Odoo-Hosting und DSGVO: Standort und Auftragsverarbeitung

Was die DSGVO von Ihnen verlangt

Verantwortlicher ist, wer über die Zwecke und Mittel einer Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO); Auftragsverarbeiter ist, wer personenbezogene Daten im Auftrag eines anderen verarbeitet (Art. 4 Nr. 8 DSGVO). Soweit in Ihrer Odoo-Datenbank personenbezogene Daten liegen und Sie über die Zwecke und Mittel ihrer Verarbeitung entscheiden, sind Sie dafür Verantwortlicher. Setzen Sie die Datenbank dagegen im Auftrag Dritter ein, etwa als Dienstleister für die Daten Ihrer Kunden, sind Sie für diese Daten selbst Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO), und Odoo S.A. tritt für sie als weiterer Auftragsverarbeiter auf. Die Rolle folgt der tatsächlichen Verarbeitung: Wer nur Zugang zu einer Datenbank hat, wird dadurch allein nicht zum Auftragsverarbeiter.

Wer einen Dienstleister damit beauftragt, personenbezogene Daten in seinem Auftrag zu verarbeiten, braucht mit ihm einen Vertrag, der Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Rechte und Pflichten des Verantwortlichen festhält (Art. 28 Abs. 3 DSGVO). Er ist schriftlich zu schließen, elektronisch genügt (Art. 28 Abs. 9 DSGVO). Weitere Dienstleister darf ein Auftragsverarbeiter nur mit Ihrer vorherigen schriftlichen Genehmigung einsetzen; bei einer allgemeinen Genehmigung muss er Ihnen eine beabsichtigte Änderung mitteilen, damit Sie widersprechen können (Art. 28 Abs. 2 DSGVO). Für einen solchen weiteren Auftragsverarbeiter schließen Sie selbst keinen Vertrag: Der erste Auftragsverarbeiter muss ihm vertraglich dieselben Datenschutzpflichten auferlegen (Art. 28 Abs. 4 DSGVO).

Wer bei welchem Modell welche Rolle hat

Über die Rollen entscheidet die tatsächliche Verarbeitung, nicht die Edition. Der GDPR-Leitfaden von Odoo trennt drei Fälle: In der Odoo Cloud (Odoo Online, Odoo.sh und weitere Enterprise-Dienste) ist der Kunde Verantwortlicher für seine Datenbank und Odoo S.A. Auftragsverarbeiter; für eine Datenbank auf eigener Infrastruktur (On-Premise) nennt der Leitfaden keine Rolle von Odoo S.A., solange die Daten nicht über einen Dienst wie das Cloud-Hosting oder das Upgrade an Odoo S.A. übertragen werden (Abschnitt 6.5 des Abonnementvertrags); für die Kontodaten auf odoo.com ist Odoo S.A. selbst Verantwortlicher und Verarbeiter. Diese Einordnung gilt für den Fall, dass der Kunde über die Zwecke und Mittel der Verarbeitung in seiner Datenbank entscheidet; der Leitfaden formuliert sie als Regelfall, und Abschnitt 6.5 des Abonnementvertrags geht davon aus, dass der Kunde für die personenbezogenen Daten seiner Datenbank Verantwortlicher ist. Setzen Sie die Datenbank im Auftrag Dritter ein, sind Sie für diese Daten Auftragsverarbeiter und Odoo S.A. Ihr weiterer Auftragsverarbeiter; den Einsatz muss Ihr Vertrag mit Ihrem Auftraggeber genehmigen (Art. 28 Abs. 2 DSGVO), und der weitere Auftragsverarbeiter muss vertraglich dieselben Pflichten übernehmen (Art. 28 Abs. 4 DSGVO).

Für diese Kontodaten brauchen Sie keinen Auftragsverarbeitungsvertrag: Art. 28 DSGVO betrifft nur die Verarbeitung im Auftrag. Zwecke, Aufbewahrung und Dienstleister stehen in der Datenschutzerklärung des Anbieters.

Auftragsverarbeiter, Datenort und Vertrag je Modell

Die Tabelle stellt die drei Hostingarten und den Fall der Kontodaten nebeneinander. Stand aller Angaben ist der 14. Oktober 2026.

