Wer ein UniFi-Netzwerk betreibt, verarbeitet personenbezogene Daten – oft ohne es zu merken. Der Controller kennt jedes verbundene Gerät, protokolliert Verbindungen und speichert je nach Konfiguration sehr genaue Informationen zur Nutzung. Sobald du ihn nicht mehr im eigenen Serverraum betreibst, sondern bei einem Hoster oder über Cloud-Dienste verwaltest, stellt sich die Frage: Was verlangt die DSGVO, und worauf solltest du bei der Wahl des Hostings achten? Dieser Ratgeber gibt dir einen praxisnahen Überblick. Er ersetzt keine Rechtsberatung, hilft dir aber, die richtigen Fragen zu stellen.
Welche personenbezogenen Daten verarbeitet ein UniFi Controller?
Personenbezogen sind nach der DSGVO alle Daten, die sich einer Person zuordnen lassen – direkt oder über Zusatzwissen. Im Netzwerkbetrieb betrifft das mehr, als viele denken. Ubiquiti selbst weist in seiner FAQ zur Analytics-Datenerfassung darauf hin, dass schon die MAC-Adresse eines Geräts nach Auffassung mancher Aufsichtsbehörden als personenbezogenes Datum gilt und entsprechend behandelt werden muss. Im Controller fallen typischerweise an:
- Client-Daten: MAC- und IP-Adressen der verbundenen Geräte, also von Notebooks und Smartphones deiner Mitarbeitenden oder Gäste.
- Geräte- und Traffic-Erkennung: Mit einem UniFi-Gateway erkennt die Funktion Device Identification laut Ubiquiti Hersteller, Modell und Betriebssystem der Clients. Traffic Identification zeigt, welche Art von Datenverkehr – etwa welche Apps – über das Gateway läuft.
- Traffic Flows: Ab UniFi Network 9.1 protokolliert das Gateway auf unterstützten Modellen detaillierte Verbindungsdaten, darunter Quell- und Ziel-Ports, übertragene Datenmengen und Sitzungsdauer. Je nach Host speichert UniFi laut Ubiquiti bis zu mehrere Millionen Einträge.
- Gästenetz und Hotspot: Nutzt du das Hotspot-Portal, kommen je nach Anmeldeverfahren weitere Daten hinzu, etwa bei Facebook-Login, Bezahlung über Stripe oder Anmeldung per RADIUS.
- Administratoren: Konten der Admins, die den Controller verwalten.
Das heißt nicht, dass du diese Funktionen nicht nutzen darfst. Es heißt aber, dass die DSGVO greift – und zwar unabhängig davon, wo der Controller läuft.
Deine Rolle: Du bleibst Verantwortlicher
Als Betreiber des Netzwerks bist du bzw. dein Unternehmen datenschutzrechtlich der Verantwortliche. Lagerst du den Betrieb des Controllers an einen Hoster aus, verarbeitet dieser die Daten in deinem Auftrag. Dafür schreibt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung (AVV) vor. Darin wird unter anderem festgelegt, dass der Dienstleister nur nach deiner Weisung handelt, welche technischen und organisatorischen Maßnahmen (TOM) er trifft und ob er weitere Unterauftragnehmer einsetzt.
Zusätzlich gehört die Netzwerkverwaltung in dein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Für viele kleine Unternehmen ist das eine überschaubare Aufgabe, sollte aber nicht vergessen werden.
Wo liegen die Daten? Serverstandort und Drittlandtransfer
Der Serverstandort ist kein Selbstzweck, aber er vereinfacht vieles. Werden personenbezogene Daten in ein Land außerhalb der EU bzw. des EWR übermittelt, müssen zusätzlich die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein – etwa ein Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln. Für die USA gibt es seit 2023 das EU-U.S. Data Privacy Framework (DPF), unter dem sich US-Unternehmen zertifizieren können.
Liegen Controller und Backups ausschließlich in Deutschland, entfällt diese Prüfung für das Hosting selbst. Das ist vor allem dann hilfreich, wenn deine Kunden oder dein Datenschutzbeauftragter einen klaren Nachweis verlangen.
Ubiquiti-Dienste nicht vergessen
Auch wenn der Controller in Deutschland läuft, können Ubiquiti-eigene Cloud-Dienste ins Spiel kommen. Zwei Punkte solltest du kennen:
Remote Management und Site Manager
Über den UniFi Site Manager unter unifi.ui.com verwaltest du deine Deployments zentral mit deinem UI-Account. Laut Ubiquiti ist Remote Management bei der Ersteinrichtung standardmäßig aktiviert. Ubiquiti gibt an, dass die Daten bei der Übertragung verschlüsselt werden, und verweist auf seine Datenschutzerklärung. Darin erklärt Ubiquiti, am EU-U.S. Data Privacy Framework teilzunehmen. Für deine Dokumentation bedeutet das: Nutzt du den Site Manager, ist Ubiquiti als weiterer Beteiligter zu berücksichtigen. Wer das vermeiden möchte, kann UniFi laut Ubiquiti auch rein lokal ohne Cloud-Management verwalten. Mehr dazu in unserem Ratgeber zum UniFi Site Manager.
