Laut Deutschem Startup Monitor 2026 erwirtschaften deutsche Start-ups mittlerweile 76,5 % ihres Umsatzes mit Geschäftskunden (B2B) — grob drei von vier. Der große Unternehmenskunde ist damit fester Bestandteil des Geschäftsmodells, nicht die Ausnahme. Bis zu diesem Kunden läuft meist alles wie erwartet: Die Demo überzeugt, die Konditionen stehen, der Fachbereich will kaufen. Dann meldet sich der Einkauf — mit einer Tabelle. Und in dieser Tabelle geht es plötzlich nicht mehr um dein Produkt, sondern um die Maschinen, auf denen es läuft. Ab hier entscheidet deine Infrastruktur mit darüber, ob unterschrieben wird.
Der Fragebogen kommt später, als man denkt
Der Ablauf ist dabei fast immer derselbe. Die Tabelle landet beim Gründer oder der Gründerin selbst, weil es (noch) keine eigene Abteilung gibt, an die sie sonst ginge. Die Hälfte der Felder ist in zwanzig Minuten ausgefüllt, die andere Hälfte bleibt offen — weil niemand sicher weiß, ob eine Aussage tatsächlich so im Vertrag steht oder nur auf der Produktseite. Genau diese offenen Felder kosten am Ende die meiste Zeit. Zwei typische Zeilen lassen sich mit einer Entscheidung beantworten, die man ohnehin schon vor Monaten getroffen hat. Eine dritte Zeile beantwortet man nur mit einem Datum — und dieses Datum existiert entweder, oder es reicht nicht.
Serverstandort und Mandantentrennung — zwei Zeilen im Fragebogen auf einmal
Single-Tenancy heißt, dass eine physische Maschine genau einem Kunden gehört, solange er sie mietet. Rechenleistung, Arbeitsspeicher und Datenträger werden mit niemandem geteilt, das Betriebssystem läuft direkt auf der Hardware, ohne Virtualisierungsschicht dazwischen, die Ressourcen unter mehreren Mandanten verteilen würde. Für den Fragebogen erledigt das zwei Zeilen auf einmal: Die Frage nach dem „Nachbarn“ auf derselben Maschine wird zu einer reinen Architekturaussage, und die Frage nach dem Standort wird zu einem Ortsnamen — man bucht eine Region, der Betreiber nennt das konkrete Rechenzentrum dazu.
Ein deutsches oder europäisches Rechenzentrum nimmt der rechtlichen Prüfung anschließend den Teil ab, der sich mit Drittlandtransfers befasst. Entscheidend ist zusätzlich, dass der Anbieter selbst keinem Drittstaatsrecht wie dem US CLOUD Act unterliegt — dieses Gesetz richtet sich nämlich nach der Jurisdiktion des Anbieters und nicht nach dem Standort der Daten. Ob man für diese beiden Zeilen tatsächlich einen dedizierten Server mieten muss, hängt von der Branche ab. Bei Finanzdaten, Steuerdaten und allem aus dem Gesundheitsbereich steht die Frage nach dem Nachbarn weit oben im Fragebogen. Bei einem reinen Marketing-Tool steht sie meist weit unten. Was physische Isolation im Kern leistet, lässt sich so zusammenfassen:
| Frage im Fragebogen | Was physische Isolation beantwortet | Konkreter Nachweis |
|---|---|---|
| Wo liegen die Daten? | Ob ein Drittlandtransfer überhaupt geprüft werden muss | Der Standort des Rechenzentrums |
| Wie stellt ihr wieder her? | Ob ein Ausfall eine Stunde oder eine Woche dauert | Der letzte dokumentierte Wiederherstellungstest |
Damit die Antwort trägt, muss sie im Vertrag stehen
Sobald personenbezogene Daten von Kunden auf gemieteter Hardware liegen, ist der Betreiber Auftragsverarbeiter — verantwortlich bleibt man selbst. Art. 28 Abs. 1 DSGVO verlangt, nur mit Auftragsverarbeitern zusammenzuarbeiten, die „hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt“. Ein Standort in der EU gehört nicht zu diesen Garantien. Er räumt lediglich den Prüfschritt zu Drittlandtransfers ab und lässt alles andere unberührt.
