Datenschutz & Performance: Warum unsere Architektur 100 % DSGVO-konform ist

Datenschutz ist kein Nachgedanke – er ist Architektur

Viele Unternehmen behandeln die DSGVO wie eine Checkliste, die man nach dem Launch abarbeitet: Cookie-Banner einbinden, Datenschutzerklärung generieren, fertig. In der Praxis entscheidet sich die Frage der Rechtskonformität jedoch deutlich früher – nämlich in dem Moment, in dem die technische Architektur festgelegt wird.

Denn eine Website ist kein einzelnes System. Sie ist ein Zusammenspiel aus drei Ebenen: Auslieferung, Verarbeitung und Speicherung. Wer alle drei in einen einzigen Server wirft, verliert die Kontrolle darüber, wo personenbezogene Daten tatsächlich liegen. Wir gehen einen anderen Weg – und trennen diese Ebenen bewusst voneinander.

Das Zwei-Säulen-Prinzip: Trennung von Auslieferung und Datenhaltung

Unsere Architektur unterscheidet konsequent zwischen dem, was Besucher sehen, und dem, was gespeichert wird.

Säule 1: Das Frontend auf Vercel

Das Next.js-Frontend läuft auf Vercel. Dort werden Seiten gerendert, statische Inhalte zwischengespeichert und Anfragen an den nächstgelegenen Netzwerkknoten geroutet. Das sorgt für Ladezeiten im Millisekundenbereich und exzellente Core Web Vitals. Entscheidend ist: Vercel ist in unserer Architektur eine reine Auslieferungs- und Rendering-Schicht – kein Datenspeicher.

Säule 2: Backend und Datenbank auf Hetzner in Deutschland

Die Laravel-API und die PostgreSQL-Datenbank betreiben wir auf dedizierten Hetzner-Cloud-Servern in Deutschland – an den Rechenzentrumsstandorten Frankfurt am Main und Falkenstein. Hier liegt alles, was dauerhaft gespeichert wird: Formulareingaben, Kundendatensätze, Uploads, Protokolle.

Die Trennung ist der eigentliche Kern: Die Geschwindigkeit holen wir uns aus einem globalen Edge-Netzwerk. Die personenbezogenen Daten bleiben in Deutschland.

Warum Hetzner für digitale Souveränität steht

Die Wahl des Backend-Hosters ist die wichtigste Datenschutz-Entscheidung im gesamten Projekt – denn hier liegen die Daten wirklich. Hetzner erfüllt dabei alle Kriterien, die für europäische Unternehmen zählen:

• Ausschließlich deutsche Standorte: Sämtliche Datenbankinhalte und Formulareingaben liegen physisch in Frankfurt am Main bzw. Falkenstein – kein Drittlandtransfer für die Datenhaltung.
• ISO 27001-zertifizierte Rechenzentren: Zugangskontrolle, Redundanz und Betriebssicherheit sind nach einem international anerkannten Standard auditiert.
• Deutsches Unternehmen, deutsches Recht: Als deutscher Anbieter unterliegt Hetzner unmittelbar dem BDSG und der DSGVO – ohne Umweg über Angemessenheitsbeschlüsse.
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO: Der AV-Vertrag ist standardisiert verfügbar und dokumentiert die Verarbeitung sauber für deine Rechenschaftspflicht.
• Volle Kontrolle über den Stack: Verschlüsselung, Backup-Strategie, Zugriffsrechte und Löschfristen definieren wir – nicht ein intransparenter Managed-Service.

Und was ist mit Vercel? Ein US-Anbieter in einer DSGVO-Architektur

Das ist die Frage, die CTOs zu Recht als Erstes stellen. Die Antwort ist nicht „Vercel ist unproblematisch“, sondern: Es kommt darauf an, welche Rolle die Plattform in der Architektur übernimmt. Vier Faktoren sind dabei entscheidend.

1. Data Privacy Framework und Standardvertragsklauseln

Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Ergänzend greifen Standardvertragsklauseln (SCCs) sowie ein Auftragsverarbeitungsvertrag (DPA). Damit besteht für die technisch unvermeidbaren Verarbeitungsschritte – etwa Verbindungsdaten – eine belastbare Rechtsgrundlage nach Kapitel V der DSGVO.

