DSGVO-Datenkarte für Hosting-Reseller: Wo personenbezogene Daten liegen

Sie verkaufen Hosting, Domains und VPS. Ihre Kunden vertrauen Ihnen ihre personenbezogenen Daten an. Wenn ein Kunde eine Kopie aller Daten verlangt, die Sie über ihn speichern, oder Sie bittet, diese zu löschen, müssen Sie genau wissen, wo diese Daten liegen und wie Sie sie extrahieren können. Dieser Leitfaden kartiert die personenbezogenen Daten in einem typischen Reseller-Stack und zeigt Ihnen, wie Sie einen Ein-Klick-Export für Betroffenenauskunftsersuchen (SARs) und Datenübertragbarkeit erstellen.

Welche personenbezogenen Daten speichern Sie als Hosting-Reseller tatsächlich?

Als Reseller speichern Sie personenbezogene Daten in drei Hauptsystemen: Ihrer Abrechnungsplattform, Ihrem Control Panel und Ihrer Bereitstellungsschicht. Jedes speichert unterschiedliche Datentypen, und Sie müssen wissen, was wo liegt, bevor Sie auf eine DSGVO-Anfrage reagieren können.

Abrechnungssystem (z. B. WHMCS, Clientexec, Upmind, WISECP, FOSSBilling, BillingServ)

• Kontodaten: Name, E-Mail-Adresse, Postanschrift, Telefonnummer, Firmenname, USt-IdNr.
• Authentifizierungsdaten: gehashte Passwörter, Antworten auf Sicherheitsfragen, Zwei-Faktor-Authentifizierungsgeheimnisse, Anmeldeverlauf (IP-Adressen, Zeitstempel).
• Abrechnungsdaten: Rechnungen, Zahlungstransaktionen, Kreditkarten-Token (falls gespeichert), PayPal- oder Stripe-Kunden-IDs, Steuerunterlagen.
• Support-Daten: Tickets, Live-Chat-Transkripte, E-Mail-Korrespondenz.
• Marketing-Daten: Newsletter-Abonnements, Einwilligungsnachweise, Opt-in/Opt-out-Zeitstempel.

Control Panel (z. B. cPanel, Plesk, Virtualmin)

• Benutzerkonten: Benutzernamen, E-Mail-Adressen, gehashte Passwörter, SSH-Schlüssel, FTP-Konten.
• Nutzungsprotokolle: Zugriffsprotokolle, Fehlerprotokolle, IP-Adressen, Zeitstempel.
• E-Mail-Daten: E-Mail-Adressen, Weiterleitungen, Autoresponder, Postfachinhalte (falls Sie E-Mail hosten).
• Dateidaten: Kundendateien, Datenbanken, Backups (die personenbezogene Daten enthalten können).

Bereitstellung und Automatisierung (z. B. WHMCS-Module, Virtualizor, VirtFusion, Proxmox, benutzerdefinierte API)

• Dienst-Metadaten: Dienst-IDs, Serverzuweisungen, IP-Adressen, Hostnamen, Ressourcennutzung.
• Konfigurationsdaten: API-Schlüssel, SSH-Anmeldeinformationen, Vorlageneinstellungen.
• Audit-Protokolle: Bereitstellungsaktionen, wer was wann getan hat.

Darüber hinaus kann Ihre Domain-Reseller-API Registrantendaten (Name, Adresse, E-Mail, Telefon) für jede Domain speichern. Wenn Sie eine Hosting-Automatisierungsplattform wie Teculiar verwenden, die eine einheitliche Storefront-, Abrechnungs- und Bereitstellungsschicht bietet, haben Sie möglicherweise alle diese Daten an einem Ort, was die Kartierung vereinfacht.

Wie erstellen Sie eine DSGVO-Datenkarte für Ihr Hosting-Unternehmen?

Eine Datenkarte ist ein einfaches Inventar: Listen Sie für jedes System auf, welche personenbezogenen Daten Sie speichern, warum Sie sie speichern, woher sie stammen, mit wem Sie sie teilen und wie lange Sie sie aufbewahren. Beginnen Sie mit einer Tabellenkalkulation und beziehen Sie Ihr Team ein.

Schritt 1: Listen Sie alle Systeme auf, die personenbezogene Daten berühren

Dazu gehören Ihre Abrechnungsplattform, Control Panels, Bereitstellungstools, Support-Desk, E-Mail-Marketing-Tool, Analysetools und alle Drittanbieterdienste (Zahlungsgateways, Domain-Registrare, Betrugsprüfungen). Vergessen Sie nicht Tabellenkalkulationen und lokale Dateien.

Schritt 2: Dokumentieren Sie für jedes System die Datenkategorien

Verwenden Sie die oben genannten Kategorien als Ausgangspunkt. Notieren Sie die Rechtsgrundlage für die Verarbeitung (Vertrag, Einwilligung, rechtliche Verpflichtung) und die Aufbewahrungsfrist. Beispielsweise werden Rechnungen aus steuerlichen Gründen aufbewahrt (rechtliche Verpflichtung), während Marketing-Einwilligungen bis zum Widerruf aufbewahrt werden.

