Was ist §203 Hosting?
Timo Wevelsiep•Aktualisiert: 27.08.2026Hinweis zum Inhalt: Versionen, Befehle und Preise können sich ändern. Bitte prüfen Sie kritische Schritte vor dem produktiven Einsatz eigenständig. Dieser Leitfaden ersetzt keine individuelle Beratung.
Sie möchten Open-Source-Software, Supabase oder eine eigene Anwendung in einem auf Berufsgeheimnisse zugeschnittenen Betriebsmodell einsetzen? §203 Managed Cloud ansehen.
§203 Hosting bezeichnet kein einzelnes technisches Produkt und kein allgemein anerkanntes Zertifikat. Gemeint ist in der Praxis ein Cloud- und Betriebsmodell, das die besonderen Anforderungen von Berufsgeheimnisträgern bei der Verarbeitung geschützter Informationen berücksichtigt. Dazu gehören nicht nur der Server, sondern auch die Anwendung, administrative Zugriffe, mitwirkende Dienstleister, Supportwege, Backups und Wiederherstellung.
Die rechtliche Grundlage ist § 203 StGB. Die Vorschrift erfasst unter anderem Ärzte, Psychotherapeuten, Rechtsanwälte, Notare, Steuerberater und Wirtschaftsprüfer. Absatz 3 behandelt die Einbindung sonstiger mitwirkender Personen. Absatz 4 erfasst auch deren Umgang mit fremden Geheimnissen und die Verpflichtung weiterer Mitwirkender. Welche Gestaltung im Einzelfall erforderlich ist, muss die verantwortliche Organisation rechtlich bewerten. Dieser Artikel erklärt die technische Einordnung und ersetzt keine Rechtsberatung.
Warum normales Hosting als Beschreibung zu kurz greift
Ein klassisches Hosting-Angebot beantwortet häufig vier Fragen: Wie viel CPU, Arbeitsspeicher, Speicherplatz und Traffic stehen zur Verfügung? Für einen produktiven Einsatz mit Berufsgeheimnissen reicht diese Sicht nicht.
Zusätzlich sind mindestens folgende Ebenen relevant:
| Ebene | Typische Prüffrage |
|---|---|
| Anwendung | Welche Daten verarbeitet die Software und welche Nutzerwege gibt es? |
| Infrastruktur | Wo laufen Compute, Datenbank, Storage, Logs und Backups? |
| Administration | Wer kann technisch auf Systeme, Daten oder Schlüssel zugreifen? |
| Dienstleister | Welche Parteien wirken an Hosting, Support und Betrieb mit? |
| Betrieb | Wie erfolgen Updates, Monitoring, Störungsbearbeitung und Restore? |
| Lifecycle | Wie werden Daten exportiert, gelöscht und bei einem Wechsel übergeben? |
Ein deutscher Standort kann Teil der Zielarchitektur sein. Er beantwortet aber nicht automatisch, welche Personen im Support mitwirken, wohin Backups repliziert werden oder welche externen Dienste eine Anwendung aufruft.
Die Anwendung gehört zur Vertrauensgrenze
Bei Managed Hosting wird häufig nur die Infrastruktur betrachtet. Moderne Anwendungen verteilen Daten jedoch über mehrere Komponenten:
- Webanwendung und API
- Datenbank und Verbindungspool
- Authentifizierung und Identity Provider
- Datei- oder Objektspeicher
- E-Mail- und Benachrichtigungsdienste
- Protokolle, Fehlertracking und Monitoring
- Backups und Offsite-Kopien
- KI-Modelle, Embeddings oder externe APIs
Deshalb muss die Vertrauensgrenze von der tatsächlichen Anwendung ausgehen. Ein Server kann kontrolliert betrieben sein, während ein SDK im Frontend Nutzungsdaten an einen Drittanbieter sendet. Umgekehrt kann eine Cloud-Umgebung technisch und organisatorisch passend aufgebaut werden, wenn Datenwege, Zugriff und Dienstleister sauber begrenzt sind.
§203 StGB und DSGVO sind zwei getrennte Ebenen
Berufsgeheimnisse und personenbezogene Daten überschneiden sich oft, sind aber nicht dasselbe. Die DSGVO regelt die Verarbeitung personenbezogener Daten. §203 StGB schützt anvertraute oder sonst bekannt gewordene fremde Geheimnisse bestimmter Berufsgruppen.
Für ein Projekt bedeutet das:
- Die datenschutzrechtliche Verarbeitung muss eingeordnet werden.
- Unabhängig davon ist zu prüfen, ob Berufsgeheimnisse betroffen sind.
- Verträge und Verpflichtungen müssen zur tatsächlichen Dienstleisterkette passen.
- Technische und organisatorische Maßnahmen müssen den vorgesehenen Betrieb abdecken.
Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO kann erforderlich sein. Er ist jedoch kein pauschaler Ersatz für die gesonderte Betrachtung des Berufsgeheimnisses.
Was ein Managed-Cloud-Angebot technisch abdecken sollte
Der konkrete Umfang hängt von Anwendung und Kritikalität ab. Ein belastbares Betriebsmodell kann folgende Bausteine enthalten:
- getrennte Produktions- und Administrationszugänge
- MFA, rollenbasierte Rechte und kontrollierte Wartungswege
- Segmentierung von Anwendung, Datenbank und Managementebene
- verschlüsselte Transportwege und ein abgestimmtes Schlüsselkonzept
- Monitoring von Verfügbarkeit, Kapazität und sicherheitsrelevanten Ereignissen
- kontrollierte Updates mit dokumentiertem Änderungsweg
- Backup, Offsite-Sicherung, Aufbewahrung und getestete Wiederherstellung
- nachvollziehbare Incident-, Export- und Löschprozesse
Nicht jeder Workload benötigt dieselbe Architektur. Eine kleine interne Fachanwendung, ein öffentlich erreichbares Mandantenportal und eine KI-Plattform mit Dokumentenverarbeitung unterscheiden sich deutlich bei Angriffsfläche, Verfügbarkeit und Datenflüssen.
Für welche Anwendungen ist der Ansatz relevant?
Typische Einstiege sind:
- KI-generierte Software für Berufsgeheimnisträger, die aus einem Prototyp in einen kontrollierten Produktivbetrieb wechseln soll
- Supabase mit Berufsgeheimnissen, wenn Datenbank, Auth, Storage, Functions und RLS gemeinsam betrachtet werden müssen
- Managed Open Source für Berufsgeheimnisträger, etwa für Zusammenarbeit, Automatisierung, Dokumente oder Identität
- individuelle Fachanwendungen, Portale und APIs
- bestehende Umgebungen, deren Hosting und Betriebsverantwortung übernommen werden sollen
Welche Angaben für eine erste Einordnung genügen
Für den ersten Kontakt sind keine produktiven Zugänge erforderlich. Hilfreich sind:
- Name und Zweck der Anwendung
- grobe Datenarten und Nutzergruppen
- aktueller Stand: Idee, Prototyp, produktiv oder Migration
- verwendete Plattformen und externe Dienste
- gewünschter Betriebsort und bekannte Integrationen
- Anforderungen an Verfügbarkeit, Wiederherstellung und Reaktionszeiten
Auf dieser Basis lässt sich klären, ob zunächst ein technisches Assessment, eine Migration oder direkt der Aufbau einer Zielumgebung sinnvoll ist. Das anschließende Angebot bleibt auf den tatsächlichen Scope zugeschnitten.
Passende WZ-IT-Einstiege
- Die §203 Managed Cloud ist das besondere Betriebsmodell für Berufsgeheimnisse.
- Der AI Code & Production Readiness Audit bewertet bestehende und KI-generierte Anwendungen vor Go-live oder Übernahme.
- Die Supabase-Migration, Managed Supabase und Managed Open Source sind eigenständige Angebote und können bei Bedarf mit der §203 Managed Cloud kombiniert werden.
- Prototype to Production und Softwareentwicklung decken technische Überarbeitung, Weiterentwicklung und Co-Development ab.
Quellen
Anfrage
Anwendung und Betriebsmodell einordnen
Beschreiben Sie Anwendung, Datenarten und Ausgangslage. Wir prüfen unverbindlich, welcher technische Einstieg für den vorgesehenen Betrieb passt.
Häufig gestellte Fragen
Antworten auf die wichtigsten Fragen
Nein. Es gibt kein allgemeines §203-Hosting-Zertifikat. Entscheidend ist die konkrete Verarbeitung mit ihren beteiligten Personen, Vereinbarungen, Zugriffen und technischen Schutzmaßnahmen.
Nein. Der Standort ist nur ein Merkmal. Zusätzlich müssen unter anderem Dienstleisterkette, administrative Zugriffe, Datenflüsse, Backups, Support und Löschung betrachtet werden.
Nein. Datenschutzrecht und strafbewehrte Verschwiegenheit sind getrennte Prüfungen. Ein AV-Vertrag kann erforderlich sein, beantwortet die Anforderungen aus §203 StGB aber nicht allein.
Grundsätzlich ja. Die Lizenz der Software und die Eignung des konkreten Betriebsmodells müssen getrennt geprüft werden. Installation, Zugriffe, Updates, Backups und Integrationen gehören in den Scope.
Ja. Vor einer Übernahme werden Architektur, Datenwege, Zugriffe, Versionen, Backups und Betriebszustand technisch aufgenommen. Daraus entsteht ein individueller Migrations- oder Übernahmeplan.
