Storage VPS im Kleinunternehmen: DSGVO und GoBD

Darf das Firmenarchiv auf einen gemieteten Storage VPS?

Ja. Ein Storage VPS darf die Ausgangsrechnungen, Verträge, Projektarchive und die Sicherung der Büro-NAS eines deutschen Kleinunternehmens tragen. Dafür müssen zwei Dinge stimmen: Sie schließen mit dem Hoster einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, und Sie setzen die steuerlichen Pflichten aus §147 AO und den GoBD technisch um. Die Arbeit liegt dabei fast vollständig bei Ihnen, nicht beim Anbieter.

Dieser Text ist keine Rechtsberatung. Er ordnet jeder Pflicht eine konkrete Maßnahme auf einem Linux-Server zu. Fristen und Einzelfälle klären Sie mit Ihrem Steuerberater, datenschutzrechtliche Zweifel mit einer Fachanwältin oder einem Fachanwalt für IT-Recht. Die allgemeine, international geschriebene Fassung steht in der DSGVO-Checkliste für gemietete Storage-VPS. Hier geht es um die deutschen Besonderheiten.

Der AVV nach Art. 28 DSGVO ist Pflicht, auch beim verschlüsselten Archiv

Sobald personenbezogene Daten auf fremder Hardware liegen, ist der Hoster Auftragsverarbeiter und Sie bleiben Verantwortlicher. Personenbezogen sind schon Name und Anschrift auf Ihren Ausgangsrechnungen. Ein Firmenarchiv ohne personenbezogene Daten gibt es im Kleinunternehmen praktisch nicht.

Ein verbreitetes Missverständnis vorweg: Clientseitige Verschlüsselung befreit nicht von der AVV-Pflicht. Der Hoster speichert die Daten weiterhin, und Speichern ist eine Verarbeitung nach Art. 4 Nr. 2 DSGVO. Die Verschlüsselung wirkt an einer anderen Stelle. Sie ist eine technische Maßnahme nach Art. 32 und senkt das Risiko erheblich, weil der Anbieter nur Chiffrat halten kann. An der Rolle ändert sie nichts.

Worauf Sie im Vertrag konkret schauen:

• Weisungsbindung und die Frage, wie Weisungen dokumentiert werden (Art. 28 Abs. 3 lit. a).
• Die Liste der Unterauftragsverarbeiter, mit Name und Sitz, dazu die Regel, wie der Anbieter Änderungen ankündigt und wie Sie widersprechen.
• Die technischen und organisatorischen Maßnahmen nach Art. 32 als benannte Anlage. Der Satz "nach dem Stand der Technik" ohne Aufzählung ist keine Anlage.
• Der Ort der Verarbeitung, ausdrücklich einschließlich Support und Fernwartung. Ein Rechenzentrum in Nürnberg hilft wenig, wenn der First-Level-Support aus einem Drittland auf die Hypervisor-Konsole sieht.
• Löschung oder Rückgabe der Daten nach Vertragsende (Art. 28 Abs. 3 lit. g), mit Frist und mit Nachweis.
• Unterstützung bei Betroffenenrechten und bei Meldungen nach Art. 33, mit einer Reaktionszeit, die zu der 72-Stunden-Frist passt.
• Kontrollrechte und die akzeptierten Nachweise. In der Praxis sind das ISO 27001 oder ein BSI-C5-Testat, nicht ein Vor-Ort-Termin, den Sie nie wahrnehmen werden.

Zwei deutsche Zusatzpflichten fallen erfahrungsgemäß hinten runter. Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO müssen auch kleine Betriebe führen, denn die Ausnahme in Art. 30 Abs. 5 greift kaum, sobald Sie Beschäftigtendaten oder regelmäßig Kundendaten verarbeiten. Und wer Berufsgeheimnisträger ist, also Kanzlei, Praxis oder Steuerberatung, prüft zusätzlich §203 StGB: sonstige mitwirkende Personen dürfen seit der Reform 2017 einbezogen werden, wenn das erforderlich ist und Sie sie ausdrücklich zur Geheimhaltung verpflichten.

