Rechtsvorschriften für Colocation: Was Unternehmen beim Betrieb eigener Server im Rechenzentrum beachten müssen

Wer eigene Server in einem fremden Rechenzentrum unterbringt, nutzt gewöhnlich eine Colocation-Dienstleistung. Der Anbieter stellt insbesondere Stellfläche, Stromversorgung, Kühlung und physische Sicherung bereit; die Verantwortung für Hardware, Betriebssysteme und Anwendungen verbleibt häufig beim Kunden. Welche Aufgaben tatsächlich übernommen werden, bestimmt der konkrete Vertrag.

Ein eigenständiges „Colocation-Gesetz“ gibt es in Deutschland nicht. Maßgeblich sind vor allem das Bürgerliche Gesetzbuch, das Datenschutzrecht und – abhängig von Anbieter, Kunde und Leistungsumfang – Vorschriften über Cybersicherheit, Telekommunikation, Energieeffizienz und regulierte Branchen. Entscheidend ist nicht die Produktbezeichnung, sondern die tatsächliche Verteilung von Aufgaben, Zugriffsmöglichkeiten und Risiken.

Dieser Beitrag erläutert die rechtlichen Anforderungen an eine typische Unternehmens-Colocation. Bauordnungsrechtliche Genehmigungen des Rechenzentrums und besondere Anforderungen einzelner Branchen werden nur in ihren Auswirkungen auf die Vertragsgestaltung behandelt.

• Der Leistungsumfang bestimmt das Vertragsrecht. Die Bereitstellung eines abschließbaren Racks kann rechtlich anders zu beurteilen sein als ein Gesamtpaket mit Administration, Überwachung und Wiederherstellung.
• Colocation ist nicht automatisch Auftragsverarbeitung. Entscheidend ist, ob der Anbieter personenbezogene Daten im Auftrag verarbeitet; ein bestimmter Standort oder bloße Zutrittsmöglichkeiten beantworten diese Frage nicht allein.
• Verfügbarkeit sollte messbar vereinbart sein. Prozentangaben sind wenig aussagekräftig, wenn Messpunkt, Wartungszeiten, Ausnahmen und Rechtsfolgen fehlen.
• Ein deutscher Serverstandort genügt nicht für vollständige Datenschutzkonformität. Auch Supportzugriffe, Unterauftragnehmer und Übermittlungen in Drittländer sind zu prüfen.
• Gesetzliche Sicherheits- und Energiepflichten können den Betreiber unabhängig vom Vertrag treffen. Branchenpflichten des Kunden können zusätzliche Kontrollrechte erforderlich machen.
• Der Ausstieg sollte bereits im Erstvertrag geregelt werden. Hardwareherausgabe, Datenzugang, Übergangsbetrieb und mögliche Sicherungsrechte sollten vor einer Krise geklärt sein.

1. Welche Leistungen werden rechtlich überhaupt eingekauft?

Stellfläche, Infrastruktur und Betriebsleistungen trennen

• Überlassung eines Racks, einzelner Höheneinheiten oder eines abgegrenzten Bereichs;
• Bereitstellung von Strom, Kühlung und Netzanschlüssen;
• Zutrittskontrolle, Brandfrüherkennung und technische Überwachung;
• Tätigkeiten vor Ort, etwa Kabelwechsel oder Hardwaretausch;
• Administration, Datensicherung und Wiederherstellung.

Bei der entgeltlichen Gebrauchsüberlassung einer Fläche oder Einrichtung stehen mietvertragliche Elemente nach § 535 BGB im Vordergrund. Werden Tätigkeiten geschuldet, können dienstvertragliche Vorschriften nach § 611 BGB einschlägig sein. Wird ein bestimmter Erfolg versprochen, etwa eine genau definierte Installation, kommen werkvertragliche Regeln nach § 631 BGB in Betracht. [1]

Viele Verträge verbinden unterschiedliche Vertragstypen. Ob einzelne Leistungsteile getrennt beurteilt werden oder ein Vertragsschwerpunkt ausschlaggebend ist, hängt insbesondere von ihrer Verbindung und wirtschaftlichen Bedeutung ab. Eine pauschale Einordnung sämtlicher Colocation-Verträge als Mietvertrag wäre daher ebenso unzutreffend wie ihre generelle Behandlung als Dienstvertrag.

