnt. Meine Antwort war ein klares „kommt darauf an".
Wer kaum personenbezogene Daten sammelt, selten etwas am System ändert und einem Anbieter mit EU-Standort und klarer Vertragsgrundlage vertraut, kommt mit der automatisierten Lösung gut durch den Alltag. Wer dagegen regelmäßig sensible Kundendaten über Formulare oder Buchungstools verarbeitet oder schlicht selbst in der Hand halten will, wer im Ernstfall Zugriff auf die unverschlüsselten Daten hätte, sollte sich die zusätzliche Arbeit der eigenen 3-2-1-Lösung machen.
Nach genau diesem Muster habe ich übrigens auch entschieden, wie ich einen DSGVO konformen E-Mail Anbieter für meine Kundenkommunikation fand: zuerst die Frage, was technisch und rechtlich überhaupt nötig ist, dann erst der Blick auf die Bequemlichkeit.
Der Moment, in dem ein Datenschutz-Scanner zum ersten Mal nur noch grüne Haken statt roter Warnzeichen zeigte, fühlte sich an wie eine Prüfung, die ich nie offiziell abgelegt hatte, aber trotzdem bestanden habe. Seitdem entscheide ich bei jedem neuen Tool zuerst, wie viel Kontrolle mir die Sache wert ist, und erst danach, wie bequem sie ist.
Ich bin keine Anwältin, seit zwei Jahren aber mit beiden Backup-Wegen vertraut, und dieser Vergleich ersetzt keine Rechtsberatung für den eigenen Einzelfall. Wer sich bei der eigenen Website unsicher ist, sollte die konkrete Situation mit einer fachkundigen Stelle klären, bevor er sich für eine der beiden Varianten entscheidet.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.