Standort: warum ein Rechenzentrum in Deutschland allein nicht reicht

Der Standort beantwortet zwei getrennte Fragen, und Anbieterseiten vermischen sie gern.

Datenschutzrechtlich geht es um Übermittlungen in Drittländer nach Art. 44 ff. DSGVO. Eine Übermittlung beginnt nicht erst beim Kopieren einer Datei. Schon die Zugriffsmöglichkeit zählt, also der Fernzugriff eines Administrators aus einem Drittland ebenso wie eine Konzernmutter, die Verwaltungszugänge hält. Fragen Sie deshalb nach dem Sitz des Vertragspartners, nach dem Sitz aller Unterauftragnehmer und nach dem Ort, von dem aus administriert wird.

Steuerrechtlich geht es um §146 AO. Elektronische Bücher und sonstige erforderliche Aufzeichnungen dürfen nach §146 Abs. 2a AO in einem Mitgliedstaat der EU geführt und aufbewahrt werden. Für Drittstaaten sieht §146 Abs. 2b AO eine Mitteilung an das Finanzamt vor, und die Behörde kann die Bewilligung widerrufen. Den aktuellen Wortlaut und die Frage, ob er auf Ihre Konstellation passt, bespricht Ihr Steuerberater. Praktisch heißt das: ein Standort in der EU erspart Ihnen eine Diskussion, die Sie sonst schriftlich führen müssen. Welche Anbieter hier betreiben und was Datenresidenz kostet, steht in der Übersicht der Storage-VPS-Anbieter in Deutschland und in der Rechnung zu Datenresidenz in der EU.

GoBD und §147 AO: wie lange, und in welcher Form

Die Aufbewahrungsfristen stehen in §147 Abs. 3 AO. Sie unterscheiden sich nach Unterlagenart, und seit dem Vierten Bürokratieentlastungsgesetz sind Buchungsbelege kürzer aufzubewahren als früher.

[
  {
    "label": "Jahresabschl\u00fcsse, Handelsb\u00fccher, Inventare",
    "jahre": 10,
    "notes": "unver\u00e4ndert"
  },
  {
    "label": "Buchungsbelege",
    "jahre": 8,
    "notes": "seit 1.1.2025, zuvor 10 Jahre"
  },
  {
    "label": "Handels- und Gesch\u00e4ftsbriefe",
    "jahre": 6,
    "notes": "unver\u00e4ndert"
  }
]

Jahresabschlüsse und Handelsbücher bleiben bei 10 Jahren. Für Buchungsbelege gelten seit dem 1. Januar 2025 8 Jahre statt zuvor zehn, für Handels- und Geschäftsbriefe 6 Jahre. Für Sonderfälle, etwa nach §147a AO oder im Finanzsektor, gelten Abweichungen. Die Frist beginnt erst mit dem Ende des Kalenderjahres, in dem der letzte Eintrag gemacht wurde, weshalb ein Beleg aus dem Januar faktisch fast ein Jahr länger liegt als die Zahl vermuten lässt. Lassen Sie jede Frist vom Steuerberater bestätigen, bevor Sie einen Löschlauf schreiben.

Für die Form gelten die GoBD, zuletzt das BMF-Schreiben vom 28. November 2019. Für ein Archiv auf einem Storage VPS sind vier Punkte daraus wichtig.

Erstens das Originalformat. Ein Dokument ist so aufzubewahren, wie es eingegangen ist. Seit dem 1. Januar 2025 muss jedes inländische Unternehmen E-Rechnungen im B2B-Bereich empfangen können, die Versandpflicht greift gestaffelt ab 2027 und 2028 (Stand September 2026). Eine strukturierte Rechnung gehört als XML ins Archiv. Bei ZUGFeRD steckt dieses XML im PDF/A-3, und ein "Drucken nach PDF" entfernt es. Danach haben Sie ein Bild der Rechnung, aber nicht mehr den aufbewahrungspflichtigen Originalzustand.