Vom Vertragstyp hängt ab, welche Ansprüche bei einer Störung bestehen. Bei einem Mietmangel kommen insbesondere Mietminderung nach § 536 BGB und Schadensersatz nach § 536a BGB in Betracht. Bei werkvertraglichen Leistungen können die Mängelrechte aus § 634 BGB maßgeblich sein. Für andere Pflichtverletzungen bildet unter anderem § 280 BGB eine Grundlage. Die jeweiligen Anspruchsvoraussetzungen sind gesondert zu prüfen. [1]

Für die gerichtliche Beurteilung sind deshalb zunächst die versprochenen Leistungen auszulegen. Nach §§ 133, 157 BGB zählen dabei nicht nur Vertragsüberschriften, sondern Inhalt, erkennbarer Parteiwille und Vertragszusammenhang. Eine Klausel „Wir schulden ausschließlich Stellfläche“ beseitigt nicht ohne Weiteres ausdrücklich zugesagte Kühlungs- oder Überwachungspflichten. Umgekehrt lässt sich aus der allgemeinen Beschreibung eines „sicheren Rechenzentrums“ nicht ohne Weiteres eine bestimmte Wiederherstellungszeit ableiten. [1]

Technische Leistungsbeschreibungen können den rechtlich geschuldeten Zustand wesentlich prägen. Ihre Einbeziehung und ihr Verhältnis zu anderen Vertragsbestandteilen sollten deshalb eindeutig geregelt sein.

Entscheidend sind die tatsächlichen Verarbeitungsvorgänge

Bei der Verarbeitung personenbezogener Daten ist die Datenschutz-Grundverordnung zu beachten, soweit ihr sachlicher und räumlicher Anwendungsbereich nach Art. 2 und 3 DSGVO eröffnet ist. Personenbezogen können beispielsweise Kunden-, Beschäftigten- und Nutzungsdaten auf den Servern sein. Speicherung ist bereits eine Verarbeitung im Sinne von Art. 4 Nr. 2 DSGVO. Daraus folgt allerdings nicht, dass jeder Vermieter von Stellfläche selbst die auf Kundengeräten gespeicherten Daten verarbeitet. [2]

Die Rollen sind anhand der tatsächlichen Aufgaben zu bestimmen:

Reine Infrastrukturüberlassung: Beschränkt sich die Leistung auf Fläche, Strom, Kühlung und Gebäudesicherung, ohne dass der Betreiber eine Verarbeitung der Kundendaten übernimmt, liegt nicht allein deshalb Auftragsverarbeitung vor. Die physische Nähe zu Datenträgern genügt für die Einordnung nicht automatisch.

Übernommene Datenverarbeitung: Erbringt der Anbieter dagegen beispielsweise Backups, administriert Anwendungen oder verarbeitet Daten im Rahmen beauftragter Betriebsleistungen, kann er Auftragsverarbeiter nach Art. 4 Nr. 8 und Art. 28 DSGVO sein.

Eigene Zwecke des Betreibers: Zutrittsverwaltung, Abrechnung und Videoüberwachung können eigenständige Verarbeitungen des Anbieters darstellen. Hierfür benötigt er eine tragfähige Rechtsgrundlage, insbesondere nach Art. 6 DSGVO, und muss die jeweils einschlägigen Informations-, Speicherbegrenzungs- und Sicherheitsanforderungen beachten. [2]

Auch Leistungen vor Ort sind differenziert zu untersuchen: Ein rein mechanischer Austausch ohne Verarbeitung personenbezogener Daten ist anders zu bewerten als eine Fehleranalyse mit Zugriff auf personenbezogene Protokolldaten. Die Vertragsbezeichnung ersetzt diese Prüfung nicht.

Was eine Vereinbarung nach Art. 28 DSGVO enthalten muss

Liegt Auftragsverarbeitung vor, ist ein bindender Vertrag oder ein anderes Rechtsinstrument nach Art. 28 Abs. 3 DSGVO erforderlich. Nach Art. 28 Abs. 9 DSGVO muss es schriftlich abgefasst sein; dies kann auch in einem elektronischen Format erfolgen. Zu regeln sind insbesondere Gegenstand und Dauer, Art und Zweck der Verarbeitung, Datenarten, betroffene Personengruppen sowie Rechte und Pflichten des Verantwortlichen. [2]

Hinzu kommen unter anderem:

• Verarbeitung grundsätzlich nur auf dokumentierte Weisung;
• Vertraulichkeitsverpflichtungen der zur Verarbeitung befugten Personen;
• technische und organisatorische Maßnahmen;
• Voraussetzungen für den Einsatz weiterer Auftragsverarbeiter;
• Unterstützung bei Betroffenenrechten sowie bei Sicherheits- und Meldepflichten;
• Löschung oder Rückgabe personenbezogener Daten nach Abschluss der Leistungen nach Wahl des Verantwortlichen, vorbehaltlich gesetzlicher Speicherpflichten;
• Nachweis- und Kontrollmöglichkeiten. [2]

Der Vertrag darf tatsächliche Zugriffswege nicht verschleiern. Ist etwa Fernwartung durch ein anderes Unternehmen vorgesehen, muss dies in der Rollenverteilung berücksichtigt werden. Wird dieses Unternehmen als weiterer Auftragsverarbeiter eingesetzt, sind insbesondere die Genehmigungs- und Verpflichtungsanforderungen aus Art. 28 Abs. 2 und 4 DSGVO einzuhalten. [2]

Sicherheit bleibt eine geteilte Verantwortung

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Maßgeblich sind unter anderem Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Beeinträchtigungen der Rechte und Freiheiten natürlicher Personen. Verfügbarkeit und Wiederherstellbarkeit gehören ausdrücklich zu den zu berücksichtigenden Sicherheitsaspekten. [2]

Im Colocation-Modell sollte deshalb erkennbar sein, wer für die jeweils erforderlichen Maßnahmen zuständig ist. Dazu können gehören:

• Zutrittsberechtigungen und deren Entzug;
• Verschlüsselung und Schlüsselverwaltung;
• Strom- und Kühlungsredundanz;
• Datensicherungen außerhalb desselben Schadensbereichs;
• Protokollierung von Zugriffen;
• Wiederherstellung und regelmäßige Wirksamkeitsprüfungen.

Diese Maßnahmen sind nicht für jede Konstellation in identischer Ausgestaltung vorgeschrieben. Ihre Erforderlichkeit richtet sich nach der konkreten Risikobewertung. Ein reiner Infrastrukturvermieter wird durch Art. 32 DSGVO nicht allein wegen der Unterbringung fremder Server zum Auftragsverarbeiter; eigene Datenschutzpflichten können insbesondere hinsichtlich seiner Zutritts- und Abrechnungsdaten bestehen. [2]

Redundante Stromversorgung ersetzt keine Datensicherung. Ebenso wenig genügt ein Backup, wenn unklar bleibt, wer es im Notfall einspielen darf und wie die Wiederherstellung erfolgen soll.

Standort Deutschland und Drittlandzugriffe

Ein deutscher Standort löst nicht sämtliche Fragen internationaler Datenverarbeitung. Werden personenbezogene Daten einem eigenständigen Empfänger in einem Drittland zugänglich gemacht, etwa im Rahmen externer Fernwartung, können die Anforderungen der Art. 44 ff. DSGVO greifen. Entscheidend sind Empfänger, Zugriffskonstellation und Übermittlungsgrundlage. [2]

Die ausländische Konzernzugehörigkeit eines Anbieters ist dagegen nicht ohne weitere Prüfung mit einer konkreten Datenübermittlung gleichzusetzen. Erforderlich ist eine nachvollziehbare Übersicht über Gesellschaften, Supportwege, Unterauftragnehmer und tatsächliche Zugriffsbefugnisse.

Für besondere Datenbestände können zusätzliche Anforderungen hinzukommen, beispielsweise bei Gesundheitsdaten nach Art. 9 DSGVO oder Beschäftigtendaten nach § 26 BDSG. Bei Beschäftigtendaten sind daneben die unmittelbar geltenden Anforderungen der DSGVO zu beachten; § 26 BDSG rechtfertigt nicht pauschal jede Verarbeitung im Beschäftigungsverhältnis. [2][3]

3. Welche zusätzlichen gesetzlichen Anforderungen können greifen?

Cybersicherheit nach dem BSIG

Die nachfolgenden BSIG-Angaben beziehen sich auf die durch Artikel 1 des Gesetzes vom 2. Dezember 2025 verkündete Fassung des BSI-Gesetzes. § 28 BSIG unterscheidet zwischen besonders wichtigen und wichtigen Einrichtungen. Betreiber von Rechenzentrumsdiensten sind in Anlage 1 BSIG erfasst. Ob ein konkreter Colocation-Anbieter einer dieser Einrichtungskategorien zuzuordnen ist, richtet sich insbesondere nach den gesetzlichen Begriffsbestimmungen, Größenmerkmalen und Sondertatbeständen. Auch die Einordnung als Betreiber einer kritischen Anlage kann maßgeblich sein. Die Produktbezeichnung „Colocation“ entscheidet darüber nicht. [4]