Analytics & Improvements
Ubiquiti betreibt ein Analytics-Framework zur Produktverbesserung. Personenbezogene Daten wie MAC-Adressen werden laut Ubiquiti nur erfasst, wenn der Administrator die Option Analytics & Improvements aktiviert hat – im Site Manager in den Geräteeinstellungen oder unter UniFi OS > Console Settings > Advanced. Andere, nicht personenbezogene Daten, etwa welche Funktionen aktiviert sind, werden automatisch übermittelt. Prüfe, ob diese Option bei dir aktiv ist, und entscheide bewusst.
Datenminimierung: Nur erfassen, was du brauchst
Die DSGVO verlangt Datenminimierung und Speicherbegrenzung (Art. 5 Abs. 1 lit. c und e). Für UniFi heißt das: Funktionen, die viele Nutzungsdaten erzeugen, solltest du bewusst einsetzen.
- Traffic Flows sind wertvoll für Sicherheit und Fehlersuche. Lege fest, wofür du sie brauchst, wer sie einsehen darf und wie lange exportierte Logs – etwa per CSV, NetFlow (IPFIX) oder an ein SIEM – aufbewahrt werden.
- SSL Deep Inspection auf Enterprise-Gateways entschlüsselt Datenverkehr. Ubiquiti selbst empfiehlt den Modus Specific und rät im Modus All, Websites aus Gesundheits-, Behörden- und Finanzbereich auszunehmen, da dort vertrauliche Informationen anfallen. Im Modus Specific lassen sich zudem Suchanfragen von Nutzern einsehen. Hier ist besondere Vorsicht geboten.
- Mitarbeitende: Technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen in Betrieben mit Betriebsrat dessen Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG). Kläre Auswertungen auf Nutzerebene vorher intern ab.
Checkliste: Worauf du beim UniFi-Hosting achten solltest
| Kriterium | Worauf achten? |
|---|---|
| Serverstandort | Controller und Backups in Deutschland bzw. der EU |
| Auftragsverarbeitung | AVV nach Art. 28 DSGVO, Liste der Unterauftragnehmer |
| Technische Sicherheit | Firewall, DDoS-Schutz, TLS-Zertifikat, Updates |
| Rechenzentrum | Nachweisbare Zertifizierung, z. B. ISO/IEC 27001 |
| Backups | Regelmäßige Sicherungen, ebenfalls innerhalb der EU |
| Ubiquiti-Cloud-Dienste | Bewusste Entscheidung zu Site Manager und Analytics |
| Zugriffe | Admin-Rollen sparsam vergeben, Zwei-Faktor-Authentifizierung |
| Löschung | Was passiert mit den Daten bei Kündigung? |
Zur technischen Absicherung des Controllers selbst findest du Details im Ratgeber UniFi Controller absichern, zur Sicherung deiner Konfiguration im Beitrag UniFi Controller Backup & Wiederherstellung.
Fazit
DSGVO-konformes Netzwerk-Hosting ist kein Hexenwerk, erfordert aber einen klaren Blick auf die Datenflüsse. Du bleibst Verantwortlicher, brauchst mit deinem Hoster einen AVV und solltest wissen, welche Ubiquiti-Dienste zusätzlich beteiligt sind. Ein Controller mit Datenspeicherung ausschließlich in Deutschland nimmt dir die Prüfung des Drittlandtransfers für das Hosting ab. Bei clevendo läuft dein UniFi Controller in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum mit täglichen Backups, die in ein weiteres deutsches Rechenzentrum gespiegelt werden. Jetzt den UniFi Cloud Controller von clevendo ansehen.
Häufige Fragen
Ist eine MAC-Adresse ein personenbezogenes Datum?
Das kann der Fall sein, wenn sich das Gerät einer Person zuordnen lässt. Ubiquiti selbst schreibt, dass die MAC-Adresse nach Auffassung mancher Regulierungsbehörden als personenbezogenes Datum gilt und entsprechend behandelt werden muss.
Brauche ich einen AVV mit meinem UniFi-Hoster?
Ja, wenn der Hoster personenbezogene Daten in deinem Auftrag verarbeitet – und das ist bei einem gehosteten Controller mit Client-Daten regelmäßig der Fall. Art. 28 DSGVO schreibt dafür einen Vertrag zur Auftragsverarbeitung vor.
Reicht ein Serverstandort in Deutschland für DSGVO-Konformität?
Nein. Er vereinfacht die Bewertung, weil kein Drittlandtransfer für das Hosting vorliegt. Du brauchst trotzdem einen AVV, angemessene Sicherheitsmaßnahmen, eine Dokumentation im Verarbeitungsverzeichnis und eine bewusste Entscheidung zu zusätzlichen Diensten wie dem Ubiquiti Site Manager.
Kann ich UniFi ohne Ubiquiti-Cloud betreiben?
Laut Ubiquiti ist UniFi Local Management auch für komplett abgeschottete Setups ohne Cloud-Management gedacht. Dann verzichtest du allerdings auf Funktionen des Site Managers wie die zentrale Fernverwaltung über unifi.ui.com.
Sendet UniFi Daten an Ubiquiti?
Über das Analytics-Framework werden laut Ubiquiti nicht personenbezogene Daten, etwa zu aktivierten Funktionen, automatisch übermittelt. Personenbezogene Daten wie MAC-Adressen werden nur erfasst, wenn der Administrator die Option „Analytics & Improvements“ aktiviert hat.