Hostingmodell	Wer ist Auftragsverarbeiter	Wo die Daten liegen	Welcher Vertrag nötig ist
Odoo Online (SaaS im Enterprise-Abonnement)	Odoo S.A. für die Datenbank des Kunden, soweit dieser über deren Zwecke und Mittel entscheidet (Art. 4 Nr. 7 DSGVO); als Unterauftragnehmer nennt die Datenschutzerklärung Google Cloud EMEA Ltd und OVH S.A.S., für Nicht-EU-Regionen zusätzlich Amazon Web Services	Produktionsrechenzentren der gewählten Region; Region Europa: Frankreich und Belgien, Sicherungen in Frankreich, den Niederlanden und Schweden ohne Kanada für neue Kunden ab Odoo 19.0 (andere EU-gehostete Kunden bis zur Umstellung zusätzlich Kanada; Einzelheiten unten)	Abschnitt 6.5 Data Protection des Odoo-Enterprise-Abonnementvertrags, Version 13 vom 24. September 2026; nach dem GDPR-Leitfaden ohne gesonderte Annahme durch Sie
Odoo.sh (PaaS im Enterprise-Abonnement)	Odoo S.A. für die Datenbank des Kunden, soweit dieser über deren Zwecke und Mittel entscheidet (Art. 4 Nr. 7 DSGVO)	Produktions- und Sicherungsdatenbanken in der gewählten Region; Region Europa wie bei Odoo Online: Produktion in Frankreich und Belgien, Sicherungen in Frankreich, den Niederlanden und Schweden ohne Kanada für neue Kunden ab Odoo 19.0 (andere EU-gehostete Kunden bis zur Umstellung zusätzlich Kanada)	derselbe Abschnitt 6.5 Data Protection des Odoo-Enterprise-Abonnementvertrags, Version 13 vom 24. September 2026
On-Premise: eigener oder gemieteter Server, den Sie oder ein Dienstleister betreiben	jede Stelle, die Sie selbst beauftragen und die personenbezogene Daten aus Ihrer Datenbank in Ihrem Auftrag verarbeitet, etwa ein Hosting- oder IT-Dienstleister; Odoo S.A. hat nach dem Leitfaden keine Rolle, solange Sie Ihre Datenbank nicht über einen Dienst wie das Cloud-Hosting oder das Upgrade an Odoo S.A. übertragen – für eine übertragene Datenbank oder Teile davon ist Odoo S.A. Auftragsverarbeiter (Abschnitt 6.5)	dort, wo Sie oder Ihr Anbieter den Server betreiben; liegt er außerhalb des EWR, gilt Kapitel V (Art. 44 DSGVO)	Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO mit jeder Stelle, die Sie selbst beauftragen; für Unterauftragsverarbeiter Ihrer Dienstleister gilt Art. 28 Abs. 2 und 4 DSGVO; betreiben Sie den Server selbst ohne externe Stelle, brauchen Sie keinen
Kontodaten auf odoo.com (Vertrag, Rechnungen, Ansprechpartner)	Odoo S.A. selbst, nicht als Auftragsverarbeiter	nach der Datenschutzerklärung; dort stehen auch Zwecke, Aufbewahrung und Dienstleister	keiner: Für diese Daten ist Odoo S.A. Verantwortlicher, Art. 28 DSGVO greift hier nicht

Hinweise zur Tabelle: Die Rollen in den ersten beiden Zeilen und in der Zeile On-Premise stehen unter der Bedingung, dass der Kunde über die Zwecke und Mittel der Verarbeitung in seiner Datenbank entscheidet; setzt er die Datenbank im Auftrag Dritter ein, sind seine Auftraggeber die Verantwortlichen, er selbst ist für diese Daten Auftragsverarbeiter (Art. 4 Nr. 7 und 8 DSGVO) und Odoo S.A. ist für sie ein weiterer Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Die Hauptregion wählen Sie selbst, für alle Kunden einer Region gelten dieselben Sicherungsorte. Die Unterauftragnehmer können Sie nicht auswählen. Eine allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 DSGVO verlangt, dass Ihr Vertragspartner Ihnen beabsichtigte Änderungen mitteilt; prüfen Sie, wie Ihr Vertrag das regelt, und sehen Sie die Liste in der Datenschutzerklärung von Zeit zu Zeit durch. Wie sich die Modelle technisch unterscheiden, steht unter Hosting-Optionen für Odoo; welche Klauseln der Vertrag sonst enthält, unter Odoo-Enterprise-Vertrag: Pflichten.