Für besonders wichtige und wichtige Einrichtungen sieht § 30 BSIG Risikomanagementmaßnahmen vor. § 33 BSIG regelt Registrierungspflichten; § 32 BSIG enthält gestufte Meldepflichten für erhebliche Sicherheitsvorfälle. Nicht jede Betriebsunterbrechung ist bereits ein meldepflichtiger erheblicher Sicherheitsvorfall. Maßgeblich sind die gesetzlichen Voraussetzungen und gegebenenfalls ergänzende unionsrechtliche Konkretisierungen. Vertragliche Störungsmeldungen oder ein Service Level Agreement ersetzen die gesetzlich erforderlichen Meldungen nicht. [4]

Auch der Kunde kann selbst eine besonders wichtige oder wichtige Einrichtung sein. Zu den Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG gehört die Sicherheit der Lieferkette. Daraus kann sich ein Bedarf an Informationen und vertraglichen Mitwirkungsregelungen gegenüber dem Colocation-Anbieter ergeben. Die Auslagerung der Infrastruktur beseitigt die eigenen gesetzlichen Pflichten des Kunden nicht. [4]

Energieeffizienz des Rechenzentrums

Das Energieeffizienzgesetz enthält besondere Vorschriften für Rechenzentren. §§ 11 bis 13 EnEfG betreffen insbesondere Energieeffizienz und Abwärmenutzung, Energie- oder Umweltmanagementsysteme sowie Informationspflichten. Welche Anforderungen gelten, richtet sich unter anderem nach den gesetzlichen Definitionen, der Leistung des Rechenzentrums und den einschlägigen Inbetriebnahme- und Übergangsregelungen. Auch Betreiber von Informationstechnik können innerhalb des gesetzlichen Anwendungsbereichs eigene Pflichten treffen. [5]

Für Kunden ist dies auch wirtschaftlich relevant. Im Vertrag sollte geklärt werden:

• Wie wird der Energieverbrauch des Kunden gemessen?
• Wie werden Kühlung, Umwandlungsverluste und sonstige Infrastrukturverbräuche zugeordnet?
• Welche Kennzahlen und Nachweise stellt der Betreiber bereit?
• Wer trägt Kosten notwendiger Umbauten?
• Unter welchen Voraussetzungen dürfen Energiepreise angepasst werden?

Gesetzliche Investitionspflichten des Betreibers begründen für sich genommen kein unbegrenztes Recht, bestehende Preise einseitig zu erhöhen. Dafür kommt es insbesondere auf eine tragfähige vertragliche oder sonstige rechtliche Grundlage an. Vorformulierte Preisänderungsregelungen können der Kontrolle nach § 307 BGB unterliegen. [1][5]

Telekommunikation und regulierte Kunden

Die reine Bereitstellung von Stellfläche, Strom und Kühlung macht den Anbieter noch nicht zum Anbieter eines Telekommunikationsdienstes. Werden zusätzlich Leistungen angeboten, die unter die Begriffsbestimmungen des § 3 TKG fallen, ist deren eigenständige regulatorische Einordnung erforderlich. Nicht jeder Anschluss und nicht jede interne Verkabelung lösen dieselben Pflichten aus. [6]

Für Finanzunternehmen im Anwendungsbereich der Verordnung ist außerdem die seit dem 17. Januar 2025 anwendbare Verordnung über die digitale operationale Resilienz im Finanzsektor, DORA, bedeutsam. Ob eine konkrete Colocation-Leistung als IKT-Dienstleistung nach Art. 3 Nr. 21 DORA einzuordnen ist und welche Anforderungen greifen, muss anhand des tatsächlichen Leistungsmodells geprüft werden. [7]

Art. 28 und 30 DORA betreffen insbesondere das Management von IKT-Drittparteienrisiken und vertragliche Mindestinhalte. Bei IKT-Dienstleistungen zur Unterstützung kritischer oder wichtiger Funktionen gelten zusätzliche Anforderungen, insbesondere an Kontroll- und Prüfungsrechte sowie Ausstiegsregelungen. Nicht jeder Colocation-Vertrag unterliegt deshalb automatisch sämtlichen verschärften DORA-Anforderungen. [7]

4. Wie ein belastbarer Colocation-Vertrag aufgebaut sein sollte

Leistungsgrenzen und Zuständigkeiten

Ein Vertrag sollte den Übergabepunkt jeder wesentlichen Leistung benennen. „Stromversorgung vorhanden“ lässt beispielsweise offen, ob Spannung am Gebäudeeingang, am Rack oder an einer bestimmten Steckdose geschuldet wird. Entsprechendes gilt für Netzkonnektivität und Kühlung.

