Hosting und Domain für den Schweizer Shop: Anforderungen und Vertragsprüfung

Vom Katalog zum Betrieb: Was ein Schweizer Shop vom Hoster verlangt

Der Beobachter nennt drei Prüfpunkte für die Hosting-Wahl: die nötige Speicherkapazität, den Umfang des Kundenservice des Hosters und den für die eigenen Bedürfnisse besten Preis. Wer sie mit Zahlen belegt statt Tarife zu vergleichen, verhandelt über konkrete Grössen statt über Paketnamen.

Die Produktzahl bestimmt das Paket: Der Webshop von Hostpoint ist in vier Stufen mit 1'000, 10'000, 100'000 und 200'000 Produkten gegliedert. Mehrsprachigkeit gibt es in der dritten Stufe bis 3 Sprachen und in der vierten bis 14 Sprachen; eine eBay-Anbindung und ein API-Zugang für eigene Apps nur in der grössten Stufe.

Wer Mehrsprachigkeit oder eine Anbindung an eigene Systeme erst später braucht, plant den Stufenwechsel und dessen Preissprung von Anfang an ein.

Auch die Zahlungsarten hängen vom Paket ab: In der kleinsten Stufe ist PayPal enthalten; PostFinance und Saferpay kommen ab der mittleren Stufe hinzu, die Trusted-Shops-Anbindung erst in den grösseren Paketen. Je nach Stufe gehören 500 GB (Smart Webhosting) oder 1000 GB (Business Webhosting) Webspace dazu. Die Speicherfrage aus der Bedarfsanalyse lässt sich an der Paketgrenze ablesen, nicht am einzelnen Posten.

Zur Hosting-Wahl gehört die Domain-Frage. Hostpoint verwaltet als grösster Schweizer Webhosting-Anbieter über 1,3 Millionen Domainnamen. Bei FireStorm sind im Paket FireSmall unlimitiert Domains, 50 GB Mailspeicher und 10 E-Mail-Konten eingeschlossen. Wer mehrere Domains betreiben will, hält die Zahl deshalb schon in der Anforderungsliste fest.

Die Support-Erwartung gehört schriftlich in die Anforderungsliste: Hostpoint gibt an, Kunden auch an Wochenenden telefonisch zu erreichen. Ob dieser Kanal genügt, hängt davon ab, wann verkauft wird – ein Shop mit Umsatz am Sonntagabend braucht eine Antwort ausserhalb der Bürozeiten.

Serverstandort Schweiz: Wo die Daten liegen und warum das zählt

Der Datenstandort ist eine Vertragsfrage, keine Marketingfrage. FireStorm formuliert sie konkret: Speicherung ausschliesslich in Schweizer Rechenzentren, kein Datentransfer ins Ausland, volle Kontrolle über den Standort der Daten; die Preise beginnen bei CHF 4.95 pro Monat. Wer das prüft, fragt nicht nach «Schweiz» im Werbetext, sondern nach dem Rechenzentrumsstandort und danach, ob Daten – auch Backups und Supportzugriffe – ins Ausland fliessen können.

Die rechtliche Einordnung liefert der Anbieter mit: Das Schweizer Datenschutzgesetz (DSG) gehöre zu den strengsten weltweit; die EU erkennt sein Schutzniveau als gleichwertig an. Seit 2023 gilt das neue DSG, wie der Datenschutz-Generator festhält; es ist inhaltlich nah an der DSGVO, während die DSGVO insgesamt strengere Regelungen enthält. Der Standort Schweiz ist daher ein Argument für Datenhoheit, aber keine allgemeine Freistellung von Datenschutzpflichten.

Die Verantwortung ist gesetzlich festgelegt: Die Verordnung über den Datenschutz verlangt, dass Verantwortlicher und Auftragsbearbeiter den Schutzbedarf der Personendaten bestimmen, um eine angemessene Datensicherheit zu gewährleisten. Das ist der Ausgangspunkt für die Frage, welche Schutzmassnahmen im Vertrag stehen müssen – nicht der Katalog des Hosters.

Zwei Konstellationen sind auseinanderzuhalten: Das DSG erfasst nicht nur Schweizer, sondern auch deutsche oder österreichische Unternehmen und Webseitenbetreiber. Wer Kundinnen und Kunden in der EU bedient, muss abklären, ob zusätzlich die DSGVO greift. Ein Server in der Schweiz beantwortet die Standortfrage, nicht automatisch die Frage nach dem anwendbaren Recht.

