EU-Hosting und Datenstandort: warum es für die DSGVO zählt

EU-Hosting ist nach der DSGVO nicht vorgeschrieben, aber der Ort, an dem Ihre Daten liegen, bestimmt, wie aufwendig und wie riskant Ihre Rechtskonformität wird. Sobald personenbezogene Daten den Europäischen Wirtschaftsraum verlassen, greifen zusätzliche Regeln für die internationale Übermittlung, und diese Regeln sind seit dem Schrems-II-Urteil deutlich anspruchsvoller geworden. In diesem Artikel lesen Sie, was Datenstandort genau bedeutet, was die DSGVO tatsächlich verlangt und was nicht, wie Schrems II Ihre Hosting-Entscheidung berührt und welche Fragen Sie stellen sollten, bevor Sie sich auf eine Plattform oder einen Anbieter festlegen.

Ein Hinweis vorweg: Dieser Beitrag ordnet die technischen Entscheidungen ein, die bei einem Website-Projekt anfallen. Er ist keine Rechtsberatung, und die Bewertung Ihres konkreten Falls gehört in die Hände einer Datenschutzberatung oder einer Rechtsanwältin.

Verlangt die DSGVO, dass Sie in der EU hosten?

Nein. Die Verordnung schreibt kein EU-Hosting vor und verbietet nicht, dass personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums gespeichert oder verarbeitet werden. Was sie tut, ist, den Weg der Daten aus dem Raum heraus streng zu regeln. Der Schutz reist gewissermaßen mit den Daten mit, unabhängig davon, wo sie am Ende landen.

Konkret heißt das: Sobald Sie Daten in ein Land außerhalb des Europäischen Wirtschaftsraums übermitteln, brauchen Sie dafür eine tragfähige Grundlage. Das kann ein Angemessenheitsbeschluss sein, mit dem die Europäische Kommission für ein Land oder einen Rahmen festgestellt hat, dass das Schutzniveau im Wesentlichen gleichwertig ist. Es können auch geeignete Garantien sein, die Sie selbst herstellen, etwa die Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften innerhalb einer Unternehmensgruppe.

Die Folge ist einfach. Hosten Sie innerhalb des Europäischen Wirtschaftsraums, findet keine internationale Übermittlung statt, und diese ganze Ebene an Pflichten entfällt. Hosten Sie außerhalb, müssen Sie den richtigen Mechanismus wählen, dokumentieren und verantworten können. EU-Hosting ist also keine gesetzliche Pflicht, wohl aber der kürzeste Weg zu nachweisbarer Konformität.

Was Datenstandort genau bedeutet

Datenstandort ist der physische Ort, an dem Ihre Daten gespeichert und verarbeitet werden. Das klingt einfach, ist bei einer Website aber selten ein Server an einem Ort.

Hinter einer modernen B2B-Website liegen meist mehrere Systeme mit jeweils eigenem Standort:

• der Webserver oder die Hosting-Plattform, auf der Ihre Website läuft;
• die Datenbank mit Formulareingängen, Konten oder Interessentendaten;
• Sicherungen, die manchmal in einer anderen Region liegen;
• das Auslieferungsnetz, das Ihre Seiten weltweit zwischenspeichert;
• Formular-, E-Mail- und Marketingwerkzeuge, die Daten empfangen;
• Analyse- und Tracking-Skripte;
• der Zugriff von Support- oder Entwicklungsteams, die sich manchmal von außerhalb des Europäischen Wirtschaftsraums anmelden.

Jedes dieser Glieder kann personenbezogene Daten berühren. Datenstandort heißt also nicht nur “wo steht mein Webserver”, sondern “wo landet jedes personenbezogene Datum in der gesamten Kette”. Eine Seite, die selbst in Frankfurt läuft, aber Formulare an ein Werkzeug außerhalb des Raums schickt, betreibt sehr wohl internationale Übermittlung.