Eine Verantwortungsmatrix sollte insbesondere festhalten, wer Hardware installiert, Verkabelung verändert, Störungen bewertet, Ersatzteile beschafft und sicherheitskritische Eingriffe freigibt. Bei Tätigkeiten vor Ort sind Identitätsprüfung und dokumentierte Beauftragung wichtig: Ein irrtümlich abgeschalteter Server kann vergleichbare wirtschaftliche Folgen haben wie ein technischer Defekt.

Auch die Rangfolge der Vertragsdokumente sollte geregelt werden. Sonst können Hauptvertrag, Leistungsbeschreibung, Sicherheitsanlage und Allgemeine Geschäftsbedingungen widersprüchliche Vorgaben enthalten. Der gesetzliche Vorrang individueller Vertragsabreden nach § 305b BGB ist dabei zu beachten. [1]

Verfügbarkeit und Reaktionszeiten präzisieren

Ein Service Level Agreement, kurz SLA, sollte mindestens beantworten:

• Welche Komponente wird überwacht?
• An welchem Punkt wird ihre Verfügbarkeit gemessen?
• Welcher Zeitraum ist die Berechnungsgrundlage?
• Wann beginnt und endet eine Störung?
• Welche Wartungen oder Fremdursachen bleiben unberücksichtigt?
• Welche Rechtsfolgen hat eine Unterschreitung?

Reaktionszeit und Wiederherstellungszeit sind zu unterscheiden. Eine Zusage, innerhalb kurzer Zeit ein Ticket zu bearbeiten, garantiert noch keine Wiederherstellung innerhalb desselben Zeitraums.

Auch Wartungsfenster benötigen klare Grenzen. Wenn angekündigte Unterbrechungen unbegrenzt aus der Verfügbarkeitsberechnung herausfallen, kann eine hohe Prozentangabe einen wesentlich schwächeren Schutz vermitteln als erwartet.

Preisbestandteile und Kostenänderungen

Neben dem Grundentgelt können Stromverbrauch, reservierte Leistung, Anschlüsse, Tätigkeiten vor Ort, zusätzliche Sicherungsmaßnahmen und Ausstiegshilfen gesondert berechnet werden, soweit hierfür eine entsprechende Grundlage besteht. Eine belastbare Kalkulation setzt deshalb ein vollständiges Preisverzeichnis und nachvollziehbare Messregeln voraus.

Besonderen Prüfungsbedarf begründen Mindestabnahmen, Mehrverbrauch, kurzfristige Leistungsabrufe und Preisänderungsklauseln. Bei vorformulierten Bedingungen gelten auch zwischen Unternehmen die Anforderungen des § 307 BGB unter Berücksichtigung von § 310 BGB. Intransparente oder unangemessen benachteiligende Regelungen können unwirksam sein. [1]

Notbetrieb und Vertragsende

Der Vertrag sollte Verfahren für Strom- oder Kühlungsausfälle, Brandereignisse, unberechtigte Zutritte und Cyberangriffe vorsehen. Dazu gehören erreichbare Ansprechpartner, Eskalationsstufen und Befugnisse für Notmaßnahmen.

Ebenso wichtig ist die geordnete Beendigung. Zu regeln sind insbesondere Abbauzeiten, Zugang zu den Geräten, Zwischenlagerung, Transportfreigaben und Unterstützungsleistungen. Löschregelungen sollten insbesondere Daten erfassen, die beim Anbieter oder seinen weiteren Dienstleistern verbleiben, etwa Supportkopien oder überlassene Sicherungen. Gesetzliche Aufbewahrungspflichten und bei Auftragsverarbeitung das Wahlrecht des Verantwortlichen nach Art. 28 Abs. 3 Buchst. g DSGVO sind zu berücksichtigen. [2]

Für eine außerordentliche Kündigung können je nach Vertragsgestaltung § 543 BGB oder § 314 BGB maßgeblich sein. Ob zuvor eine Abmahnung oder Abhilfefrist erforderlich ist, hängt von Pflichtverletzung und Umständen ab. Ein einzelner Ausfall eröffnet daher nicht stets ein sofortiges Kündigungsrecht. [1]

5. Haftung, Sicherungsrechte und Insolvenzrisiken

Wer trägt einen Ausfallschaden?

