OroCommerce Hosting und DSGVO: Anforderungen für den deutschen Mittelstand

Wer OroCommerce in Deutschland einführt, muss nicht nur Funktionen und Kosten bewerten. Ebenso wichtig sind Hosting, Datenschutz, Serverstandort und technische Betriebsverantwortung.

Gerade im deutschen Mittelstand stellen IT-Leitung, Datenschutzbeauftragte, Geschäftsführung oder Mutterkonzern häufig konkrete Fragen:

Wo liegen die Daten?
Wer betreibt die Plattform?
Welche personenbezogenen Daten werden verarbeitet?
Gibt es einen Auftragsverarbeitungsvertrag?
Ist ein US-Cloud-Anbieter zulässig?
Welche technischen Anforderungen muss der Hoster erfüllen?

OroCommerce bietet mehrere Hosting-Optionen. Die richtige Wahl hängt von Sicherheitsanforderungen, DSGVO-Risikobewertung, Skalierungsbedarf und internem IT-Know-how ab.

Wer zunächst die Plattform selbst verstehen möchte, findet im Beitrag OroCommerce Plattform-Überblick eine vollständige Einführung.

Drei Hosting-Optionen für OroCommerce und ihre DSGVO-Implikationen

OroCommerce kann grundsätzlich auf drei Arten betrieben werden:

OroCloud
Eigene Public Cloud
Deutscher Managed Hoster oder eigenes Rechenzentrum

Alle drei Varianten können sinnvoll sein. Sie unterscheiden sich jedoch deutlich in Kontrolle, Aufwand und Datenschutzbewertung.

OroCloud: Managed Hosting durch Oro

OroCloud ist die von Oro Inc. angebotene Managed-Hosting-Option.

Typische Vorteile:

Betrieb durch den Hersteller
abgestimmte Infrastruktur
Monitoring
Updates und Wartungsprozesse
geringerer interner Betriebsaufwand

Der Nachteil: OroCloud basiert typischerweise auf Public-Cloud-Infrastruktur. Auch wenn eine EU-Region gewählt wird, bleibt die rechtliche Bewertung eines US-bezogenen Anbietermodells relevant.

Für viele mittelständische Unternehmen ist OroCloud dennoch attraktiv, wenn Betriebssicherheit und Herstellerverantwortung höher gewichtet werden als maximale Infrastrukturkontrolle.

Eigene Public Cloud: AWS, Azure oder Google Cloud

Eine zweite Option ist der Betrieb auf eigener Cloud-Infrastruktur.

Typische Varianten:

AWS Frankfurt
Microsoft Azure Germany/EU
Google Cloud EU-Regionen

Vorteile:

hohe Skalierbarkeit
moderne Infrastruktur
gute Automatisierbarkeit
professionelles Monitoring

Nachteile:

eigene Betriebsverantwortung
Cloud-Know-how erforderlich
US-Konzern-Thematik bleibt trotz EU-Rechenzentrum relevant

Diese Variante passt vor allem zu Unternehmen mit eigener Cloud-Strategie.

Deutscher Hoster oder eigenes Rechenzentrum

Die dritte Option ist der Betrieb bei einem deutschen Managed Hoster oder im eigenen Rechenzentrum.

Typische Anbieter im deutschen Markt:

Hetzner
IONOS
plusserver
noris network
OVHcloud Deutschland
spezialisierte Managed-Hosting-Partner

Vorteile:

klare Datenresidenz
einfachere DSGVO-Kommunikation
weniger Diskussionen mit Datenschutz und Betriebsrat
häufig geringeres rechtliches Restrisiko

Nachteile:

weniger elastische Skalierung
stärkerer Abstimmungsbedarf
Hosting-Partner muss OroCommerce technisch beherrschen

Für risikosensitive deutsche Mittelständler ist diese Variante häufig die pragmatischste Lösung.

Was die DSGVO konkret für Ihren OroCommerce-Shop bedeutet

Ein B2B-Shop verarbeitet nicht nur Produktdaten. In OroCommerce liegen regelmäßig personenbezogene Daten.

Beispiele:

Ansprechpartner
Einkäufer
Lieferadressen
Bestellungen
Kommunikationshistorien
Angebotsanfragen
Benutzeraktivitäten

Damit ist OroCommerce immer DSGVO-relevant.

Auftragsverarbeitungs-Vertrag

Mit jedem Hosting-Anbieter benötigen Sie einen Auftragsverarbeitungsvertrag.

Das gilt für:

OroCloud
Public Cloud
Managed Hoster
Monitoring-Dienstleister
Backup-Anbieter

Der AVV sollte regeln:

Zweck der Verarbeitung
Datenarten
technische und organisatorische Maßnahmen
Unterauftragnehmer
Löschfristen
Meldewege bei Sicherheitsvorfällen

Datenexport in Drittländer

Bei US-bezogenen Cloud-Anbietern muss geprüft werden, ob Daten in Drittländer übertragen werden oder ob ein Zugriff aus Drittländern möglich ist.