Zweitens die maschinelle Auswertbarkeit und der Datenzugriff nach §147 Abs. 6 AO. Die Prüfung darf unmittelbaren Zugriff, mittelbaren Zugriff über Ihre Auswertungen oder die Überlassung auf einem Datenträger verlangen. Ihr Archiv muss also innerhalb einer üblichen Frist lesbar gemacht werden können. Genau deshalb ist die Schlüsselverwaltung weiter unten kein Nebenthema.

Drittens die Unveränderbarkeit. Dazu gleich der eigene Abschnitt.

Viertens die Verfahrensdokumentation. Sie beschreibt, wie ein Beleg in Ihr Archiv gelangt, wer Zugriff hat, wie unveränderbar gespeichert wird, wie wiederhergestellt wird und wie am Ende gelöscht wird. Ohne sie ist auch das technisch beste Archiv im Zweifel formell mangelhaft, denn geprüft wird das Verfahren, nicht nur die Datei.

Was "unveränderbar" auf einem Linux-Server technisch heißt

Die GoBD verlangen, dass Aufzeichnungen nicht ohne Kenntlichmachung geändert oder gelöscht werden können, und lassen dafür Hardware, Software oder organisatorische Maßnahmen zu. Ein gewöhnliches Verzeichnis auf ext4 erfüllt das nicht, weil jeder Prozess mit Schreibrecht eine Datei ersetzen kann und danach nichts mehr davon zeugt. Sie brauchen also eine Schicht, die Änderungen verhindert, und eine zweite, die Änderungen erkennbar macht.

Die erste Stufe sind die Dateiattribute von ext4 und xfs.

sudo chattr +a /srv/archiv/2026
sudo chattr +i /srv/archiv/2026/*.pdf
lsattr -d /srv/archiv/2026

lsattr zeigt danach ein a in der Attributliste des Verzeichnisses. Auf einem Verzeichnis bedeutet +a: neue Dateien dürfen angelegt werden, vorhandene dürfen weder gelöscht noch umbenannt werden. Ein rm antwortet mit Operation not permitted. Wichtig ist die Lücke dabei: eine vorhandene Datei lässt sich weiterhin an Ort und Stelle überschreiben, weil das Verzeichnisattribut nur Löschen und Umbenennen abdeckt. Deshalb bekommen die fertigen Belege zusätzlich +i, was jede Änderung sperrt.

Diese Sperren schützen gegen ein fehlerhaftes Skript und gegen einen übernommenen Client im Büro. Sie schützen nicht gegen root auf demselben Server, denn root entfernt die Attribute mit chattr -a und chattr -i wieder. Sagen wir es deutlich: echtes WORM (write once, read many), das auch gegen den Administrator hält, gibt es auf einem gewöhnlichen Storage VPS nicht. Das kann Objektspeicher mit S3 Object Lock im Compliance-Modus, weil die Sperre im Speicherdienst selbst sitzt. Auf einem Server, dessen root-Passwort Sie halten, bleiben starke organisatorische Maßnahmen plus Nachweisbarkeit.

Nachweisbarkeit heißt Prüfsummen.

cd /srv/archiv/2026
find . -type f ! -name SHA256SUMS -print0 | sort -z | xargs -0 sha256sum > SHA256SUMS
sha256sum -c SHA256SUMS

sha256sum -c meldet je Datei OK oder FAILED. Eine Zeile mit FAILED bedeutet, dass sich der Inhalt geändert hat, seit die Liste geschrieben wurde. Bewahren Sie diese Liste zusätzlich außerhalb des VPS auf, etwa im Buchhaltungsordner Ihres Arbeitsplatzes. Liegt sie nur neben den Daten, ändert derselbe Zugriff Datei und Prüfsumme in einem Zug, und der Nachweis ist wertlos.