Zwei Punkte werden dabei besonders häufig übersehen.

Zugriff ist Übermittlung. Wenn ein Supportteam aus einem Drittland auf Daten zugreift, die physisch in Europa liegen, ist das nach der Auslegung der europäischen Aufsichtsbehörden eine Übermittlung. Fernwartungszugänge und der Second-Level-Support Ihres Softwareanbieters gehören deshalb in Ihre Bestandsaufnahme, auch wenn kein Byte kopiert wird.

Ein eingebettetes Drittelement genügt. Eine viel beachtete erstinstanzliche Entscheidung eines deutschen Landgerichts hat einer Website-Besucherin einen Schadenersatzanspruch zugesprochen, weil beim Aufruf der Seite ihre IP-Adresse durch das dynamische Einbinden einer externen Schriftart an einen Anbieter in den USA übermittelt wurde. Die rechtliche Reichweite dieser Entscheidung ist umstritten, und die anschließende Welle massenhafter Abmahnschreiben wurde von Gerichten überwiegend zurückgewiesen. Als praktische Lehre bleibt sie trotzdem gültig: Was Ihre Seite im Browser des Besuchers nachlädt, ist Teil Ihrer Datenverarbeitung, auch wenn es nur eine Schriftart oder ein Kartenausschnitt ist.

Wie Schrems II Ihre Hosting-Entscheidung verändert hat

Das Schrems-II-Urteil des Gerichtshofs der Europäischen Union vom Juli 2020 erklärte das damalige Privacy Shield, den Rahmen für den Datenaustausch mit den USA, für ungültig. Der Kern: Die amerikanische Überwachungsgesetzgebung bot europäischen Betroffenen keinen gleichwertigen Schutz und keinen wirksamen Rechtsbehelf. Die Standardvertragsklauseln blieben gültig, aber der Gerichtshof legte die Verantwortung beim Exporteur ab, im Einzelfall zu beurteilen, ob die Daten im Empfängerland tatsächlich gleichwertig geschützt sind, und gegebenenfalls zusätzliche Maßnahmen zu treffen. Diese Beurteilung ist als Transfer Impact Assessment bekannt geworden.

In der Praxis machte das Übermittlungen in die USA rechtlich schwerer und unsicherer. Viele Organisationen wählten deshalb den einfachen Weg: die Daten im Europäischen Wirtschaftsraum halten und die ganze Frage vermeiden.

Inzwischen gibt es einen Nachfolger. Im Juli 2023 hat die Kommission einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework erlassen, mit dem Übermittlungen an zertifizierte amerikanische Unternehmen wieder auf eine Grundlage gestellt wurden. Dabei sind drei Punkte wichtig, die regelmäßig verkürzt dargestellt werden:

Der Beschluss gilt nicht pauschal für die USA. Er gilt für Organisationen, die sich unter dem Rahmen selbst zertifiziert haben und in der offiziellen Liste geführt werden. Ob Ihr konkreter Anbieter dort steht und für welche Datenkategorien, müssen Sie prüfen, statt es anzunehmen.

Der Rahmen ist umstritten. Eine erste Nichtigkeitsklage wurde im September 2025 vom Gericht der Europäischen Union abgewiesen. Ein Rechtsmittel ist damit nicht ausgeschlossen, und die Kritik an der Haltbarkeit des Rahmens hält an, unter anderem mit Blick auf die Funktionsfähigkeit der amerikanischen Aufsichts- und Rechtsbehelfsmechanismen, auf denen der Beschluss aufbaut. Der Sachstand kann sich also ändern, und Sie sollten ihn zum Zeitpunkt Ihrer Entscheidung prüfen statt sich auf einen Blogartikel zu verlassen, auch nicht auf diesen.