Bei einem Schadensersatzanspruch nach § 280 Abs. 1 BGB muss der Anspruchsteller grundsätzlich die anspruchsbegründende Pflichtverletzung, den Schaden und den Ursachenzusammenhang darlegen und erforderlichenfalls beweisen. Das Vertretenmüssen wird nach § 280 Abs. 1 Satz 2 BGB vermutet; der Schuldner kann sich entlasten. Je nach Anspruch können zusätzliche Voraussetzungen gelten oder besondere Haftungsregelungen eingreifen. Entgangener Gewinn kann nach § 252 BGB ersatzfähig sein, muss aber anhand nachvollziehbarer Umstände begründet werden. [1]

Ein Stromausfall ist nicht automatisch „höhere Gewalt“. War gerade eine überbrückende Ersatzversorgung geschuldet, muss geprüft werden, ob diese funktioniert hat und welche Ausfalldauer vertraglich abgesichert war. Umgekehrt haftet der Betreiber nicht allein deshalb, weil während einer Störung irgendein wirtschaftlicher Nachteil beim Kunden entstanden ist.

Eigene Versäumnisse des Kunden können nach § 254 BGB anspruchsmindernd wirken. Dazu können im Einzelfall unzureichende Backups oder missachtete Sicherheitsanweisungen gehören. Eine allgemeine Pflicht, jeden denkbaren Ausfall durch ein zweites Rechenzentrum abzusichern, folgt daraus jedoch nicht. [1]

Haftungsobergrenzen und Gutschriften

Haftungsbegrenzungen sind nicht allein deshalb wirksam, weil beide Parteien Unternehmen sind. Vorformulierte Klauseln unterliegen insbesondere § 307 BGB. Die Klauselverbote der §§ 308, 309 BGB finden gegenüber Unternehmern nach § 310 Abs. 1 BGB grundsätzlich keine unmittelbare Anwendung; ihre Wertungen können jedoch bei der Inhaltskontrolle relevant sein. Die Haftung für eigenen Vorsatz kann nach § 276 Abs. 3 BGB nicht im Voraus erlassen werden. [1]

Besonders sorgfältig zu prüfen sind Begrenzungen für grobe Fahrlässigkeit, Personenschäden und die Verletzung wesentlicher Vertragspflichten. Die Zulässigkeit hängt insbesondere von Inhalt, Reichweite und Einordnung der jeweiligen Klausel ab.

SLA-Gutschriften sind nicht automatisch vollständiger Schadensersatz. Der Vertrag sollte erkennen lassen, ob sie neben gesetzlichen Ansprüchen stehen, auf diese angerechnet werden oder sie ersetzen sollen. Auch eine als abschließend formulierte Regelung bleibt an zwingendem Recht und gegebenenfalls der AGB-Kontrolle zu messen. [1]

Zugriff auf Hardware bei Zahlungsstreit und Insolvenz

Eigentum an den Servern garantiert nicht in jeder Situation ihre sofortige Mitnahme. Bei einer entsprechend einzuordnenden Grundstücks- oder Raummiete kann ein Vermieterpfandrecht nach § 562 BGB, gegebenenfalls in Verbindung mit § 578 BGB, zu prüfen sein. Aus der bloßen Anmietung eines beweglichen Racks folgt ein solches Pfandrecht dagegen nicht ohne Weiteres. Daneben können wirksam vereinbarte Sicherungsrechte relevant sein. [1]

Werden tatsächlich Lager- und Aufbewahrungspflichten übernommen, kann auch das Lagerrecht nach §§ 467 ff. HGB einschließlich des Pfandrechts nach § 475b HGB einschlägig sein. Nicht jede Colocation ist jedoch ein Lagervertrag. [8]

Bei Insolvenz des Betreibers können Geräte, die nicht zur Insolvenzmasse gehören, grundsätzlich einem Aussonderungsrecht nach § 47 InsO unterliegen. Wer sich dabei auf sein Eigentum beruft, muss dieses und die Zuordnung der betroffenen Geräte nachvollziehbar belegen können. Sicherungsrechte und tatsächliche Zugangshindernisse können die Herausgabe beeinflussen. [9]

Daher sollten Inventarlisten, Seriennummern, Kaufbelege und Angaben zu geleaster Hardware aktuell gehalten werden. Ein dokumentierter Notzugangs- und Abholprozess ergänzt die vertragliche Klärung der Eigentums- und Besitzverhältnisse.