Clientseitig verschlüsseln, damit der Hoster nichts lesen kann

Wenn Sie vor dem Hochladen verschlüsseln, hält der Anbieter nur Chiffrat. Das ist die wirksamste Einzelmaßnahme nach Art. 32 DSGVO, und sie entschärft den unangenehmsten Fall, nämlich einen Vorfall beim Dienstleister. restic bringt die Verschlüsselung mit, ein Zusatzwerkzeug brauchen Sie nicht.

sudo apt install -y restic
install -d -m 700 "$HOME/.restic"
head -c 32 /dev/urandom | base64 > "$HOME/.restic/passwd"
chmod 600 "$HOME/.restic/passwd"
export RESTIC_REPOSITORY=sftp:archiv@vps.example.net:/srv/archiv/buero
export RESTIC_PASSWORD_FILE="$HOME/.restic/passwd"
restic init
restic backup /srv/nas/rechnungen /srv/nas/vertraege --tag archiv-2026
restic snapshots

restic init legt das Repository an und verschlüsselt es mit einem Schlüssel, den nur dieses Passwort öffnet. restic snapshots listet danach den Lauf mit ID, Datum und Pfaden. Kommt stattdessen Fatal: unable to open repository ... wrong password or no key found, passt die Passwortdatei nicht zu diesem Repository. Gehören die Quelldateien root, läuft der Sicherungslauf über sudo -E oder als systemd-Unit, sonst überspringt restic Dateien mit Permission denied und der Lauf ist unvollständig.

Schlüsselverwaltung ist hier keine Fußnote, sondern Teil der Aufbewahrungspflicht. Verlieren Sie das Passwort, ist das Archiv unlesbar, und unlesbar wirkt gegenüber einer Betriebsprüfung wie nicht vorhanden. Legen Sie deshalb einen zweiten Schlüssel an und hinterlegen Sie ihn außerhalb des Servers.

restic key add --host buero --user vertretung
restic key list

restic key list zeigt danach zwei Schlüssel für dasselbe Repository. Das zweite Passwort gehört ausgedruckt in den Safe oder in einen Passwortmanager, dessen Wiederherstellung Sie ebenfalls getestet haben.

Wer statt eines Repositories eine gespiegelte Dateikopie will, nimmt rclone mit einem crypt-Remote. rclone config legt zuerst das Ziel an, dann darüber ein crypt-Remote, das Dateinamen und Inhalte verschlüsselt.

rclone sync /srv/nas/vertraege krypt:vertraege --progress
rclone cryptcheck /srv/nas/vertraege krypt:vertraege

rclone cryptcheck entschlüsselt die Prüfsummen der Gegenseite und vergleicht sie mit den lokalen Dateien. Am Ende steht 0 differences found. Die Verfahren und ihre Nachteile vergleicht die Anleitung zur Verschlüsselung auf dem Storage VPS.

Ein Archiv einrichten, das nur wachsen kann

Der Zugang, der jede Nacht schreibt, darf nicht auch löschen dürfen. Wird der Büro-Rechner verschlüsselt, hat der Angreifer sonst dieselben Zugangsdaten wie Ihr Sicherungslauf, und das Archiv verschwindet mit. Sowohl BorgBackup als auch restic können das serverseitig verhindern.

Bei Borg steckt die Sperre im erzwungenen Kommando der Datei authorized_keys auf dem Storage VPS:

command="borg serve --append-only --restrict-to-path /srv/borg/buero",restrict ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIBeispielSchluessel buero-client

restrict schaltet Portweiterleitung, Agent-Forwarding und Terminal ab, --restrict-to-path bindet die Sitzung an ein Verzeichnis. --append-only wirkt auf die Segmentdateien des Repositories: der Server hängt nur an. Borg nennt die Einschränkung selbst, und sie ist wichtig. Ein borg delete oder borg prune läuft auf dem Client weiterhin durch, es gibt aber keinen Speicher frei. Über die Datei transactions im Repository sehen Sie die Transaktionen mit Zeitstempel und können auf einen früheren Stand zurückgehen, indem Sie die Segmentdateien entfernen, die nach der letzten vertrauenswürdigen Transaktion entstanden sind. Für Wartung legen Sie einen zweiten Schlüssel mit einem Kommando ohne --append-only an, den nur Sie benutzen.