Was tatsächlich in den Auftragsverarbeitungsvertrag gehört, sagt Absatz 3 desselben Artikels — und es sind genau die Angaben, die der Einkauf ohnehin sehen will:
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien betroffener Personen
- Weisungsbindung und Vertraulichkeit des eingesetzten Personals
- Bedingungen für den Einsatz weiterer Unterauftragsverarbeiter
- Unterstützung bei Betroffenenrechten und bei den eigenen Pflichten
- Löschung oder Rückgabe der Daten am Ende sowie Nachweise für Kontrollen
Den technischen Maßstab dazu liefert Art. 32 DSGVO, und zwar „unter Berücksichtigung des Stands der Technik“. Vier Maßnahmen stehen dort ausdrücklich: Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit, „die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“, und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Die dritte dieser vier Anforderungen ist — wörtlich — die Wiederherstellungsfrage aus der Tabelle oben.
Welchem Rahmen die eigenen Maßnahmen folgen, lässt sich ebenfalls konkret benennen: Der IT-Grundschutz des BSI ist der in Deutschland übliche Bezugspunkt für technische und organisatorische Maßnahmen, und eine Zertifizierung nach ISO 27001 lässt sich auf dieser Basis aufsetzen.
Planbare Kosten zählen im Einkauf oft mehr als der niedrigste Preis
Ein fest gemieteter Server hat einen kalkulierbaren Preis im Budget für die nächsten zwei Jahre — unabhängig davon, ob im März doppelt so viele Datensätze anfallen wie im Februar. Das ist in Ausschreibungen häufig die relevantere Größe, weil ein Rahmenvertrag über zwei Jahre mit einer festen Zahl kalkuliert wird. Wie schwer diese Planbarkeit bei nutzungsabhängiger Abrechnung fällt, zeigt der State of the Cloud Report 2026 von Flexera: 85 % der befragten Cloud-Verantwortlichen nennen die Kontrolle der Cloud-Ausgaben als zentrale Herausforderung. Den Anteil verschwendeter Cloud-Ausgaben beziffert der Bericht auf 29 %.
Ein zweiter Punkt gehört in dieselbe Rechnung: Der Wechsel auf eine größere Konfiguration ist bei gemieteter Hardware ein Umzug mit Termin. Wer abwartet, plant diesen Termin ein und legt die nächste Stufe vorher fest — statt sich im laufenden Betrieb überraschen zu lassen.
Die Verantwortung bleibt bei dir, solange die Daten deine sind
Bare Metal in dieser Form ist unverwaltet. Der Anbieter betreibt Hardware, Netz und Rechenzentrum. Die Installation des Betriebssystems, die Sicherheitsupdates, die Überwachung und die Sicherungen bleiben bei dir, und zwar in vollem Umfang. Wer das einkaufen will, bucht eine verwaltete Variante oder einen Dienstleister dazu, und dann steht diese Position im Angebot.
Datenschutzrechtlich verläuft die Linie an derselben Stelle. Die Miete verlagert die Hardware, die Zuständigkeit für ihren Betrieb bleibt bei dir. Du bist Verantwortlicher im Sinne der DSGVO, der Anbieter ist Auftragsverarbeiter, und der Stand der Technik aus Art. 32 gilt für die Schicht, die du selbst betreibst, genauso wie für das Rechenzentrum darunter. Genau deshalb sind die beiden Antworten aus den Abschnitten davor so viel wert: Ein Screenshot aus einer Konsole belegt im Fragebogen wenig. Ein benanntes Rechenzentrum, ein unterschriebener Auftragsverarbeitungsvertrag und ein datierter Wiederherstellungstest belegen etwas, das der Einkauf selbst nachprüfen kann.
Drei Zeilen, die du vor dem nächsten Fragebogen klärst
- Der Standort. Lass dir schriftlich geben, in welchem Rechenzentrum deine Maschine steht, und trage den Ort in deine eigene Dokumentation ein, damit er beim nächsten Fragebogen dort steht, wo du ihn suchst.
- Der Vertrag. Der Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO gehört unterschrieben, bevor das erste personenbezogene Datum auf dem Server liegt.
- Der Test. Spiele eine Sicherung zurück, miss die Dauer und schreibe das Datum auf. Die gemessene Dauer ist dein RTO, das Sicherungsintervall bestimmt dein RPO, also wie viele Daten im Ernstfall verloren gehen. Beide Zahlen gehören neben das Datum, weil der Einkauf oft genau danach fragt. Art. 32 verlangt ohnehin ein Verfahren zur regelmäßigen Überprüfung.
Der Einkauf fragt nicht, ob du wiederherstellen kannst, sondern wann du es zuletzt getan hast. Auf diese eine Zeile lässt sich nur vorher antworten.
Die gleiche Nachweispflicht gilt übrigens nicht nur für die Serverwahl, sondern für die gesamte Datenverarbeitung im Unternehmen — wie du diese Pflichten grundsätzlich erfüllst, erklären wir hier.
Kommentare