6. Ablauf, Fristen und Belege: Von der Auswahl bis zum Vorfall

Vor Vertragsabschluss

Eine zweckmäßige Prüfung erfolgt in dieser Reihenfolge:

• Schutzbedarf bestimmen: Welche Daten und Geschäftsprozesse hängen vom Standort ab?
• Leistungsmodell abgrenzen: Welche Aufgaben verbleiben beim Kunden, welche übernimmt der Betreiber?
• Rechtsrollen feststellen: Liegen Auftragsverarbeitung, eigene Verarbeitung oder besondere regulatorische Pflichten vor?
• Nachweise prüfen: Decken Prüfberichte und Sicherheitsnachweise den konkreten Standort und die eingekaufte Leistung ab?
• Störungs- und Ausstiegsverfahren vereinbaren: Wer entscheidet, wer handelt, wer trägt welche Kosten?

Zertifikate können die Prüfung unterstützen. Sie ersetzen jedoch weder die Bewertung des konkreten Leistungsumfangs noch ohne Weiteres den Nachweis, dass festgestellte Mängel behoben wurden.

Bei einer Störung

Zunächst sind Schadenbegrenzung, technische Wiederherstellung und Beweissicherung zu koordinieren. Wichtig sind insbesondere Zeitstempel, Tickets, Messwerte, Zutrittsprotokolle, Änderungen an der Infrastruktur und die Kommunikation beider Parteien.

Eine Störung sollte über die vereinbarten Meldewege angezeigt werden. Bei mietrechtlicher Einordnung kann außerdem die Pflicht zur unverzüglichen Mängelanzeige aus § 536c BGB relevant sein. Wer Schadensersatz verlangt, sollte Ursache, betroffene Leistungen und wirtschaftliche Folgen getrennt dokumentieren. [1]

Droht der Verlust technischer Beweise, kann ein selbständiges Beweisverfahren nach § 485 ZPO in Betracht kommen. Die Vorschrift eröffnet unter bestimmten Voraussetzungen auch unabhängig von einem drohenden Beweisverlust Möglichkeiten zur sachverständigen Feststellung. Ob das Verfahren zulässig und zweckmäßig ist, hängt insbesondere vom Beweisgegenstand und der konkreten Verfahrenslage ab. [10]

Datenschutzmeldungen und sonstige Fristen

Bei einer Verletzung des Schutzes personenbezogener Daten muss der Verantwortliche nach Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Die Meldepflicht entfällt, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Erfolgt die Meldung später, ist die Verzögerung zu begründen. [2]

Ein Auftragsverarbeiter informiert den Verantwortlichen nach Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden; für ihn gilt insoweit nicht dieselbe eigene 72-Stunden-Meldefrist gegenüber der Behörde. Hat die Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, ist nach Art. 34 DSGVO grundsätzlich auch deren unverzügliche Benachrichtigung erforderlich, soweit keine gesetzliche Ausnahme greift. [2]

Für besonders wichtige und wichtige Einrichtungen sind daneben die Meldepflichten für erhebliche Sicherheitsvorfälle nach § 32 BSIG gesondert zu prüfen. Die datenschutzrechtliche Bewertung und eine Meldung nach Art. 33 DSGVO ersetzen diese Prüfung und gegebenenfalls erforderliche BSIG-Meldungen nicht. Die unterschiedlichen gesetzlichen Meldewege sollten deshalb im Notfallkonzept getrennt abgebildet werden. [2][4]

Vertragliche Ausschluss- und Meldefristen sind von der gesetzlichen Verjährung zu unterscheiden. Für viele vertragliche Ansprüche gilt die regelmäßige dreijährige Verjährung nach § 195 BGB. Sie beginnt nach § 199 Abs. 1 BGB grundsätzlich mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und der Gläubiger die gesetzlich vorausgesetzte Kenntnis erlangt hat oder ohne grobe Fahrlässigkeit hätte erlangen müssen. Anspruchsart, Sondervorschriften und wirksame Vertragsregelungen können zu anderen Ergebnissen führen. [1]

Typische Fehler

Risiken entstehen etwa durch unklare Verantwortungsgrenzen: Der Kunde erwartet Backups, obwohl nur Stellfläche geschuldet ist; der Betreiber setzt eine Kontaktperson voraus, die nachts nicht erreichbar ist; oder beide Seiten verlassen sich auf die Störungsmeldung der jeweils anderen Partei.

