Sicherheit & Compliance: DSGVO-Hosting mit AV-Vertrag

Geteilte Verantwortung

Drei Ebenen: Rechenzentrum, Betrieb, Anwendung

Jede Sicherheitsmaßnahme eines Managed Clusters lässt sich einer von drei Ebenen zuordnen und damit einer zuständigen Partei: dem Betreiber des Rechenzentrums, uns als Betreiber der Plattform oder Ihrem Unternehmen. So bleiben Ihre Risikoanalyse und Ihre Lieferantenbewertung nachvollziehbar, weil Sie jede Angabe ihrer Quelle zuordnen können.

Schema 01 Drei Ebenen der Verantwortung

Rahmen durchgezogen: von uns betrieben
Rahmen gestrichelt: nicht von uns betrieben
Verbindung zwischen den Ebenen

Maincubes betreibt das Rechenzentrum FRA01, wir betreiben die Plattform darüber, Sie verantworten Anwendung und Daten. Zwischen Ihnen und uns gilt der AV-Vertrag.

Schema als Text

Ebene 1, Rechenzentrum FRA01: Stromversorgung, Kühlung und Zutrittskontrolle verantwortet der Betreiber Maincubes. Die Zertifikate nach ISO/IEC 27001 und ISO 9001 gehören ihm.
Ebene 2, Betrieb der Plattform: Proxmox VE, Storage, das Netz AS47263 mit Firewalls, 24/7-Monitoring, Patches, Backups und Nachberichte übernehmen wir.
Ebene 3, Anwendung und Daten: Code, Plugins, Nutzer und die Daten Ihrer Anwendung verantworten Sie.
Zwischen Ebene 3 und Ebene 2 regelt der AV-Vertrag nach Art. 28 DSGVO die Verarbeitung in Ihrem Auftrag.

Ebene 1 · Betreiber

Rechenzentrum

Hauptstandort ist das Rechenzentrum Maincubes FRA01 im Rhein-Main-Gebiet. Laut Betreiber ist es nach ISO/IEC 27001 und ISO 9001 zertifiziert und verfügt über eine redundante und unterbrechungsfreie Stromversorgung, mehrstufige Zutrittskontrollen und einen 24-Stunden-Sicherheitsdienst (Quelle 2).

Der Zweitstandort NBG01 in Nürnberg dient als Ziel für Backup-Kopien außerhalb des Hauptstandorts und als zweites Standbein für Multi-Standort-Deployments.

Standorte FRA01 und NBG01

Ebene 2 · managed-cluster.net

Betrieb der Plattform

Wir betreiben alles unter Ihrer Anwendung: die Nodes mit Proxmox VE, Storage, Netz und Firewalls. Dazu gehören 24/7-Monitoring mit Rufbereitschaft sowie Updates und Sicherheits-Patches. Backups laufen auf einer vom Cluster getrennten Backup-Infrastruktur mit regelmäßigen Restore-Tests.

Angebunden sind Ihre Cluster über unser eigenes autonomes System AS47263. DDoS-Schutz auf Netzebene ist in jedem Festpreis enthalten.

DDoS-Schutz und eigenes Netz

Ebene 3 · Ihr Unternehmen

Anwendung und Daten

Sie kümmern sich um Ihre Anwendung, wir uns um alles darunter.

Code, Plugins und Updates Ihrer Anwendung oder Ihres Shops verantworten Sie oder Ihre Agentur, ebenso die Nutzerverwaltung und die Daten, die Sie darin verarbeiten.

Auftragsverarbeitung

DSGVO-konformes Hosting mit AV-Vertrag nach Art. 28 DSGVO

Beim Hosting durch managed-cluster.net gehört zu jedem Festpreis ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) nach Art. 28 DSGVO. Liegen personenbezogene Daten auf Ihrem Cluster, verarbeiten wir sie auf dieser Grundlage in Ihrem Auftrag. Betriebsvertrag, SLA und AV-Vertrag schließen wir nach deutschem Recht.

Nach Art. 28 Abs. 3 DSGVO legt ein solcher Vertrag fest (Quelle 1):

Gegenstand und Dauer der Verarbeitung
Art und Zweck der Verarbeitung
Art der personenbezogenen Daten
Kategorien betroffener Personen
Pflichten und Rechte des Verantwortlichen

Außerdem regelt er die Pflichten des Auftragsverarbeiters, etwa dass dieser personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeitet. Verantwortlicher ist in der Regel Ihr Unternehmen, weil es über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO); wir verarbeiten als Auftragsverarbeiter in Ihrem Auftrag.