Ein Angemessenheitsbeschluss nimmt Ihnen nicht alle Pflichten ab. Sie brauchen weiterhin eine Rechtsgrundlage für die Verarbeitung selbst, einen Auftragsverarbeitungsvertrag mit Ihrem Dienstleister, Transparenz gegenüber den Betroffenen und ein Löschkonzept. Der Beschluss regelt nur die Frage der Übermittlung.

Mit anderen Worten: Die Rechtsgrundlage besteht, steht aber erneut unter Druck. Wer seine Website-Architektur auf der Annahme baut, dass transatlantische Übermittlung dauerhaft geregelt ist, geht eine Wette ein. EU-Hosting nimmt diese Abhängigkeit heraus, ohne die übrigen Pflichten zu erledigen.

Der Punkt, den Datenstandort nicht löst

Hier gehört eine Einschränkung hin, die in Anbieterbroschüren fehlt. Ein Rechenzentrum in Europa entscheidet nicht abschließend darüber, wer auf die Daten zugreifen kann.

Anbieter, die einer Rechtsordnung außerhalb der EU unterliegen, können nach dem Recht ihres Sitzstaats zur Herausgabe von Daten verpflichtet werden, unabhängig davon, wo diese Daten physisch liegen. Ein europäisches Rechenzentrum unter der Kontrolle eines Unternehmens, das einer solchen Rechtsordnung unterworfen ist, löst diesen Konflikt nicht, es verschiebt ihn nur. Die europäischen Aufsichtsbehörden haben dieses Spannungsverhältnis wiederholt thematisiert, und es ist einer der Gründe, warum sogenannte souveräne Cloud-Angebote entstanden sind, deren tatsächliche Wirksamkeit wiederum diskutiert wird.

Wir werten das hier nicht aus und nennen bewusst keinen Anbieter als konform, weil Konformität keine Eigenschaft eines Produkts ist, sondern das Ergebnis Ihrer konkreten Verarbeitung und Ihrer Dokumentation. Was Sie aus diesem Abschnitt mitnehmen sollten, ist die Frage, die Sie stellen müssen: nicht nur “wo stehen die Server”, sondern “welcher Rechtsordnung unterliegt das Unternehmen, das sie betreibt, und wer kann dort auf welcher Grundlage zugreifen”.

Welche Fragen Sie stellen, bevor Sie sich festlegen

Die wichtigste Frage lautet nicht “ist das DSGVO-konform”, denn das kann kein Anbieter für Sie beantworten. Sie lautet: Wo landen meine Daten, und kann der Anbieter das belegen? Stellen Sie diese Fragen, bevor Sie unterschreiben:

1. In welcher Region läuft das Hosting, und kann ich die Region selbst wählen? Manche gehosteten Plattformen betreiben eigene Infrastruktur und geben wenig Kontrolle über den Standort. Prüfen Sie, ob eine Region innerhalb des Europäischen Wirtschaftsraums überhaupt möglich ist.
2. Wo liegen die Sicherungen? Ein europäischer Server mit Sicherungen außerhalb des Raums löst das Problem nicht.
3. Wer sind die Unterauftragsverarbeiter? Fordern Sie die Liste an. Auslieferungsnetz, E-Mail-Versand, Analyse und Zahlungsdienstleister zählen alle mit. Fragen Sie außerdem, wie Sie über Änderungen dieser Liste informiert werden und ob Sie widersprechen können.
4. Schickt das Content-Management-System oder das Formularwerkzeug Daten aus dem Raum heraus? Das ist ein häufiges Leck bei entkoppelten Aufbauten, bei denen Redaktionssystem und Darstellungsschicht an verschiedenen Orten laufen können.
5. Welchen Übermittlungsmechanismus nutzt der Anbieter, und liegt ein Auftragsverarbeitungsvertrag vor? Ein ernsthafter Partner hat einen solchen Vertrag, dokumentiert seine Übermittlungen und kann seine technischen und organisatorischen Maßnahmen beschreiben.
6. Von wo aus greift der Support zu? Fernwartung aus einem Drittland ist eine Übermittlung, auch ohne Datenkopie.
7. Was passiert am Ende des Vertrags? Rückgabe und Löschung der Daten gehören geregelt, bevor Sie beginnen, nicht wenn Sie wechseln wollen.

