Datensicherheit
Hosting in Deutschland: Warum der Standort zählt
Es geht nicht nur darum, wo die Server stehen, sondern wem sie gehorchen.
„Serverstandort Deutschland“ klingt beruhigend, greift aber zu kurz: entscheidend ist, welchem Recht der Betreiber unterliegt. Dieser Beitrag erklärt Datenresidenz, US CLOUD Act und Drittlandtransfers so, dass du Hosting-Versprechen präzise hinterfragen kannst.
Standort-Check AI Link
Rechenzentren. Produktion, Datenbanken und Backups laufen in Deutschland.
Betreiber. Europäische Gesellschaft, kein US-Rechtsträger in der Kette.
Vertrag. Deutscher Vertragspartner, deutscher Gerichtsstand.
Die Subunternehmer-Liste mit Standorten liegt jedem AVV bei.
Kurz erklärt
Warum reicht „Server in der EU“ nicht als Antwort?
Weil Zugriffsrechte am Unternehmen hängen, nicht am Standort: der US CLOUD Act verpflichtet US-Anbieter zur Datenherausgabe, auch aus europäischen Rechenzentren. Wirkliche Datensouveränität entsteht erst, wenn Standort und Betreiber zusammenpassen: Daten in Deutschland, kontrolliert von einer Gesellschaft, die ausschließlich europäischem Recht unterliegt.
Die Grundlagen
Vier Konzepte hinter der Standortfrage
Wer diese vier Begriffe trennt, durchschaut jedes Hosting-Versprechen.
Datenresidenz
Wo Daten physisch liegen, bestimmt, welche Behörden direkten Zugriff nehmen können und welches Datenschutzrecht unmittelbar gilt. Ein Rechenzentrum in Frankfurt unterliegt deutschem und EU-Recht.
US CLOUD Act
Das US-Gesetz von 2018 verpflichtet US-Unternehmen zur Herausgabe von Daten an US-Behörden, unabhängig davon, wo die Server stehen. Eine „EU-Region“ eines US-Anbieters schützt davor nicht.
Drittlandtransfer
Sobald personenbezogene Daten die EU verlassen (auch nur als Fernzugriff eines US-Supports), verlangt Kapitel V DSGVO eine eigene Rechtsgrundlage. Wer Transfers strukturell vermeidet, spart sich diese Dauerbaustelle.
Betreiber-Rechtsraum
Die entscheidende und meistübersehene Frage: welchem Recht unterliegt die Gesellschaft, die die Infrastruktur kontrolliert? Ein europäischer Betreiber ohne US-Mutter ist dem CLOUD Act schlicht nicht unterworfen.
Die Prüfliste
So prüfst du einen Anbieter in vier Schritten
Von der Betreibergesellschaft bis zum Zertifikat.
Die Reihenfolge ist bewusst: der Rechtsraum des Betreibers ist die stärkste Weiche, alles Weitere verfeinert das Bild.
- 01
Betreiber prüfen: Wer kontrolliert die Infrastruktur, und wem gehört diese Gesellschaft? Eine deutsche GmbH mit US-Konzernmutter bleibt CLOUD-Act-exponiert.
- 02
Serverstandort prüfen: Liegen Produktionsdaten, Backups und Logs vollständig in Deutschland oder der EU, oder nur die „primäre Region“?
- 03
Subunternehmer-Kette lesen: CDN, Monitoring, Support, KI-Modelle. Jede Station der Kette kann einen Drittlandtransfer einschleusen; die AVV-Anlage zeigt es.
- 04
Nachweise verlangen: ISO 27001 und für Cloud-Dienste der deutsche BSI-C5-Katalog sind belastbare Prüfsteine, Werbeaussagen sind keine.
Merksatz: Der Serverstandort beantwortet, wo deine Daten liegen. Der Betreiber-Rechtsraum beantwortet, wer sie herausverlangen kann.
Der Unterschied im Detail
US-Anbieter mit EU-Region vs. europäischer Betrieb
Beides kann seriös sein. Aber es sind zwei verschiedene Risikoprofile.