Nach Art. 28 Abs. 1 DSGVO arbeitet ein Verantwortlicher nur mit Auftragsverarbeitern, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Welche Maßnahmen wir im Betrieb treffen, zeigt der Abschnitt Betriebssicherheit.

Datenschutz beim Hosting in Deutschland: wo Ihre Cluster-Daten liegen

Ihre Cluster-Daten verarbeiten und speichern wir ausschließlich in Deutschland. Unsere Standorte sind das Rechenzentrum Maincubes FRA01 im Rhein-Main-Gebiet und NBG01 in Nürnberg. Backups liegen getrennt vom Cluster, ebenfalls in deutschen Rechenzentren. Auf Wunsch nennen wir den Standort einschließlich Adresse im Vertrag.

Diese Zusage gilt für die Daten auf Ihrem Cluster. Welche Daten beim Besuch dieser Website und bei Kontaktanfragen anfallen und wohin sie übermittelt werden, beschreibt die Datenschutzerklärung der Website.

Ihr Vertragspartner

managed-cluster.net ist eine Marke von Cube-Hosting.net (Inhaber: Jesse Röhsler, Gerolzhofen). Wir betreiben Managed-Proxmox- und Hochverfügbarkeits-Cluster in deutschen Rechenzentren (Maincubes FRA01, NBG01 Nürnberg) über das eigene Netz AS47263.

Anschrift, Kontaktdaten und unsere Arbeitsweise finden Sie auf der Seite, die erklärt, wer hinter managed-cluster.net steht.

Sicherheitskonzept im Betrieb

Betriebssicherheit: technische und organisatorische Maßnahmen im Hosting

Unser Teil des Sicherheitskonzepts für Ihr Hosting besteht aus neun technischen und organisatorischen Maßnahmen, die wir bei managed-cluster.net im laufenden Betrieb umsetzen: von Patch-Management und Härtung über getrennte Netze und Backups bis zum 24/7-Monitoring. Betrieb, Monitoring, Updates und Support rechnen wir zum monatlichen Festpreis ab, ohne versteckte Stundensätze.

Die Abläufe im Detail beschreiben die Seiten zu Patch-Management und Härtung sowie zu Backup & Disaster Recovery.

Patch-Management: Sicherheits-Patches für Betriebssystem, Virtualisierung und Dienste, kritische Lücken mit Vorrang; bis ein Patch verfügbar ist, wo möglich Übergangsmaßnahmen wie Firewall-Regeln. Updates spielen wir Node für Node im laufenden Betrieb ein. Ausnahmen wie das Major-Upgrade einer Datenbank kündigen wir an und legen sie in ein Zeitfenster, das Sie wählen.
Systemhärtung: minimale Dienste, restriktive Firewalls, abgesicherte SSH-Zugänge und Netztrennung.
Getrennte Netze: Management, Storage und öffentlicher Verkehr laufen in getrennten VLANs, der Storage-Verkehr über ein dediziertes Netz.
Versionierte Konfiguration: Wir pflegen die Konfiguration versioniert und damit nachvollziehbar.
TLS- und Zertifikatspflege: automatische Erneuerung und Überwachung der Zertifikate.
Getrennte Backups: eine vom Cluster getrennte Backup-Infrastruktur mit definierten Aufbewahrungsfristen und regelmäßigen Restore-Tests.
Incident-Behandlung: Analyse, Eindämmung, Wiederherstellung und ein Nachbericht mit Ursache und abgeleiteten Maßnahmen.
24/7-Monitoring: Hardware, Virtualisierung, Betriebssystem, Dienste, Anwendung und Netz, mit Health-Checks aus Nutzersicht. Kritische Alarme erreichen die Rufbereitschaft sofort und werden umgehend bearbeitet, rund um die Uhr.
DDoS-Schutz auf Netzebene: in jedem Festpreis enthalten.

Zugriffsschutz

Zugriffe auf Ihre Plattform absichern

Den Zugang zu Ihrer Plattform begrenzen wir bei managed-cluster.net mit Firewalls auf allen Ebenen und mit getrennten Netzen für Management, Storage und öffentlichen Verkehr. Vor den Nodes steht eine redundante Firewall- und Loadbalancer-Schicht mit Health-Checks, und SSH-Zugänge sind abgesichert. Welche Zugänge bestehen, halten wir in der Dokumentation Ihrer Umgebung schriftlich fest.

Die Dokumentation Ihrer Umgebung gehört Ihnen. Auf Wunsch erhalten Sie Lesezugriff auf ein Dashboard mit Live-Metriken Ihres Clusters.

Stellt Ihr Berechtigungskonzept weitere Anforderungen an Zugänge und Rollen, sprechen Sie uns darauf an.