Auftragsverarbeitung und Zugriff: Was im Vertrag stehen muss

FireStorm nennt als prüfbare Leistungspunkte: SSL-Verschlüsselung für die Datenübertragung kostenlos inklusive, tägliche Backups gegen Datenverlust, Zugriffskontrollen und Protokollierung für die Nachvollziehbarkeit der Datenverarbeitung, DDoS-Schutz sowie ein ISO-27001-zertifiziertes Rechenzentrum.

Entscheidend sind das Wort «verschlüsselt» bei den Backups und die Kombination von Zugriffskontrolle und Protokollierung: Ein Backup, das jeder Support-Mitarbeiter einsehen kann, erfüllt die Nachvollziehbarkeit nicht.

Der Auftragsverarbeitungsvertrag (AVV) ist bei diesem Anbieter «auf Anfrage verfügbar» – er kommt also nicht automatisch mit der Bestellung. Wer ihn nicht vor der Unterschrift einfordert, hat ihn danach möglicherweise nicht. Der Vertrag sollte zudem festhalten, wer welche Massnahmen schuldet.

Preis, Laufzeit und Kündigung: die Vertragsklauseln unter der Lupe

Schweizer Hosting-Angebote werden sehr unterschiedlich gerechnet. FireStorm verkauft Pakete mit 36 Monaten Laufzeit, wahlweise mit 12 oder 24 Monaten. FireSmall kostet CHF 5.90 pro Monat im 3-Jahres-Abo; FireLarge CHF 4.95 pro Monat im ersten Jahr und danach CHF 8.90 pro Monat – beworben als 50 % Rabatt im ersten Jahr.

Der Webshop von Hostpoint wird wahlweise mit 1 Monat oder 12 Monaten Laufzeit angeboten, mit 3 geschenkten Monaten; danach kostet Webshop S 29.00, M 49.00, L 99.00 und XL 149.00 CHF pro Monat. Die Spannweite reicht damit von monatlicher Bindung bis zu einem 36-Monats-Vertrag.

Für die Vertragsprüfung folgt daraus eine Rechnung über die ganze Laufzeit statt über den Einstiegspreis. Massgeblich sind die Kosten nach Ablauf der Aktion und allfällige Preissprünge, nicht der beworbene Einstiegspreis.

Parallel ist die Kündigungsklausel zu lesen: Bei Hostpoint ist während der ersten 3 Monate jederzeit kündbar; diese Phase entspricht den geschenkten Monaten. Als Gegenmodell zur langen Bindung nennt Metanet eine 30-Tage-Geld-zurück-Garantie für sein Webhosting aus der Schweiz – eine Rückgabefrist ist aber kein Ersatz für eine kurze Kündigungsfrist, wenn der Shop nach der Testphase wächst.

Die Domain läuft im selben Vertrag mit: FireSmall enthält unlimitiert Domains und wird mit 36 Monaten Laufzeit verkauft, wahlweise mit 12 oder 24 Monaten. Wer die Domain später zu einem anderen Anbieter ziehen will, muss deshalb nicht nur die Kündigungsfrist des Hostings kennen, sondern auch die Fristen des Domainvertrags.

Domain und Pflichtangaben: Was auf jeder Shopseite sichtbar sein muss

Die Pflicht steht in Art. 3 Abs. 1 Bst. s Ziff. 1 des Bundesgesetzes gegen den unlauteren Wettbewerb (UWG): Wer im Internet oder sonst im elektronischen Geschäftsverkehr Waren, Werke oder Leistungen anbietet, muss klare und vollständige Angaben über seine Identität und seine Kontaktadresse einschliesslich der elektronischen Post machen. Sie gilt seit über einem Jahrzehnt.

Ob die Angebote ganz oder teilweise kostenlos sind, spielt keine Rolle – eine E-Mail-Adresse gehört zwingend ins Impressum.

Der Kreis der Betroffenen ist weiter, als viele annehmen: Erfasst sind nicht nur klassische Onlineshops, sondern auch Filesharing- und Social-Media-Plattformen sowie die Angebote von Cloud-Dienstleistern und Webhosting-Anbietern. Nicht impressumspflichtig sind rein private oder sonstige nicht kommerzielle Tätigkeiten.

Laut Metanet unterliegen kommerzielle Websites und Onlineshops stets der Pflicht, Unternehmenswebsites ebenfalls, auch wenn kein direkter Verkauf stattfindet. Freiberufler und Selbständige, die ihre Dienstleistungen online bewerben, müssen ein Impressum führen. Sobald Werbung geschaltet oder Affiliate-Links eingebunden werden, ändert sich die Sachlage auch bei einer ursprünglich privaten Seite.