2. Region-Pinning auf Frankfurt (fra1)

Wir konfigurieren Serverless Functions und Edge-Ausführung explizit auf die Region fra1 – Frankfurt am Main. Dynamische Anfragen werden also nicht irgendwo auf der Welt verarbeitet, sondern gezielt in Deutschland. Das ist kein Standardverhalten, sondern eine bewusste Konfigurationsentscheidung, die wir in jedem Projekt setzen.

3. Edge-Netzwerk mit europäischen Knoten

Statische Assets und zwischengespeicherte Seiten – Bilder, Schriften, JavaScript, HTML – werden über CDN-Knoten in Europa ausgeliefert, für deutsche Besucher typischerweise aus Frankfurt oder Hamburg. Das minimiert die Latenz und hält den Datenweg gleichzeitig kurz und innerhalb der EU.

4. Keine Persistenz personenbezogener Daten auf Vercel

Der wichtigste Punkt: Auf Vercel wird nichts dauerhaft gespeichert. Sendet ein Nutzer ein Kontaktformular ab, wird die Anfrage über eine TLS-verschlüsselte Verbindung direkt an unsere Laravel-API auf dem deutschen Hetzner-Server weitergereicht. Vercel sieht die Daten nur als durchlaufenden Transportweg – vergleichbar mit einem Netzwerk-Router, nicht mit einem Aktenschrank.

Personenbezogene Daten werden bei uns nicht in der Cloud „verteilt“. Sie haben genau einen Speicherort – und der liegt in Deutschland.

Technische Sicherheit im Detail

Rechtskonformität ohne technische Härtung bleibt Theorie. Deshalb gehören folgende Maßnahmen bei uns zum Standard:

• Durchgängige TLS-1.3-Verschlüsselung: Vom Browser über die Vercel-Edge bis zur Hetzner-API ist jede Verbindung nach aktuellem Stand der Technik verschlüsselt – auch die interne Server-zu-Server-Kommunikation.
• Datensparsamkeit statt Cookie-Ballast: Herkömmliche CMS- und Plugin-Setups schleppen häufig Dutzende Third-Party-Skripte mit, die unbemerkt Daten an externe Anbieter senden. Unser Stack lädt ausschließlich das, was wir bewusst integriert haben – kein unkontrollierter Datenabfluss.
• Self-Hosted Assets: Schriften und Skripte liefern wir vom eigenen Ursprung aus, statt sie von externen Diensten nachzuladen. Damit entfällt eine der häufigsten Abmahnursachen der letzten Jahre.
• Vollständige AV-Vertragskette: Für beide Anbieter – Hetzner und Vercel – liegen Auftragsverarbeitungsverträge vor. Dein Verarbeitungsverzeichnis lässt sich damit lückenlos führen.
• Minimierte Angriffsfläche: Kein öffentlich erreichbares Admin-Login, keine Plugin-Abhängigkeiten von Drittanbietern, klar definierte API-Endpunkte statt eines direkt exponierten Datenbankzugriffs.

Fazit für Unternehmen

Datenschutz und Performance werden oft als Gegensatz dargestellt: entweder schnell und global – oder rechtssicher und langsam. Diese Abwägung ist ein Artefakt veralteter Architekturen. Wer Auslieferung und Datenhaltung sauber trennt, bekommt beides.

• Was Besucher erleben: Ein global gecachtes, blitzschnelles Frontend mit Auslieferung aus dem nächstgelegenen europäischen Knoten.
• Wo deine Daten liegen: Ausschließlich auf ISO-27001-zertifizierten Servern in Frankfurt am Main und Falkenstein.
• Was du in der Hand hast: AV-Verträge, ein dokumentierter Datenfluss und eine Architektur, die einer Prüfung durch Aufsichtsbehörde oder Rechtsabteilung standhält.

Geschwindigkeit ist ein Wettbewerbsvorteil. Datenschutz ist eine Voraussetzung. Eine saubere Architektur liefert beides – ohne Kompromiss auf einer der beiden Seiten.

Wenn du wissen möchtest, wo in deinem aktuellen Setup personenbezogene Daten tatsächlich verarbeitet werden, schauen wir gemeinsam darauf. Häufig liegt das Risiko nicht im Hosting, sondern in eingebundenen Drittanbieter-Skripten, an die niemand mehr denkt.