Enterprise Zusätzlich im Paket Enterprise

Das Enterprise-Paket ergänzt getrennte Netze, VPN, IP-Whitelisting und rollenbasierte Zugriffe.

Beim IP-Whitelisting sind Zugriffe nur von freigegebenen Adressen möglich; bei rollenbasierten Zugriffen werden Berechtigungen über Rollen vergeben.

Verantwortung

Was wir übernehmen und was bei Ihnen bleibt

Wir übernehmen den Betrieb von Plattform, Netz, Backup und Monitoring. Bei Ihnen bleiben Ihre Anwendung, deren Nutzer und Daten sowie die regulatorischen Pflichten Ihres Unternehmens. Die Übersicht ordnet die Zuständigkeiten in fünf Bereichen zu; welche Unterlagen Sie schriftlich von uns erhalten, zeigt der Abschnitt Dokumente für Ihre Lieferantenbewertung.

Einordnung

Diese Übersicht beschreibt, wie unser Betrieb Ihre Sicherheitsmaßnahmen unterstützt. Sie ist keine Zertifizierung und keine Rechtsberatung.

Übersicht Verantwortung im Betrieb
Bereich	Wir übernehmen	Bei Ihnen bleibt
Plattform und Netz	Betrieb von Nodes, Virtualisierung, Storage und Netz; Härtung, Patches und Updates Node für Node	Das Zeitfenster für angekündigte Ausnahmen wie das Major-Upgrade einer Datenbank wählen Sie.
Anwendung	Health-Checks aus Nutzersicht: Wir prüfen, ob Ihre Anwendung antwortet.	Code, Plugins und Updates der Anwendung sowie ihre Nutzerverwaltung
Sicherheitsvorfälle	24/7-Monitoring, Alarmierung mit Eskalationswegen, Analyse, Eindämmung, Wiederherstellung und Nachbericht	Die Bewertung eines Vorfalls für Ihr Geschäft sowie Pflichten, die Ihrem Unternehmen daraus entstehen können, etwa gegenüber Behörden, Kunden oder Betroffenen
Backup und Wiederherstellung	Getrennte Backup-Infrastruktur, definierte Aufbewahrungsfristen, regelmäßige Restore-Tests	Ihre Vorgaben für die Wiederanlaufzeit (RTO, Recovery Time Objective) und den tolerierbaren Datenverlust (RPO, Recovery Point Objective); verbindlich werden sie im Betriebsvertrag, den wir gemeinsam festlegen.
Datenschutz	Verarbeitung in Ihrem Auftrag nach AV-Vertrag, ausschließlich in Deutschland	Die Entscheidung über Zwecke und Mittel der Verarbeitung; damit sind Sie in der Regel Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7, Quelle 1).

Nachweise

Dokumente, die Sie von uns erhalten

Von managed-cluster.net erhalten Sie für Ihre Lieferantenbewertung und Ihre eigenen Akten sechs Unterlagen schriftlich, vom Konzept vor der Beauftragung bis zum monatlichen Betriebsbericht. Dazu gehören der AV-Vertrag, das Failover-Testprotokoll und ein Nachbericht zu jedem Vorfall. Die Dokumentation Ihrer Umgebung mit Architektur, Zugängen und Notfallplänen gehört Ihnen.

Unterlagen Dokument, Inhalt und Zeitpunkt
Dokument	Inhalt	Wann Sie es erhalten
Konzept	Architekturzeichnung, Komponentenliste, Festpreis für Aufbau und Betrieb	nach der Bestandsaufnahme, üblicherweise innerhalb weniger Werktage
AV-Vertrag	Auftragsverarbeitung nach Art. 28 DSGVO, nach deutschem Recht	als Vertragsbestandteil, zusammen mit Betriebsvertrag und SLA
Failover-Testprotokoll	Ablauf und Ergebnis der Failover-Tests	vor der Inbetriebnahme, danach zu jedem Test im mit Ihnen abgestimmten Rhythmus
Dokumentation	Architektur, Konfiguration, Zugänge und Notfallpläne	mit der Übergabe Ihres Clusters
Betriebsbericht	Verfügbarkeit, Vorfälle, Auslastung und Empfehlungen; im Business-Paket zusätzlich SLA-Reports	monatlich
Nachbericht	Ursache eines Vorfalls und abgeleitete Maßnahmen	nach jedem Vorfall

Sie benötigen weitere Unterlagen für Ihre Lieferantenbewertung? Sprechen Sie uns auf Ihre Anforderungen an; wir sagen Ihnen offen, was wir heute belegen können. Welche Fragen Sie jedem Anbieter stellen sollten, fasst die Checkliste zur Anbieterauswahl zusammen.