Metanet nennt als gesetzliche Grundlagen das Zusammenspiel von Obligationenrecht (OR), UWG und der Verordnung über die Bekanntgabe von Preisen (PBV) und behandelt Platzierung und Erreichbarkeit des Impressums als eigenen Punkt. Für die Vertragsprüfung heisst das, Platzierung und Erreichbarkeit früh mitzudenken; die konkrete Ausgestaltung hängt vom Einzelfall ab.

Die Quelle weist zudem darauf hin, dass ein fehlendes oder verdächtiges Impressum als Indiz für unseriöse Angebote dient; dieselbe Erwartung richtet die Kundschaft an den eigenen Shop.

Datenschutzerklärung, AGB und Urheberrecht: nicht alles in einen Topf

Impressum und Datenschutzerklärung werden häufig verwechselt, sind aber zwei verschiedene Dokumente: Das Impressum beantwortet, wer hinter der Website steht; die Datenschutzerklärung, was mit den Personendaten geschieht. Metanet führt die Abgrenzung eigens als Abschnitt.

Der Beobachter listet weitere Bausteine eines Webauftritts auf, die je nach Inhalt und Zweck zu prüfen sind: Partnerinhalte, Urheberrecht einschliesslich des Rechts am eigenen Bild, Namensrecht, Impressumspflicht, AGB, Datenschutzerklärung, Werbung sowie internationale Websites. Massgeblich ist, ob E-Commerce betrieben wird oder nicht – ein Onlineshop löst mehr Prüfpunkte aus als eine reine Informationsseite.

Beim Urheberrecht ist die Trennlinie klar: Geschützt sind Inhalte, wenn eine individuelle geistige Schöpfung vorliegt, dazu zählen Fotos, Videos, Musik und Texte. Solche Inhalte dürfen ohne Zustimmung des Urhebers nicht öffentlich verbreitet werden; zulässig ist nur die Nutzung für den Eigengebrauch. Eine Website gilt als öffentlich, ein fremdes Bild darauf ist also in der Regel eine Verletzung.

Der Beobachter weist darauf hin, dass Anwälte und Bildagenturen systematisch nach illegal verwendeten Bildern suchen und Website-Betreiber abmahnen sowie Schadensersatz fordern. Produktbilder und Texte gehören deshalb mit Herkunft und Nutzungsrecht dokumentiert.

Prüfcheckliste vor der Unterschrift

Für das Vertragsgespräch ergibt sich eine Reihenfolge. Erstens: Wo stehen die Daten, und ist der Rechenzentrumsstandort Schweiz so zugesichert, dass auch Backups und Supportzugriffe nicht ins Ausland führen? Zweitens: Liegt der Auftragsverarbeitungsvertrag vor – nicht als Zusage, sondern als Dokument, das vor der Unterschrift eingefordert wird? Drittens: Sind Umfang und Takt der Backups, die Verschlüsselung, die Zugriffskontrollen und die Protokollierung im Leistungsumfang genannt?

Viertens: Laufzeit und Kündigungsfrist, einschliesslich der Frage, ob die Kündbarkeit nur während einer Aktionsphase gilt. Fünftens: der Preis nach Ablauf der Aktion, gerechnet über die gesamte Laufzeit und nicht über den Einstiegspreis. Sechstens: die Erreichbarkeit des Supports, insbesondere ausserhalb der Bürozeiten, wenn in diesen Zeiten verkauft wird.

Der letzte Punkt liegt ausserhalb des Hosting-Vertrags und wird trotzdem oft übersehen: die Kontrolle der eigenen Domain. Zu prüfen ist, wer als Inhaber registriert ist, wer DNS und Nameserver verwaltet, welche Verlängerungs- und Kündigungsfristen gelten und wie ein Transfer geregelt ist. Bei .ch-Domains ist zu klären, welche Vorgaben der Registrierungsstelle gelten.

Ob Domain und Hosting vom selben Anbieter kommen, ist selbst eine Vertragsentscheidung. Zusammen erleichtert das die Verwaltung, bindet die Domain aber an den Hostingvertrag und dessen Laufzeit. Inhaberschaft, DNS-Verwaltung und Verlängerung sind deshalb getrennt schriftlich zu halten.

Ebenso zu prüfen ist, ob das Impressum die Identität und die Kontaktadresse einschliesslich E-Mail-Adresse vollständig nennt, ob es von jeder Shop-Seite aus erreichbar ist und ob Impressum und Datenschutzerklärung getrennt geführt werden. Bei einem Shop mit ausländischer Kundschaft kommt die Frage hinzu, welche zusätzlichen Regelwerke gelten.