Hier ist Plattformneutralität wichtig. Ein selbst betriebenes Content-Management-System lässt Ihnen die freie Wahl eines europäischen Hosters, aber die Erweiterungen und externen Dienste, die Sie hinzufügen, bestimmen mit, wohin Daten fließen. Eine gehostete Plattform trifft Hosting-Entscheidungen weitgehend für Sie, was Einfachheit bringt und Regionskontrolle kostet. Ein entkoppelter oder maßgeschneiderter Aufbau gibt Ihnen die meiste Kontrolle und legt die Verantwortung, alles korrekt zu konfigurieren, vollständig bei Ihnen ab. Keine dieser Optionen ist per se datenschutzfreundlicher. Es hängt an Ihrem Anbieter, Ihren Werkzeugen und daran, wie sorgfältig Sie die Kette kartieren.

Und in Österreich und der Schweiz?

Für Österreich gilt die DSGVO unmittelbar, ergänzt um das nationale Datenschutzgesetz und die Zuständigkeit der Datenschutzbehörde. Die Übermittlungsregeln sind dieselben, die Aufsichtspraxis unterscheidet sich in Details, und die österreichische Behörde hat in den vergangenen Jahren mehrfach zu Übermittlungen im Zusammenhang mit Analysewerkzeugen entschieden.

Die Schweiz ist nicht Teil des Europäischen Wirtschaftsraums und arbeitet mit einem eigenen, revidierten Datenschutzgesetz, das der DSGVO ähnelt, aber nicht mit ihr identisch ist. Zuständig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte. Für die Praxis heißt das zweierlei: Die Schweiz gilt aus EU-Sicht als Drittland mit Angemessenheitsbeschluss, sodass Übermittlungen dorthin unproblematisch sind, und ein schweizerisches Unternehmen benötigt für Übermittlungen in die USA eine eigene Grundlage, für die die Schweiz einen gesonderten Rahmen anerkannt hat. Wer alle drei Märkte bedient, sollte Datenschutzerklärung und Einwilligungstexte je Land prüfen lassen statt eine Fassung auszurollen.

Ist EU-Hosting nur ein juristisches Thema?

Nein, und genau deshalb ist es für den deutschsprachigen B2B-Markt eine starke Voreinstellung. Neben der rechtlichen Vereinfachung bringt es zwei greifbare Vorteile.

Der erste ist Geschwindigkeit. Ein Server nahe an Ihrem Publikum bedeutet kürzere Ladezeiten, was Ihren Core Web Vitals und damit Ihrer Conversion zugutekommt. Für ein Publikum in Deutschland, Österreich oder der Schweiz ist ein europäisches Rechenzentrum physisch näher. Wie Ihre Seite aktuell abschneidet, zeigt der Website-Geschwindigkeitstest.

Der zweite ist Vertrauen. Im B2B kauft niemand von einem Anbieter, der nachlässig mit Daten umgeht. Belegen zu können, dass Website und Interessentendaten in Europa liegen, ist ein Glaubwürdigkeitssignal, das die Hürde bei sensiblen Branchen und bei größeren Kunden mit eigenem Einkaufs- oder Sicherheitsprozess senkt. Im deutschsprachigen Raum ist das kein Randthema: Bei Ausschreibungen und bei größeren Unternehmen kommt der Fragebogen zu Datenverarbeitung, Unterauftragsverarbeitern und Serverstandort verlässlich, und wer ihn nicht ausfüllen kann, fällt aus der Auswahl, unabhängig vom Angebot.

Beachten Sie außerdem, dass der Datenstandort auch bei einem Umzug ein Thema ist. Wechseln Sie Hoster oder Region, planen Sie die Migration technisch und vertraglich, damit Sie weder Sichtbarkeit noch Nachweisbarkeit verlieren.