Zertifikate

Zertifikate des Rechenzentrums FRA01

Betreiber Die Zertifizierungen nach ISO/IEC 27001 und ISO 9001 gelten für das Rechenzentrum FRA01 und gehören dem Betreiber Maincubes. Für den Betrieb Ihres Clusters durch managed-cluster.net gelten sie nicht.

Der Betreiber führt die Zertifikate auf seiner Standortseite zu FRA01 (Quelle 2, Stand: Oktober 2026). Ausstattung und Rolle beider Standorte beschreibt unsere Seite zum zertifizierten Rechenzentrum FRA01 (Betreiber).

Für Ihre Lieferantenbewertung

Bewerten Sie die Ebene Rechenzentrum anhand der Zertifikate des Betreibers und die Ebene Betrieb anhand der Maßnahmen und Unterlagen auf dieser Seite.

Sicherheitskontakt

Sicherheitslücke melden

Eine Sicherheitslücke, die managed-cluster.net betrifft, melden Sie per E-Mail an support@cube-hosting.net. Dieselbe Kontaktangabe steht maschinenlesbar in unserer security.txt nach RFC 9116. Beschreiben Sie in Ihrer Meldung möglichst, welches System betroffen ist und wie sich die Lücke nachvollziehen lässt. Als bevorzugte Sprachen nennt die Datei Deutsch und Englisch.

Kontakt für Sicherheitsmeldungen

E-Mail: support@cube-hosting.net

Datei: /.well-known/security.txt

Bevorzugte Sprachen laut security.txt: Deutsch, Englisch

RFC 9116 legt fest, dass die Datei unter dem Pfad /.well-known/security.txt liegt und mindestens die Felder „Contact“ und „Expires“ enthält (Quelle 3).

FAQ

Häufige Fragen zu Sicherheit und Datenschutz

Gibt es einen AV-Vertrag nach Art. 28 DSGVO?

Ja. Der AV-Vertrag nach Art. 28 DSGVO gehört zu jedem Festpreis und regelt, wie wir personenbezogene Daten auf Ihrem Cluster in Ihrem Auftrag verarbeiten. Er gilt zusammen mit Betriebsvertrag und SLA, alle nach deutschem Recht.

Werden unsere Daten außerhalb Deutschlands verarbeitet?

Ihre Cluster-Daten nicht: Wir verarbeiten und speichern sie ausschließlich in Deutschland, und auch die Backups liegen getrennt vom Cluster in deutschen Rechenzentren. Für Besuche dieser Website und für Kontaktanfragen gilt die Datenschutzerklärung.

Wer ist für die Sicherheit der Anwendung verantwortlich?

Sie beziehungsweise Ihr Entwicklungsteam oder Ihre Agentur. Code, Plugins und Anwendungs-Updates liegen bei Ihnen; wir betreiben und schützen alles darunter, von den Nodes und der Virtualisierung bis zu Netz, Monitoring und Backups.

Welche Sicherheitsmaßnahmen sind im Betrieb enthalten?

Patch-Management mit Vorrang für kritische Lücken, Systemhärtung, getrennte Netze, versionierte Konfiguration, TLS- und Zertifikatspflege, getrennte Backups mit Restore-Tests, 24/7-Monitoring mit Rufbereitschaft und Incident-Behandlung mit Nachbericht. Im Enterprise-Paket kommen VPN, IP-Whitelisting und rollenbasierte Zugriffe hinzu.

Wie melde ich eine Sicherheitslücke?

Per E-Mail an support@cube-hosting.net. Die Kontaktangabe steht auch maschinenlesbar unter /.well-known/security.txt nach RFC 9116; als bevorzugte Sprachen nennt die Datei Deutsch und Englisch.

Quellen

Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 4 Nr. 7 und Art. 28, Amtsblatt der Europäischen Union L 119 vom 4. Mai 2016. eur-lex.europa.eu
Maincubes: Rechenzentrum Frankfurt FRA01, Angaben zu Zertifizierungen, Stromversorgung und Zutrittskontrolle. maincubes.com
RFC 9116: A File Format to Aid in Security Vulnerability Disclosure, IETF, 2022. rfc-editor.org

Abgerufen und geprüft am 9. Oktober 2026 · Stand: Oktober 2026

Sicherheit & Compliance

Sicherheitsfragen zu Ihrer Plattform klären

Bringen Sie die Anforderungen aus Informationssicherheit, Datenschutz und Einkauf mit. Wir gehen sie gemeinsam durch und zeigen, welche davon unser Betrieb abdeckt und welche bei Ihnen bleiben.

Sicherheitsfragen klären