- Anwendbares Recht
- EU-Recht plus US-Recht (Konflikt eingebaut)
- CLOUD-Act-Exponierung
- Ja, unabhängig vom Serverstandort
- Drittlandtransfer nach Kap. V DSGVO
- Muss begründet und überwacht werden
- Stabilität der Rechtsgrundlage
- Hängt am Data Privacy Framework
- Vertrag und Gerichtsstand
- Oft US-nahe Konzernverträge
- Anwendbares Recht
- Deutsches und EU-Recht, eindeutig
- CLOUD-Act-Exponierung
- Nein, kein US-Rechtsträger in der Kette
- Drittlandtransfer nach Kap. V DSGVO
- Entfällt strukturell
- Stabilität der Rechtsgrundlage
- Unabhängig von US-Abkommen
- Vertrag und Gerichtsstand
- Deutscher Vertragspartner, deutscher Gerichtsstand
Verwandte Themen
Tiefer einsteigen
Der Standort ist eine Schicht von mehreren. Hier sind die Nachbarthemen.
Verschlüsselung verstehen
Was TLS 1.3 und AES-256 leisten, und warum die Schlüsselfrage eng mit dem Betreiber-Rechtsraum zusammenhängt.
Auftragsverarbeitung (AVV)
Wo die Subunternehmer-Kette steht und wie du sie liest: der Vertrag hinter dem Standort-Versprechen.
DSGVO-konforme KI
Das große Bild: Standort, Anonymisierung und Verträge als Schichten einer belastbaren Architektur.
Häufige Fragen
Häufige Fragen zum Hosting-Standort
CLOUD Act, Schrems II und die ehrliche Antwort auf die Frage, was der Standort löst und was nicht.
Reicht die „EU-Region“ eines US-Hyperscalers nicht aus?
Für die Datenresidenz ja, für die Rechtslage nur bedingt: der CLOUD Act knüpft an die Nationalität des Unternehmens an, nicht an den Serverstandort. Ein US-Anbieter kann zur Herausgabe von Daten aus seiner Frankfurter Region verpflichtet werden. Ob dieses Restrisiko tragbar ist, muss jede Organisation selbst bewerten; wer es strukturell ausschließen will, braucht einen Betreiber ohne US-Rechtsbindung.
Was war Schrems II, und warum ist es noch relevant?
2020 kippte der Europäische Gerichtshof das damalige EU-US-Datenabkommen Privacy Shield, weil US-Überwachungsrecht kein gleichwertiges Schutzniveau bot. Der Nachfolger Data Privacy Framework gilt seit 2023, steht aber unter denselben Vorbehalten und kann jederzeit erneut vor dem EuGH landen. Wer seine Architektur auf dieses Abkommen baut, baut auf eine politische Variable.
Muss wirklich alles in Deutschland stehen?
Rechtlich verlangt die DSGVO das nicht; sie gilt in der ganzen EU gleichermaßen. Deutschland bietet praktisch aber kurze Wege, deutschsprachige Verträge, den BSI-C5-Prüfkatalog und für viele Branchen (öffentliche Hand, Gesundheit, Finanzen) zusätzliche regulatorische Sicherheit. Entscheidend bleibt die Kombination: EU-Recht plus ein Betreiber ohne Drittland-Exponierung.
Macht Hosting in Deutschland die KI-Nutzung automatisch DSGVO-konform?
Nein. Der Standort löst die Zugriffs- und Transferfrage, aber nicht die anderen Pflichten: Rechtsgrundlage, AVV, Datenminimierung, Betroffenenrechte. Und sobald ein KI-Modell außerhalb der eigenen Infrastruktur angefragt wird, zählt wieder, was in der Anfrage steht, deshalb gehört die PII-Anonymisierung vor jeden Modell-Call, egal wo gehostet wird.
Wo läuft AI Link?
Produktion, Datenbanken und Backups laufen in deutschen Rechenzentren eines europäischen Betreibers; auch diese Website wird in Frankfurt ausgeliefert. Die vollständige Subunternehmer-Liste mit Standorten bekommt jede Kundin und jeder Kunde mit dem AVV, ohne danach fragen zu müssen.
Souverän gehostet
AI Link läuft in deutschen Rechenzentren.
Europäischer Betreiber, offene Subunternehmer-Liste, deutscher Vertragspartner.