Datensouveränität: mehr als nur der Serverstandort
"Unsere Daten liegen in Frankfurt." Kaum ein Satz fällt in Gesprächen über Cloud und Datenschutz so oft, und kaum einer beruhigt so zuverlässig. Er ist auch nicht falsch. Er beantwortet nur eine von mehreren Fragen, und selten die entscheidende. Datensouveränität heißt: Sie wissen, wer unter welchen Bedingungen auf Ihre Daten zugreifen kann, und Sie können diese Bedingungen selbst gestalten. Der physische Ort der Festplatte ist dabei ein Faktor, aber nicht der wichtigste. Ein Hinweis vorab: Das ist eine praxisnahe Einordnung, keine Rechtsberatung. Für die datenschutzrechtliche Bewertung Ihrer konkreten Verarbeitungen ziehen Sie bitte Ihre Datenschutzbeauftragte oder eine Fachanwältin hinzu.
Warum sagt der Serverstandort allein so wenig aus?
Der US CLOUD Act verpflichtet Unternehmen, die amerikanischem Recht unterliegen, zur Herausgabe von Daten, die sie besitzen, verwahren oder kontrollieren, unabhängig davon, in welchem Land diese Daten physisch liegen. Ein Rechenzentrum in Frankfurt, betrieben von der europäischen Tochter eines US-Konzerns, ändert an dieser Konstellation zunächst wenig. Artikel 48 der DSGVO verlangt umgekehrt, dass Herausgabeersuchen von Drittstaatsbehörden nur über ein Rechtshilfeabkommen laufen. Zwischen beiden Vorschriften klafft eine Lücke, die seit Jahren bekannt und juristisch nicht abschließend geschlossen ist. Das ist kein Grund, US-Dienste pauschal auszuschließen. Für viele Anwendungsfälle sind sie sinnvoll, und der überwiegende Teil deutscher Unternehmen wird ohne sie nicht arbeiten. Es ist aber ein Grund, die Frage bewusst zu stellen: Welche Datenbestände wären wirklich problematisch, wenn ein Zugriff stattfände, den Sie nicht kontrollieren können? Mandantenakten, Patientendaten, Personalunterlagen, Konstruktionsdaten. Die Antwort fällt meist schnell und sehr unterschiedlich aus, je nach Datentopf.
Wie stabil ist das EU-US Data Privacy Framework noch?
Der Datentransfer in die USA stützt sich derzeit auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Der ist formal weiterhin in Kraft. Die Klage des französischen Abgeordneten Philippe Latombe wurde am 3. September 2025 vom Gericht der Europäischen Union abgewiesen, seine Berufung vor dem EuGH ist anhängig. Interessanter als das laufende Verfahren ist eine Entwicklung aus den USA selbst. Am 29. Juni 2026 entschied der Supreme Court in Trump v. Slaughter, dass gesetzliche Beschränkungen der präsidentiellen Abberufungsbefugnis für Kommissare der Federal Trade Commission verfassungswidrig sind. Das klingt nach amerikanischem Verfassungsrecht und weit weg. Der Haken: Der Angemessenheitsbeschluss der EU-Kommission stützt sich in seiner Begründung an mehreren hundert Stellen auf die FTC als unabhängige Aufsichtsbehörde, die die Einhaltung der Zusagen überwacht. Wird deren Unabhängigkeit relativiert, verliert eine der tragenden Säulen an Substanz. Für die Praxis heißt das nicht, dass morgen alles ungültig ist. Es heißt, dass die Wahrscheinlichkeit gestiegen ist, in absehbarer Zeit wieder umstellen zu müssen. Und es heißt, dass die Frage nach der Umstellungsfähigkeit heute mehr wert ist als jede Zusicherung im Vertriebsgespräch.
Welche drei Fragen führen weiter als die Standortfrage?
Die erste betrifft die Kette der Unterauftragsverarbeiter. Im Auftragsverarbeitungsvertrag steht, wen Ihr Anbieter seinerseits einsetzt. Diese Liste ist oft überraschend lang und endet häufig bei Dienstleistern, an die niemand gedacht hätte: Monitoring, Ticketsystem, Backup-Zielspeicher, Mailversand. Ein deutscher Anbieter mit deutschem Rechenzentrum kann über die dritte Ebene seiner Dienstleisterkette trotzdem an amerikanische Infrastruktur angebunden sein. Ein Blick in die aktuelle Liste kostet zehn Minuten und beantwortet mehr als jedes Werbeversprechen. Die zweite betrifft die Schlüssel. Verschlüsselung ist Standard, die relevante Frage ist eine andere: Wer verwahrt das Schlüsselmaterial? Liegt es beim Anbieter, ist eine Herausgabe technisch möglich. Liegt es ausschließlich bei Ihnen, ist sie es nicht, denn der Anbieter kann dann nur verschlüsselten Datenmüll herausgeben. Für Backups ist dieser Punkt besonders greifbar: Ein clientseitig verschlüsseltes Cloud Backup verhält sich grundlegend anders als eines, bei dem der Anbieter mitlesen könnte. Die dritte betrifft den Ausstieg. Souveränität ohne Wechselfähigkeit ist eine Behauptung. Können Sie Ihre Daten in einem verwendbaren Format vollständig exportieren, ohne Sonderprojekt und ohne Zusatzkosten? Der EU Data Act hat dafür einen rechtlichen Rahmen geschaffen und verbietet Wechselentgelte einschließlich Egress-Gebühren ab dem 12. Januar 2027. Ob der Export im konkreten Fall auch praktisch funktioniert, sollten Sie einmal getestet haben, bevor Sie darauf angewiesen sind.
Wie stufen Sie Ihre Daten sinnvoll ab?
In der Praxis führt die Diskussion oft in eine Sackgasse, weil sie als Grundsatzfrage geführt wird: entweder komplett souverän oder eben nicht. Das hilft niemandem weiter und scheitert regelmäßig am Budget. Ergiebiger ist eine Abstufung nach Datenklassen. Öffentliche Inhalte einer Website brauchen keine besondere Behandlung. Interne Projektdaten vertragen einen europäischen Anbieter mit überschaubarer Dienstleisterkette. Und für die wenigen wirklich sensiblen Bestände, also Mandanten- und Patientendaten, Personalakten und alles, was unter § 203 StGB fällt, lohnt der Aufwand einer Lösung, bei der Betreiber, Rechenzentrum und Schlüsselhoheit vollständig in Ihrer Hand oder in der eines deutschen Vertragspartners liegen. Für diese dritte Kategorie führt der Weg meist über einen Managed Server mit dediziert betriebenen Diensten oder über eine eigene Nextcloud-Instanz. webhostone betreibt seit 1998 ausschließlich Infrastruktur in deutschen, ISO-zertifizierten Rechenzentren, mit einem Ansprechpartner, den Sie am Telefon erreichen.
Womit fangen Sie diese Woche an?
Fangen Sie mit einer Bestandsaufnahme an, nicht mit einer Migration. Legen Sie eine Liste an: Welche Dienste nutzen Sie, welche Daten liegen dort, wer betreibt sie, und wo sitzt die Muttergesellschaft? Ziehen Sie zu jedem Dienst die aktuelle Unterauftragsverarbeiter-Liste. Bei den meisten Unternehmen füllt das eine Tabelle mit zwanzig bis vierzig Zeilen und dauert einen Vormittag. Danach wissen Sie, wo Sie stehen. Erst dann lohnt die Frage, was sich ändern soll und in welcher Reihenfolge. Einen Überblick über passende Konstellationen für einzelne Branchen finden Sie in unseren Lösungen für KMU und Mittelstand.
