DSGVO-Datenexport für Hosting-Reseller: Was Sie liefern müssen

Sie erhalten eine DSGVO-Anfrage von einem Kunden. Sie haben 30 Tage Zeit zu antworten. Wissen Sie genau, wo seine Daten gespeichert sind und wie Sie sie exportieren können? Wenn Sie ein Hosting-Reseller sind, sind Ihre Daten über Ihr Abrechnungssystem, Ihre Upstream-Anbieter und Ihre eigenen lokalen Tools verteilt. Dieser Artikel bietet Ihnen eine praktische Matrix, um jeden Datensatz zu erfassen und Auskunfts-, Übertragbarkeits- und Löschungsanträge fristgerecht zu erfüllen.

Welche Daten speichern Sie als Hosting-Reseller?

Als Reseller speichern Sie Kundendaten in drei Hauptkategorien: Identitäts- und Kontaktdaten, Abrechnungs- und Zahlungsdaten sowie servicebezogene Daten wie Domains, Hosting-Konten und Server-Logs. Jede Kategorie hat unterschiedliche Aufbewahrungsfristen und Exportformate. Beginnen Sie damit, jedes System aufzulisten, das Sie verwenden: Ihre Abrechnungsplattform, Ihren Domain-Registrar, Ihren Upstream-Hosting-Anbieter, Ihren Support-Desk und alle Tabellenkalkulationen oder lokalen Datenbanken.

Kunden- und Identitätsdaten

Dazu gehören Namen, E-Mail-Adressen, Postanschriften, Telefonnummern und alle amtlichen Ausweise, die Sie für Betrugsprüfungen gesammelt haben. Sie befinden sich normalerweise in Ihrem Abrechnungssystem. Wenn Sie ein separates CRM oder Helpdesk verwenden, können dort doppelte Datensätze vorhanden sein. Exportformat: CSV oder JSON mit allen klar gekennzeichneten Feldern.

Abrechnungs- und Zahlungsdaten

Rechnungen, Gutschriften, Zahlungsverlauf und Steuerdetails. Diese werden oft in Ihrer Abrechnungssoftware und manchmal in einem Zahlungsgateway wie Stripe oder PayPal gespeichert. Exportformat: PDF-Rechnungen plus eine CSV der Transaktionen. Beachten Sie, dass Sie einige Finanzunterlagen aus steuerlichen Gründen auch nach einem Löschungsantrag aufbewahren müssen, aber Sie können personenbezogene Daten, die nicht gesetzlich vorgeschrieben sind, redigieren.

Domain-Daten

Domainnamen, Registrant-Kontaktdaten, DNS-Einträge und WHOIS-Daten. Wenn Sie Domains über einen Upstream-Registrar weiterverkaufen, können die Registrant-Daten von diesem Registrar gehalten werden. Sie müssen wissen, welche Entität für jede Domain der Datenverantwortliche ist. Exportformat: CSV der Domains mit zugehörigen Kontakten und eine Zonendatei für DNS.

Server- und Servicedaten

Hosting-Kontodetails, IP-Adressen, Server-Logs, Backup-Dateien und Support-Tickets. Diese können sich auf Ihrer eigenen Infrastruktur oder auf den Systemen Ihres Upstream-Anbieters befinden. Exportformat: Kontokonfigurationsdateien, Log-Auszüge und ggf. Datenbank-Dumps.

Wo befindet sich jeder Datensatz über Upstream- und lokale Systeme hinweg?

Der Datenstandort bestimmt, wie schnell Sie reagieren können und ob Sie einen Dritten einbeziehen müssen. Erstellen Sie eine einfache Tabelle mit den Spalten: Datentyp, System, Verantwortlicher, Auftragsverarbeiter, Exportmethode und Aufbewahrungsfrist. Hier ist ein ausgearbeitetes Beispiel für einen typischen Reseller, der eine Abrechnungsplattform und einen Upstream-VPS-Anbieter nutzt.

• Kundenname und E-Mail: in Ihrem Abrechnungssystem gespeichert. Sie sind der Verantwortliche. Export über die API des Abrechnungssystems oder CSV-Export.
• Zahlungskarten-Token: von Ihrem Zahlungsgateway gespeichert. Sie sind der Verantwortliche, das Gateway ist der Auftragsverarbeiter. Export durch Anforderung einer Kopie vom Gateway.
• Domain-Registrant-Details: von Ihrem Upstream-Registrar gespeichert. Sie können der Verantwortliche sein, wenn Sie die Daten erhoben haben, aber der Registrar ist ein Auftragsverarbeiter. Export über die Registrar-API oder manuelle Anforderung.
• Server-Logs: auf den Servern Ihres Upstream-Anbieters gespeichert. Sie sind wahrscheinlich der Verantwortliche, wenn Sie die Protokollierung konfiguriert haben, aber der Anbieter ist ein Auftragsverarbeiter. Export durch Anforderung der Logs beim Anbieter oder Zugriff über Ihr Control Panel.