Relevant sind:

EU-US Data Privacy Framework
Standardvertragsklauseln
Transfer Impact Assessment
Unterauftragnehmer
Support-Zugriffe

Die rechtliche Bewertung sollte immer gemeinsam mit Datenschutzbeauftragten erfolgen.

Personenbezogene Daten in OroCommerce

Typische personenbezogene Daten in OroCommerce:

Datenart	Beispiel
Benutzerkonto	Name, E-Mail, Rolle
Bestellung	Ansprechpartner, Lieferadresse
Angebot	Anfrage, Kommunikation
Aktivität	Login, Statusänderung
CRM-Daten	Kontakte, Historie, Notizen

Gerade durch die Nähe zu OroCRM können zusätzliche Vertriebsdaten entstehen. Diese müssen im Datenschutzkonzept berücksichtigt werden.

Technische Anforderungen an einen OroCommerce-Hoster

OroCommerce ist keine einfache Shared-Hosting-Anwendung. Ein geeigneter Hoster sollte Enterprise-PHP-Anwendungen sicher betreiben können.

Software-Stack

Typische technische Anforderungen:

PHP 8.x
PostgreSQL oder MySQL
Redis
RabbitMQ
Elasticsearch oder OpenSearch
Composer
CLI-Zugriff
Cronjobs
Queue-Worker
Monitoring
Backup-System

Mehr zur technischen Grundlage finden Sie im Beitrag Implementierungsablauf und Projektplanung.

Servergrößen nach Projekttyp

Projekttyp	Empfehlung
Kleines B2B-Portal	4–8 vCPU, 16–32 GB RAM
Mittelständisches Portal	8–16 vCPU, 32–64 GB RAM
Großes Portal	16+ vCPU, 64–128 GB RAM
Enterprise/Multi-Org	skalierte Multi-Server-Architektur

Die tatsächliche Dimensionierung hängt ab von:

Artikelanzahl
Benutzerzahl
Suchlast
Preislogik
Integrationen
Caching-Strategie

Backup, Disaster Recovery und Monitoring

Für produktive B2B-Portale sollten mindestens folgende Punkte definiert sein:

tägliche Backups
Point-in-Time-Recovery
getrennte Backup-Speicherung
Monitoring für Applikation und Infrastruktur
Alerting
Log-Auswertung
Wiederanlaufplan
regelmäßige Restore-Tests

Gerade bei geschäftskritischen Portalen reicht ein Backup ohne getestete Wiederherstellung nicht aus.

Datenschutz-Funktionen in OroCommerce

OroCommerce bietet gute technische Voraussetzungen für Datenschutzprozesse.

Trotzdem müssen viele Anforderungen projektspezifisch umgesetzt werden.

Löschkonzepte und Anonymisierung

Die DSGVO verlangt, dass personenbezogene Daten gelöscht oder anonymisiert werden können, wenn kein legitimer Aufbewahrungsgrund mehr besteht.

In B2B-Projekten ist das anspruchsvoll, weil Bestellungen, Rechnungen und handelsrechtliche Aufbewahrungspflichten berücksichtigt werden müssen.

Ein gutes Löschkonzept unterscheidet deshalb zwischen:

Benutzerkonto
Kontaktperson
Bestellhistorie
Rechnungsdaten
CRM-Aktivitäten

Auskunftspflicht nach Art. 15 DSGVO

Betroffene Personen können Auskunft über gespeicherte Daten verlangen.

Dafür muss geklärt sein:

Welche Daten liegen in OroCommerce?
Welche Daten liegen im ERP?
Welche Daten liegen im CRM?
Welche Daten liegen in Logsystemen?

OroCommerce kann technisch unterstützen. Die eigentliche Auskunftslogik muss jedoch organisatorisch definiert werden.

Datenexport nach Art. 20 DSGVO

Über APIs können Daten exportiert werden.

Das ist hilfreich für:

Auskunftsanfragen
Migrationen
interne Prüfprozesse

Wichtig ist: Der Export muss fachlich sinnvoll strukturiert sein und darf keine Daten anderer Ansprechpartner oder Kunden offenlegen.

Schrems II und US-Cloud-Provider: Was praktisch zählt

Die Rechtslage rund um US-Cloud-Anbieter hat sich seit 2020 mehrfach verändert. Mit dem EU-US Data Privacy Framework besteht seit 2023 wieder ein Angemessenheitsbeschluss für zertifizierte US-Unternehmen.

Trotzdem bleibt das Thema in vielen Unternehmen sensibel.