Bei restic übernimmt das der rest-server, den Sie auf dem Storage VPS betreiben:

sudo apt install -y apache2-utils
htpasswd -B -c /srv/restic/.htpasswd buero
rest-server --path /srv/restic --listen 127.0.0.1:8000 --append-only --htpasswd-file /srv/restic/.htpasswd

Davor gehört ein Reverse Proxy mit TLS (transport layer security), das Repository heißt dann rest:https://archiv.example.net/buero/. Ein restic forget --prune gegen diesen Server schlägt fehl, weil er Löschanfragen ablehnt. Genau das ist der Zweck: der Client, der schreibt, darf nicht löschen.

Wiederherstellung testen, und den Test dokumentieren

Ein Archiv, das nie zurückgelesen wurde, ist eine Vermutung. Die GoBD verlangen ohnehin, dass die Unterlagen jederzeit lesbar gemacht werden können, der Test ist also keine Kür.

restic check --read-data-subset=10%
restic restore latest --target /tmp/restore-test --include /srv/nas/rechnungen/2025
cd /tmp/restore-test/srv/nas/rechnungen/2025 && sha256sum -c SHA256SUMS

restic check prüft die Struktur des Repositories, und --read-data-subset=10% liest zusätzlich zehn Prozent der Datenblöcke und rechnet deren Prüfsummen nach. Am Ende steht no errors were found. Erscheint eine Zeile mit Pack ID does not match, ist das Repository beschädigt, und Sie brauchen die zweite Kopie. Ein Test pro Quartal ist ein brauchbarer Rhythmus.

Ins Protokoll gehören je Test:

• Datum, Uhrzeit und die ausführende Person.
• Repository und Snapshot-ID.
• Umfang des Tests: welche Verzeichnisse, wie viele Dateien, welche Datenmenge.
• Ergebnis der Prüfsummenkontrolle, im Zweifel die Ausgabe von sha256sum -c als abgelegte Datei.
• Dauer bis zur vollständigen Wiederherstellung. Diese Zahl brauchen Sie für die Verfahrensdokumentation und für die Frage, ob Sie einen Prüfungstermin halten können.

Welches Werkzeug sich dabei wie verhält und wo die Unterschiede im Betrieb liegen, zeigt der Vergleich von restic und BorgBackup.

Löschen, wenn die Frist abgelaufen ist

Aufbewahren ist eine Pflicht mit einem Ende. Nach Fristablauf entfällt die Rechtsgrundlage, und die Daten sind zu löschen. Hier stoßen Append-only und Löschpflicht aufeinander, und Sie lösen das nicht spontan, sondern als geplanten Vorgang mit einem eigenen Zugang.

Bei Borg nehmen Sie dafür den Wartungsschlüssel ohne --append-only, löschen die Archive des betroffenen Jahrgangs und geben den Platz frei:

borg delete --match-archives 'sh:archiv-2016-*' /srv/borg/buero
borg compact /srv/borg/buero

Bei restic starten Sie den rest-server für die Dauer der Wartung ohne --append-only und lassen dann laufen:

restic forget --tag archiv-2016 --prune

restic forget entfernt die Snapshots, --prune gibt anschließend die Datenblöcke frei, die von keinem verbliebenen Snapshot mehr gebraucht werden. Danach schalten Sie den Server zurück in den Append-only-Modus. Halten Sie Datum, Umfang und ausführende Person fest, denn ein Löschlauf ist ein Teil des Verfahrens und gehört in die Dokumentation.

Ein Sonderfall betrifft Daten, deren Löschung eine betroffene Person verlangt, die aber noch steuerlich aufzubewahren sind. Art. 17 Abs. 3 lit. b DSGVO nimmt solche Daten vom Löschanspruch aus, solange die Pflicht besteht. Üblich ist dann die Einschränkung der Verarbeitung nach Art. 18 DSGVO: die Daten bleiben liegen und werden nur noch für den Aufbewahrungszweck genutzt. Technisch heißt das ein eigenes Verzeichnis mit engeren Rechten, nicht ein rm. Ob die Vernichtung des Schlüssels als Löschung genügt, wird unterschiedlich beurteilt. Lassen Sie sich diese Frage von Ihrer Datenschutzberatung schriftlich beantworten, bevor Sie sich darauf verlassen.