Weitere Risiken sind ungeprüfte Haftungsobergrenzen, lückenhafte Hardwareinventare, unzureichende Ausstiegsregelungen und Sicherheitsnachweise, deren Geltungsbereich den genutzten Standort nicht umfasst. Maßgeblich ist eine konsistente Verbindung von Leistungsbeschreibung, Sicherheitskonzept und überprüfbaren Abläufen.

Häufige Fragen

Gibt es ein besonderes Gesetz für Colocation?

Nein. Die Anforderungen ergeben sich aus mehreren Rechtsgebieten. Zentral sind das BGB und bei personenbezogenen Daten innerhalb ihres Anwendungsbereichs die DSGVO. Hinzukommen können insbesondere BSIG, EnEfG, TKG und branchenspezifische Vorschriften. Welche davon greifen, hängt vom tatsächlichen Leistungsmodell und den beteiligten Unternehmen ab. [1][2][4][5][6][7]

Ist jeder Colocation-Anbieter ein Auftragsverarbeiter?

Nein. Reine Infrastrukturüberlassung ist nicht automatisch Auftragsverarbeitung. Übernimmt der Anbieter dagegen personenbezogene Datenverarbeitung im Auftrag, etwa bestimmte Administrations- oder Sicherungsleistungen, kann Art. 28 DSGVO einschlägig sein. Die Prüfung muss die tatsächlichen Aufgaben und Zugriffswege erfassen. [2]

Reicht ein Rechenzentrum in Deutschland für die Einhaltung der DSGVO?

Nein. Zusätzlich sind unter anderem Rechtsgrundlagen, Sicherheitsmaßnahmen, Rollenverteilung und Löschverfahren zu prüfen. Support- oder Unterauftragnehmerzugriffe aus Drittländern können weitere Anforderungen auslösen. Der Standort ist ein wichtiger, aber kein allein entscheidender Faktor. [2]

Muss der Anbieter Datensicherungen erstellen?

Nicht allein aufgrund der Bezeichnung „Colocation“. Ob der Anbieter Backups schuldet, richtet sich insbesondere nach dem Vertrag. Unabhängig davon müssen Verantwortliche und Auftragsverarbeiter im Rahmen ihrer jeweiligen Verantwortung ein angemessenes Sicherheitsniveau nach Art. 32 DSGVO gewährleisten. Dazu kann die Fähigkeit gehören, Verfügbarkeit und Zugang zu personenbezogenen Daten nach einem Zwischenfall rasch wiederherzustellen. [1][2]

Sind SLA-Gutschriften der einzige Anspruch bei einem Ausfall?

Nicht automatisch. Entscheidend sind die Vertragsregelung, ihre Wirksamkeit und die Voraussetzungen weiterer Ansprüche. Eine Gutschrift kann neben Schadensersatz stehen oder darauf angerechnet werden. Ein umfassender Anspruchsausschluss ist rechtlich gesondert zu prüfen. [1]

Können eigene Server bei Insolvenz des Betreibers abgeholt werden?

Fremdes Eigentum kann grundsätzlich nach § 47 InsO ausgesondert werden. Für die praktische Durchsetzung sind Eigentumsnachweise, eindeutige Geräteidentifikation und die Abstimmung des Zugangs wichtig. Sicherungsrechte und andere rechtliche Hindernisse müssen berücksichtigt werden. Das Aussonderungsrecht berechtigt nicht schon für sich genommen zum eigenmächtigen Betreten fremder Räume. [1][9]

Zusammenfassung

Die rechtliche Qualität einer Colocation-Lösung hängt wesentlich davon ab, ob Leistungen, Zuständigkeiten und Risiken eindeutig zugeordnet sind. Miet-, Dienst- und Werkvertragsrecht können unterschiedliche Teile derselben Vereinbarung prägen. Datenschutzrechtliche Rollen folgen den tatsächlichen Verarbeitungsvorgängen, nicht allein dem Standort oder der Produktbezeichnung.

Ein belastbarer Vertrag verbindet präzise Leistungszusagen mit messbarer Verfügbarkeit, angemessenen Kontrollrechten, nachvollziehbaren Preisen und einem umsetzbaren Notfall- und Ausstiegskonzept. Hinzukommen können gesetzliche Anforderungen an Cybersicherheit, Energieeffizienz und regulierte Kunden. Eine frühzeitige Prüfung und fortlaufende Dokumentation können Betriebsrisiken und spätere Beweisprobleme verringern.