Wo die Daten liegen und wann Kapitel V gilt

Für die Region Europa nennt die Datenschutzerklärung Frankreich und Belgien als Produktionsstandorte und Frankreich, die Niederlande und Schweden als Sicherungsorte; alle vier sind EU-Mitgliedstaaten. Die Sicherungen ohne Kanada gelten laut der Fußnote für neue Kunden, die Odoo 19.0 oder neuer nutzen; andere EU-gehostete Kunden haben bis zum Abschluss der Umstellung, die dort mit dem vierten Quartal 2026 angegeben wird, zusätzlich eine Sicherung in Kanada. Diese Übermittlung stützt sich auf den Angemessenheitsbeschluss 2002/2/EG vom 20. Dezember 2001 für Empfänger, die dem kanadischen Personal Information Protection and Electronic Documents Act unterliegen; er gilt nach Art. 45 Abs. 9 DSGVO fort.

Odoo hält mindestens drei redundant verteilte Sicherungskopien je Kundendatenbank vor und nennt in der Cloud-SLA zusätzlich eine vierte, unveränderliche Kopie in einem Kältespeicher. Die Sicherungsorte sind nicht wählbar. Für ein reguläres Cloudhosting stützt sich eine Übermittlung in ein Drittland auf einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder auf geeignete Garantien nach Art. 46 Abs. 1 DSGVO, etwa von der Kommission erlassene Standarddatenschutzklauseln (Art. 46 Abs. 2 Buchst. c DSGVO); daneben lässt Art. 49 DSGVO Ausnahmen für bestimmte Fälle zu, etwa die ausdrückliche Einwilligung der betroffenen Person, die Erfüllung eines Vertrags mit ihr oder die Geltendmachung von Rechtsansprüchen. Für die Produktionsstandorte außerhalb der EU nennt die Datenschutzerklärung unter anderem die USA, Singapur, Taiwan, Indien, Saudi-Arabien und Australien; dort müssen Sie die Grundlage der Übermittlung prüfen. Die Erklärung kennzeichnet die Standorte, die in der EU liegen oder einem Angemessenheitsbeschluss unterliegen. Zusätzlich schreibt Odoo dort, dass Konzernmitarbeiter in anderen Ländern auf Daten zugreifen können und Odoo dafür EU-Standardvertragsklauseln mit den Tochtergesellschaften verwendet.

Für selbst betriebene Installationen gilt nichts davon: Ort und Sicherungen bestimmen Sie, und die Betriebspflichten bleiben bei Ihnen (Odoo On-Premise: Aufwand).

Wird das Abonnement beendet, bleibt die Datenbank drei Wochen deaktiviert und wird dann gelöscht; personenbezogene Daten können bis zu zwölf Monate in den Sicherungen liegen. Odoo verpflichtet sich, diese Sicherungskopien gelöschter Daten nur zur Erhaltung der Integrität seiner Sicherungen zu nutzen, außer Sie oder das Gesetz verlangen eine Nutzung. Der Abonnementvertrag verlangt in Abschnitt 6.5 Buchst. h, dass Odoo S.A. auf Ihre Wahl löscht oder zurückgibt, soweit kein Gesetz die Aufbewahrung verlangt.

Seit wann diese Fassungen gelten

Die DSGVO gilt seit 25. Mai 2018 (Art. 99 Abs. 2 DSGVO). Die Datenschutzerklärung von Odoo trägt den Geltungsbeginn 24. September 2026 und verlinkt archivierte Fassungen; der Enterprise-Abonnementvertrag trägt die Fassung Version 13 vom 24. September 2026. Vergleichen Sie diese Stände mit Ihren Vertragsunterlagen. Den GDPR-Leitfaden lesen Sie als Beschreibung der Praxis, nicht als Vertragstext: Er trägt weder Versionsnummer noch Datum.