Notieren Sie für jedes System, ob Sie Daten selbst exportieren können oder einen Dritten fragen müssen. Dies beeinflusst Ihre Antwortzeit. Wenn Sie sich auf einen Upstream-Anbieter verlassen, prüfen Sie dessen DSGVO-Konformität und Auftragsverarbeitungsvertrag (AVV).

Welche Exportformate und Aufbewahrungsregeln müssen Sie bereitstellen können?

Die DSGVO gibt Personen das Recht auf Auskunft, Übertragbarkeit und Löschung. Jedes Recht hat spezifische Anforderungen an Format und Timing.

Auskunftsanträge

Sie müssen eine Kopie aller personenbezogenen Daten, die Sie speichern, sowie Informationen über deren Verwendung bereitstellen. Format: üblicherweise CSV oder PDF, aber die Daten müssen verständlich sein. Sie können ein strukturiertes Dokument mit Abschnitten für jede Datenkategorie bereitstellen. Erheben Sie keine Gebühr, es sei denn, der Antrag ist offensichtlich unbegründet oder exzessiv. Antworten Sie innerhalb eines Monats, bei komplexen Anträgen verlängerbar um zwei Monate.

Übertragbarkeitsanträge

Dies gilt nur für Daten, die von der Person bereitgestellt und automatisiert auf der Grundlage von Einwilligung oder Vertrag verarbeitet werden. Sie müssen sie in einem strukturierten, gängigen, maschinenlesbaren Format (z. B. JSON, CSV) bereitstellen und, wo technisch machbar, direkt an einen anderen Verantwortlichen übermitteln. Für Hosting-Reseller bedeutet dies oft den Export von Kundenkontodetails, Servicekonfigurationen und Abrechnungsverlauf.

Löschungsanträge

Sie müssen personenbezogene Daten unverzüglich löschen, es sei denn, Sie haben eine gesetzliche Verpflichtung, sie aufzubewahren (z. B. Steuerrecht). Sie müssen auch alle Dritten informieren, mit denen Sie die Daten geteilt haben. Notieren Sie für jeden Datensatz in Ihrer Matrix, ob er gelöscht werden kann oder aufbewahrt werden muss. Beispielsweise müssen Rechnungen aus steuerlichen Gründen aufbewahrt werden, aber Sie können den Kundennamen nach Ablauf der Aufbewahrungsfrist anonymisieren.

Die Aufbewahrungsfristen variieren je nach Datentyp und Gerichtsbarkeit. Häufige Regeln: Finanzunterlagen 6-7 Jahre, Server-Logs 30-90 Tage, Support-Tickets 2-3 Jahre. Dokumentieren Sie Ihren Aufbewahrungsplan und halten Sie sich daran.

Wie erstellen Sie Ihre eigene Datenexport-Matrix?

Verwenden Sie eine Tabellenkalkulation mit den folgenden Spalten: Datenkategorie, Spezifische Datensätze, System, Verantwortlicher/Auftragsverarbeiter, Exportformat, Aufbewahrungsfrist, Löschungsmaßnahme. Füllen Sie sie für jedes System aus, das Sie verwenden. Überprüfen Sie sie vierteljährlich und aktualisieren Sie sie, wenn Sie neue Dienste hinzufügen.

Wenn Sie eine Abrechnungs- und Automatisierungsplattform wie Teculiar verwenden, sind viele dieser Daten zentralisiert, was Exporte vereinfacht. Teculiar ist eine Plattform für Hosting-, Domain- und VPS-Reseller zur Verwaltung von Abrechnung, Bereitstellung und Support. Prüfen Sie, welche Exportfunktionen Ihre Tools bieten. Können Sie beispielsweise alle Kundendaten mit einem Klick exportieren? Enthält es Domain- und Serverdetails?

Was als Nächstes zu tun ist

• Listen Sie jedes System auf, das Kundendaten speichert, einschließlich Upstream-Anbieter.
• Füllen Sie die Datenexport-Matrix für jeden Datensatztyp aus.
• Testen Sie Ihren Exportprozess mit einer Dummy-Anfrage, um zu sehen, wie lange er dauert.
• Überprüfen Sie Ihre Aufbewahrungsfristen und aktualisieren Sie Ihre Datenschutzrichtlinie.

Beginnen Sie noch heute mit der Kartierung Ihrer Daten, damit Sie bereit sind, wenn die nächste Anfrage eintrifft.