Die kurze Zusammenfassung

Die DSGVO zwingt Sie nicht zu EU-Hosting, aber der Ort Ihrer Daten bestimmt, wie viele Regeln, wie viel Risiko und wie viel Nachweislast Sie sich aufladen. Bleiben Sie innerhalb des Europäischen Wirtschaftsraums, vermeiden Sie die gesamte Frage der internationalen Übermittlung und die Unsicherheit, die seit Schrems II über transatlantischen Daten liegt. Wählen Sie einen Anbieter oder eine Plattform außerhalb, kartieren Sie die vollständige Kette: Server, Sicherungen, Auslieferungsnetz, Formulare, Unterauftragsverarbeiter und Teamzugriffe. Und behalten Sie im Blick, dass der Standort allein nichts über Rechtsgrundlage, Verträge, Einwilligungen und Löschfristen aussagt. Wollen Sie das in einer Website geregelt haben, die zugleich Anfragen bringt, sehen Sie sich unsere Vorgehensweise unter Website erstellen lassen an.

Häufige Fragen

Reicht EU-Hosting, um DSGVO-konform zu sein?

Nein. Es entfernt die Ebene der internationalen Übermittlung und damit den aufwendigsten Teil der Nachweispflicht. Rechtsgrundlage, Auftragsverarbeitungsvertrag, Transparenz, Betroffenenrechte, Löschfristen und die Wirksamkeit Ihrer Einwilligungen bleiben davon unberührt.

Dürfen wir US-Dienste überhaupt noch einsetzen?

Das ist keine Ja-Nein-Frage. Es hängt daran, ob der konkrete Anbieter unter dem geltenden Rahmen zertifiziert ist, welche Daten fließen und welche zusätzlichen Maßnahmen Sie treffen. Weil die Rechtslage in Bewegung ist, gehört diese Prüfung dokumentiert und in regelmäßigen Abständen wiederholt, nicht einmalig abgehakt.

Zählt ein Auslieferungsnetz mit Servern weltweit als Übermittlung?

Häufig ja, denn IP-Adressen sind personenbezogene Daten, und ein globales Netz kann sie außerhalb des Raums verarbeiten. Viele Anbieter bieten inzwischen eine Beschränkung auf europäische Knoten an. Prüfen Sie, ob Ihr Aufbau diese Einstellung tatsächlich nutzt, statt anzunehmen, dass sie voreingestellt ist.

Was ist mit Schriftarten, Karten und eingebetteten Videos?

Alles, was der Browser des Besuchers von einem fremden Server nachlädt, überträgt mindestens dessen IP-Adresse dorthin. Die saubere Lösung ist, solche Elemente lokal auszuliefern oder sie erst nach einer wirksamen Einwilligung nachzuladen. Das ist zugleich gut für Ihre Ladezeit.

Wer haftet, wenn unser Dienstleister etwas falsch macht?

Als Verantwortlicher bleiben Sie gegenüber den Betroffenen und der Aufsicht in der Pflicht, unabhängig davon, wo der Fehler entstanden ist. Deshalb sind Auftragsverarbeitungsvertrag, Unterauftragsverarbeiterliste und die Möglichkeit, Änderungen zu prüfen, keine Formalien, sondern Ihre einzige Absicherung.

Sollen wir uns Ihren Aufbau ansehen?

Wollen Sie wissen, wo in Ihrer aktuellen Website Daten hinfließen und welche Entscheidungen Sie beim nächsten Umbau anders treffen sollten? Vereinbaren Sie Ihr kostenloses Erstgespräch, und wir gehen die Kette gemeinsam durch. Für die rechtliche Bewertung Ihres konkreten Falls empfehlen wir Ihnen eine spezialisierte Beratung, und wir sagen Ihnen offen, wenn eine Frage dorthin gehört statt zu uns.