Was Sie zusätzlich prüfen sollten

• Auch beim Selbsthosting greifen die Klauseln, wenn Sie Ihre Datenbank für das Upgrade an Odoo S.A. übertragen; Abschnitt 6.5 nennt den Database Upgrade Service ausdrücklich.
• Test- und Stagingkopien enthalten die personenbezogenen Daten der Produktion: Neutralisiert werden laut Dokumentation Funktionen wie geplante Aktionen, ausgehende E-Mails und Zahlungsanbieter; eine Löschung der Daten nennt die Liste nicht. Auch die Kopie ist eine Verarbeitung (Art. 4 Nr. 2 DSGVO).
• Soweit Sie Verantwortlicher sind, bleiben Ihnen das Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), die Sicherheit der Verarbeitung (Art. 32 DSGVO), die Meldung von Datenpannen (Art. 33 DSGVO) und die Anträge Betroffener. Der Auftragsverarbeiter muss Ihnen eine Panne unverzüglich melden (Art. 33 Abs. 2 DSGVO) und Ihnen Prüfungen ermöglichen (Art. 28 Abs. 3 Buchst. h DSGVO). Wie Sie Auskunft, Löschung und Aufbewahrung für Kontakte abwickeln, steht unter CRM-Daten in Odoo und die DSGVO.
• Prüfen Sie, welche Stellen außer dem Hoster und Odoo S.A. personenbezogene Daten aus Ihrer Datenbank in Ihrem Auftrag verarbeiten: ein Implementierungspartner, ein Systemhaus, ein Modulanbieter mit eigenem Dienst. Beauftragen Sie eine Stelle unmittelbar, schließen Sie mit ihr den Vertrag nach Art. 28 Abs. 3 DSGVO. Zieht Ihr Auftragsverarbeiter seinerseits weitere Stellen hinzu, darf er das nur mit Ihrer vorherigen Genehmigung, und er muss diesen Stellen vertraglich dieselben Pflichten auferlegen (Art. 28 Abs. 2 und 4 DSGVO); mit ihnen schließen Sie selbst keinen Vertrag. Prüfen Sie auch, ob eine Stelle nur technischen Zugang hat, ohne selbst über die Verarbeitung zu entscheiden; Zugriff allein begründet keine Auftragsverarbeitung.

Was bei einem Verstoß droht

Verstöße gegen die Pflichten aus Art. 28 DSGVO fallen unter Art. 83 Abs. 4 Buchst. a DSGVO: bis 10 Mio. EUR oder, bei einem Unternehmen, 2 Prozent des weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Für unzulässige Übermittlungen nach Art. 44 bis 49 DSGVO gilt der höhere Rahmen des Art. 83 Abs. 5 Buchst. c DSGVO von bis zu 20 Mio. EUR oder 4 Prozent. Bei Verstößen im selben Zusammenhang übersteigt die Summe nicht den Betrag für den schwersten Verstoß (Art. 83 Abs. 3 DSGVO). Ob ein Verstoß vorliegt, hängt vom Einzelfall ab; klären Sie das mit Ihrer Datenschutzberatung.

Checkliste für Ihren Betrieb

1. Notieren Sie zu Ihrer Odoo-Datenbank die Hostingart und die Hauptregion und legen Sie fest, wer über die Zwecke und Mittel der Verarbeitung entscheidet, wer also Verantwortlicher und wer Auftragsverarbeiter ist; setzen Sie die Datenbank im Auftrag Dritter ein, sind Sie für diese Daten Auftragsverarbeiter und Ihre Auftraggeber die Verantwortlichen.
2. Legen Sie bei Odoo Online und Odoo.sh die Vertragsfassung mit Abschnitt 6.5 ab und prüfen Sie die Liste der Unterauftragnehmer in der Datenschutzerklärung.
3. Schließen Sie bei On-Premise den Vertrag nach Art. 28 Abs. 3 DSGVO mit jedem Dienstleister, den Sie selbst mit der Verarbeitung personenbezogener Daten aus Ihrer Datenbank beauftragen (etwa Server- oder Hosting-Anbieter), bevor die Daten dort ankommen; betreiben Sie den Server selbst ohne externe Stelle, entfällt dieser Vertrag.
4. Erfassen Sie jede weitere Stelle, die personenbezogene Daten aus Ihrer Datenbank verarbeitet, auch Partner und Modulanbieter: Beauftragen Sie eine Stelle unmittelbar, schließen Sie mit ihr den Vertrag nach Art. 28 Abs. 3 DSGVO; für Unterauftragsverarbeiter trägt Ihr Auftragsverarbeiter das Vertragsverhältnis und braucht dafür Ihre vorherige Genehmigung (Art. 28 Abs. 2 und 4 DSGVO).
5. Prüfen Sie bei einer Region außerhalb der EU die Grundlage der Übermittlung nach Art. 45, 46 oder 49 DSGVO, bevor Sie die Datenbank anlegen.
6. Regeln Sie, wer Test- und Stagingkopien anlegen darf und wie sie nach dem Test gelöscht werden.
7. Halten Sie den Weg für Meldungen des Auftragsverarbeiters und für Anträge Betroffener fest.