Schritt 3: Identifizieren Sie Datenflüsse

Kartieren Sie, wie Daten zwischen Systemen fließen. Wenn sich ein Kunde anmeldet, fließen seine Daten von Ihrem Bestellformular zur Abrechnung, dann zur Bereitstellung, dann zum Control Panel. Wenn er bezahlt, gehen Daten an Ihr Zahlungsgateway. Wenn Sie einen Newsletter versenden, gehen Daten an Ihr E-Mail-Tool. Dokumentieren Sie diese Flüsse, um zu verstehen, wo Daten gespeichert sind und wer darauf zugreifen kann.

Schritt 4: Verantwortlichkeiten zuweisen

Legen Sie fest, wer für jedes System und jede Datenkategorie verantwortlich ist. Diese Person bearbeitet Anfragen und stellt die Einhaltung sicher.

Wie bearbeiten Sie ein Betroffenenauskunftsersuchen (SAR) und ein Übertragbarkeitsersuchen?

Ein SAR verpflichtet Sie, eine Kopie aller personenbezogenen Daten, die Sie über eine Person speichern, sowie Informationen über deren Verwendung bereitzustellen. Die Übertragbarkeit verlangt, dass Sie diese Daten in einem strukturierten, gängigen, maschinenlesbaren Format (z. B. JSON, CSV) bereitstellen und, wo machbar, direkt an einen anderen Verantwortlichen übermitteln.

Manueller Prozess vs. automatisierter Export

Das manuelle Zusammentragen von Daten aus jedem System ist fehleranfällig und langsam. Möglicherweise übersehen Sie Daten in Protokollen, Backups oder Support-Tickets. Die Automatisierung des Exports reduziert Risiken und spart Zeit.

Erstellen eines Ein-Klick-Exports

Ihr Ziel: eine Schaltfläche in Ihrem Admin-Bereich, die bei Klick für einen bestimmten Kunden alle personenbezogenen Daten in eine ZIP-Datei mit JSON- und CSV-Dateien sowie einer README kompiliert, die den Inhalt erklärt.

• Abrechnungssystem: Verwenden Sie seine API, um Kundenprofil, Rechnungen, Transaktionen, Tickets und Einwilligungsnachweise abzurufen.
• Control Panel: Verwenden Sie seine API, um Benutzerkonten, E-Mail-Adressen, FTP-Konten und Zugriffsprotokolle (gefiltert nach Kunde) abzurufen.
• Bereitstellungsschicht: Verwenden Sie ihre API, um Dienst-Metadaten und Audit-Protokolle im Zusammenhang mit dem Kunden abzurufen.
• Domain-Registrar: Verwenden Sie die Domain-Reseller-API, um Registrantendaten für Domains im Besitz des Kunden abzurufen.
• Support-Desk: Exportieren Sie Tickets und Antworten.
• Marketing-Tool: Exportieren Sie Abonnementstatus und Einwilligungsverlauf.

Wenn Sie eine Plattform wie Teculiar verwenden, können Sie diesen Export mit ihrer öffentlichen API erstellen. Das einheitliche Datenmodell der Plattform bedeutet, dass Sie alle Kundendaten von einem Ort aus abfragen können, anstatt mehrere Systeme zu integrieren.

Format und Bereitstellung

Stellen Sie den Export als ZIP-Datei mit folgendem Inhalt bereit:

• customer_profile.json – Name, Kontaktdaten, Kontoeinstellungen.
• invoices.csv – alle Rechnungen mit Positionen.
• transactions.csv – Zahlungsverlauf.
• tickets.json – Support-Tickets und Antworten.
• services.json – Dienste, IPs, Hostnamen.
• domains.json – Domain-Registrantendaten.
• consent_log.csv – Marketing-Einwilligungsverlauf.
• README.txt – Erklärung jeder Datei und Datenkategorien.

Liefern Sie die ZIP-Datei über einen sicheren Download-Link, der nach kurzer Zeit abläuft, oder laden Sie sie in den Kundenbereich des Kunden hoch.

Was ist mit Lösch- und Berichtigungsersuchen?

Ihre Datenkarte hilft auch bei Löschung und Berichtigung. Wenn ein Kunde Sie bittet, seine Daten zu löschen, wissen Sie, welche Systeme bereinigt werden müssen. Denken Sie daran, dass einige Daten aus rechtlichen Gründen aufbewahrt werden müssen (z. B. Rechnungen). Dokumentieren Sie Ihre Aufbewahrungsrichtlinie und informieren Sie den Kunden.

Was als Nächstes zu tun ist

• Beginnen Sie noch heute mit Ihrer Datenkarte: Erstellen Sie eine Tabellenkalkulation und listen Sie alle Systeme und Datenkategorien auf.
• Prüfen Sie, ob Ihre Abrechnungs- und Control Panels APIs haben, mit denen Sie den Datenexport automatisieren können.
• Wenn Sie eine einheitliche Plattform wie Teculiar verwenden, erkunden Sie deren API-Dokumentation, um einen Ein-Klick-Export zu erstellen. Weitere Informationen finden Sie auf unserer Preisseite.
• Testen Sie Ihren Exportprozess mit einem Dummy-Kunden, um sicherzustellen, dass er alle Daten erfasst.

Bereit, die DSGVO-Compliance zu vereinfachen? Kontaktieren Sie uns, um zu erfahren, wie Teculiar Ihnen helfen kann, Kundendaten verantwortungsvoll zu verwalten.