Data Privacy Framework

Das Data Privacy Framework erleichtert den Einsatz zertifizierter US-Anbieter. Für viele Unternehmen ist das eine wichtige rechtliche Grundlage.

Trotzdem sollten geprüft werden:

Zertifizierungsstatus
Unterauftragnehmer
Support-Zugriffe
Verschlüsselung
Datenresidenz
interne Risikobewertung

Restrisiko bei US-Konzernen

Auch mit EU-Rechenzentrum kann ein Restrisiko bestehen.

Besonders relevant bei:

Konzernvorgaben
Betriebsrat
kritischen Kundendaten
regulierten Branchen
öffentlichen Auftraggebern

Für risikoaverse Unternehmen kann ein deutscher Hoster deshalb die einfachere Entscheidung sein.

Pragmatische Empfehlungen für den DACH-Mittelstand

Wenn Datenschutz-Risiko niedrig gehalten werden soll

Empfehlung: Deutscher Managed Hoster oder deutsches Rechenzentrum.

Besonders geeignet für:

Maschinenbau
Industrie
öffentliche Auftraggeber
regulierte Branchen
Unternehmen mit strengen Datenschutzvorgaben

Wenn Skalierung und Herstellerbetrieb wichtiger sind

Empfehlung: OroCloud oder Public Cloud in EU-Region.

Geeignet für:

internationale Rollouts
hohe Lastspitzen
Unternehmen mit Cloud-Strategie
Teams ohne eigenes Betriebs-Know-how

Wenn internes IT-Know-how vorhanden ist

Empfehlung: Eigene Cloud- oder On-Premise-Architektur.

Geeignet für:

Unternehmen mit DevOps-Team
bestehender Kubernetes- oder Cloud-Infrastruktur
klarer Betriebsverantwortung

Kostenwirkung der Hosting-Entscheidung

Hosting ist nicht nur eine technische Frage. Die Wahl beeinflusst auch das Budget.

Typische Jahreskosten:

Hosting-Modell	Typische Kosten/Jahr
Deutscher Managed Hoster	12.000–60.000 €
Eigene Public Cloud	15.000–80.000 €
OroCloud	ab ca. 50.000 €
Enterprise-Setup mit Hochverfügbarkeit	80.000 €+

Eine detaillierte Budgetbetrachtung finden Sie im Beitrag OroCommerce Kosten und Preismodelle.

Fazit

OroCommerce lässt sich grundsätzlich DSGVO-konform in Deutschland betreiben. Die entscheidende Frage lautet nicht, ob es möglich ist, sondern welches Betriebsmodell am besten zu Ihrem Risikoprofil passt.

Für viele deutsche Mittelständler gilt:

maximale Rechtssicherheit: deutscher Managed Hoster
maximale Skalierung: OroCloud oder Public Cloud
maximale Kontrolle: eigener Betrieb
geringster Betriebsaufwand: OroCloud

Wichtig ist, Hosting und DSGVO nicht erst kurz vor Go-Live zu klären.

Diese Entscheidungen gehören bereits in die Architekturphase eines OroCommerce-Projekts.

So unterstützt Unit M dabei

Sie möchten OroCommerce DSGVO-konform und mit passendem Hosting-Modell betreiben?

Unit M unterstützt B2B-Unternehmen bei Hosting-Strategie, Architektur, Datenschutzbewertung und Auswahl geeigneter Betriebsmodelle – vom deutschen Managed Hoster bis zur skalierbaren Cloud-Architektur.

FAQ

Kann OroCommerce DSGVO-konform in Deutschland betrieben werden?

Ja. OroCommerce kann bei deutschen Hostern, in EU-Rechenzentren oder in eigenen Rechenzentren betrieben werden. Entscheidend sind Hosting-Vertrag, AVV, Datenflüsse und technische Schutzmaßnahmen.

Ist OroCloud DSGVO-konform?

OroCloud kann DSGVO-konform eingesetzt werden, wenn EU-Region, Vertragsgrundlagen, Unterauftragnehmer und technische Maßnahmen korrekt geprüft und dokumentiert werden.

Welche Hosting-Option ist für deutsche Mittelständler am sichersten?

Für Unternehmen mit geringem Risikoappetit ist ein deutscher Managed Hoster oft die pragmatischste Lösung.

Welche technischen Anforderungen hat OroCommerce?

Typisch sind PHP 8.x, PostgreSQL oder MySQL, Redis, RabbitMQ, Elasticsearch/OpenSearch, Queue-Worker, Backups und Monitoring.

Muss OroCommerce zwingend in der Cloud betrieben werden?

Nein. OroCommerce kann auch on-premise, bei einem deutschen Hoster oder in einer eigenen Cloud-Umgebung betrieben werden.