Softwareentwicklung in Deutschland: Hosting, DSGVO und die Kosten des Betriebs

Softwareprojekte werden meistens über zwei Zahlen bewertet: Angebotspreis und Liefertermin. Beides ist der kurzlebigste Teil der Entscheidung. Ob ein System drei Jahre später noch ein Asset ist, entscheidet sich daran, wo es läuft, wie personenbezogene Daten behandelt werden und wer zuständig ist, wenn Dienstagmorgen etwas ausfällt.

Der Hosting-Standort ist eine Architekturentscheidung, kein Häkchen

Für Unternehmen in Deutschland und der EU ist EU-Hosting in der Regel die Grunderwartung – von Kunden, vom Betriebsrat und vom Einkauf. Der Standort der Hauptdatenbank ist aber nur die Hälfte. Logs, Backups, Error-Tracking, E-Mail-Versand, Analytics und KI-Inferenz verarbeiten ebenfalls Daten – und genau diese Komponenten verlassen die Region oft unbemerkt.

Die praktische Anforderung ist eine schriftliche Datenkarte: pro Komponente welcher Anbieter, welche Region, welche Datenkategorie, welche Rechtsgrundlage. Wenn ein Partner diese Liste für seinen eigenen Standard-Stack nicht liefern kann, existiert sie noch nicht.

weiterlesen DSGVO-konforme Softwareentwicklung: Warum Custom Code dein bester Datenschutz-Schild ist

Was die DSGVO von einer Individualentwicklung wirklich verlangt

• Datenminimierung by Design. Felder, die nicht gebraucht werden, gehören nicht erhoben – das ist eine Schema-Entscheidung in Woche eins, keine Richtlinie danach.
• Löschung und Aufbewahrung. Jede Entität braucht eine Antwort auf: Wann verschwindet das, und was passiert mit den Datensätzen, die darauf verweisen?
• Berechtigungen, die Rollen abbilden. Zeilenbasierte Autorisierung serverseitig erzwungen, nicht per ausgeblendeter UI.
• Verarbeitungsverzeichnis und AVV. Ein Vertrag pro Auftragsverarbeiter – auch die kleinen Tools: Monitoring und Transaktionsmails sind ebenfalls Verarbeiter.
• Nachvollziehbarkeit. Wer hat welchen Datensatz gesehen, wer hat was exportiert. Vorab günstig, nachträglich teuer.
• Consent, der der Realität entspricht. Tracking- und Marketingskripte müssen tatsächlich ausbleiben, solange keine Einwilligung vorliegt.

Der Betrieb entscheidet über das Budget

Entwicklung ist ein Projekt, Betrieb ist ein Abo. Hol dir vor der Unterschrift Zahlen für die unspektakulären Dinge: Monitoring und Alerting, Patches und Dependency-Updates, Backup- und Restore-Tests, Reaktionszeiten im Störfall und wie neue Anforderungen nach dem Initial-Scope eingeplant werden.

Ein guter Test: Frag, wie ein Restore verifiziert wird. Teams, die echte Restore-Tests fahren, antworten sofort. Teams, die nur Backups konfigurieren, fangen an zu erklären.

Eigentum: Code, Infrastruktur und Accounts

Eigentumsprobleme zeigen sich selten während der Entwicklung. Sie zeigen sich beim Partnerwechsel. Drei Dinge sollten ab Tag eins dir gehören: das Repository, die Cloud- und Hosting-Accounts sowie Domains und DNS. Ein Partner arbeitet in deinen Accounts oder übergibt sie auf Wunsch ohne Nachverhandlung. Dazu gehört die Dokumentation von Umgebungen und Deployment – Code, den du nicht ausrollen kannst, ist kein Asset.

weiterlesen Softwareentwicklungspartner auswählen: Der Guide für 2026

Fragen, die sich vor der Unterschrift lohnen

In welchen Regionen laufen alle Komponenten, inklusive Logs, Backups und KI-Aufrufen? Wie sieht das Aufbewahrungs- und Löschmodell pro Entität aus? Wer ist erreichbar, in welchen Zeiten, mit welcher Reaktionszeit? Wie werden Dependency-Updates behandelt und abgerechnet? Was genau gehört uns am Ende, und wie läuft die Übergabe? Was kostet das zweite Jahr, wenn wir nichts ergänzen?

Die Antworten auf diese sechs Fragen sagen mehr über die Gesamtkosten aus als jeder Tagessatz. Wenn du einen strukturierten Startpunkt für dein Projekt willst – Roadmap, Techstack und grobes Pflichtenheft – erstellt unser Blueprint-Generator ihn in wenigen Minuten, kostenlos.