Wo die Grenze liegt: gutes Archiv, keine Backup-Strategie

Ein Storage VPS ist ein sehr gutes Archiv und eine sehr gute zweite Kopie. Eine Backup-Strategie ist er nicht, weil eine einzige Kopie bei einem einzigen Anbieter ein einziger Ausfallbereich bleibt. Ein Zahlungsverzug, eine gesperrte Kundenkennung oder ein Fehler beim Anbieter trifft dann alle Daten gleichzeitig. Die 3-2-1-Regel verlangt drei Kopien auf zwei verschiedenen Medien oder bei zwei Anbietern, davon eine außer Haus. Der Storage VPS ist typischerweise das "außer Haus", nicht die ganze Regel. Welche Fälle er nicht abdeckt, steht in der Einordnung, ob ein Storage VPS ein Backup ist. Dass die Snapshots aus dem Kundenpanel diese Rolle ebenfalls nicht übernehmen, zeigt der Vergleich von Snapshots und Backups, und wie Archiv und produktiver Server sauber zusammenspielen, beschreibt die Kopplung von Storage VPS und Haupt-VPS.

FAQ

Brauche ich einen AVV, wenn ich meine Daten clientseitig verschlüssele?

Ja. Der Hoster speichert die Daten, und Speichern ist eine Verarbeitung nach Art. 4 Nr. 2 DSGVO. Damit ist er Auftragsverarbeiter, und Art. 28 DSGVO verlangt einen Vertrag. Die Verschlüsselung wirkt an anderer Stelle: sie ist eine technische Maßnahme nach Art. 32 und senkt Risiko und Folgen einer Panne deutlich, weil der Anbieter nur Chiffrat halten kann. Üblich ist beides zusammen, Vertrag und Verschlüsselung.

Wie lange muss ich Buchungsbelege in Deutschland aufbewahren?

Nach §147 Abs. 3 AO gelten für Buchungsbelege seit dem 1. Januar 2025 8 Jahre statt der früheren zehn. Jahresabschlüsse, Handelsbücher und Inventare bleiben bei 10 Jahren, Handels- und Geschäftsbriefe bei 6 Jahren. Die Frist beginnt mit dem Ende des Kalenderjahres der letzten Eintragung. Für Sonderfälle, etwa nach §147a AO, gelten abweichende Regeln. Lassen Sie Ihre konkreten Fristen vom Steuerberater bestätigen, bevor Sie automatisch löschen.

Reicht ein Rechenzentrum in Deutschland für die DSGVO aus?

Nein, der Serverstandort ist nur ein Teil der Antwort. Entscheidend ist zusätzlich, wer Zugriff hat und von wo. Ein Support-Team oder eine Muttergesellschaft in einem Drittland kann eine Übermittlung nach Art. 44 ff. DSGVO auslösen, auch wenn die Platte in Frankfurt steckt. Prüfen Sie den Sitz des Vertragspartners, die Liste der Unterauftragsverarbeiter und den Ort der Administration, und lassen Sie sich das im AVV zusagen. Steuerlich kommt §146 Abs. 2a AO dazu, der für elektronische Bücher auf die EU abstellt.

Macht chattr +a mein Archiv unveränderbar im Sinne der GoBD?

Allein nicht. chattr +a auf einem Verzeichnis verhindert Löschen und Umbenennen darin, chattr +i auf den fertigen Dateien verhindert zusätzlich das Überschreiben. Beides ist ein wirksamer Schutz gegen fehlerhafte Skripte und gegen einen übernommenen Client. root auf demselben Server entfernt die Attribute jedoch wieder, also hält es gegen den Administrator nicht. Kombinieren Sie es mit einem Repository im Append-only-Modus, mit Prüfsummenlisten außerhalb des Servers und mit einer Verfahrensdokumentation, die den Ablauf beschreibt. Für echtes WORM brauchen Sie einen Speicherdienst mit Object Lock.