EU-Hosting vs. US-Cloud, was DSGVO 2026 wirklich verlangt

„Ist das DSGVO-konform?“, diese Frage höre ich bei jedem zweiten Erstgespräch. Die Antwort hängt fast immer am Hosting und an den eingebundenen Diensten. Wer Daten in die USA fließen lässt, sei es über AWS, Google Cloud, Azure oder einfach durch eingebundene US-Tracking-Tools, braucht dafür eine tragfähige Grundlage nach Kapitel V der DSGVO. Die Rechtslage dazu hat sich seit Schrems II mehrfach verschoben.

Hier eine pragmatische Übersicht: was in der Regel unkritisch ist, was Risiken birgt, und wie KMU eine sichere Entscheidung treffen.

Hinweis: Das ist eine Einordnung, keine Rechtsberatung. Rechtsstand 13.10.2026; im Einzelfall klärt Ihre Datenschutz- oder Rechtsberatung, was für Ihren Betrieb gilt.

Schrems II und das Data Privacy Framework in einer Minute

Der Europäische Gerichtshof hat 2020 (Urteil C-311/18, „Schrems II“) das damalige Abkommen Privacy Shield für ungültig erklärt, weil US-Behörden unter bestimmten Bedingungen auf Daten zugreifen können. Standardvertragsklauseln blieben möglich, verlangen aber eine Prüfung im Einzelfall. Seit Juli 2023 gibt es das EU-US Data Privacy Framework: Für US-Unternehmen, die sich danach zertifiziert haben, ist die Übermittlung ohne weitere Garantien zulässig. Das Gericht der EU hat die Klage gegen das Framework am 3. September 2025 abgewiesen; die Berufung beim EuGH (Rechtssache C-703/25 P) ist anhängig. Bis zu einer Entscheidung gilt das Framework.

Praktisch heißt das: Bei US-Anbietern prüfen Sie, ob der Anbieter zertifiziert ist, schließen einen Auftragsverarbeitungs-Vertrag (AVV) ab und halten eine Alternative bereit, falls das Framework wegfällt (Standardvertragsklauseln oder ein Anbieter in der EU). Bei sensiblen Daten, etwa Gesundheitsdaten, ist ein Anbieter in der EU die ruhigere Wahl. Den aktuellen Stand der Berufung finden Sie im Register des EuGH unter dem Aktenzeichen C-703/25 P.

Was in der Regel unkritisch ist

Hosting auf Servern in der EU bei EU-Anbietern

Hetzner, IONOS, Strato, dogado, All-Inkl und viele andere Anbieter betreiben Rechenzentren in Deutschland. Das Hosting selbst löst dann keine Übermittlung in ein Drittland aus. Ein AVV (Art. 28 DSGVO) ist trotzdem nötig, und die Gesamtkonformität hängt auch an dem, was Sie auf der Seite einbinden, etwa US-Diensten.

Ich betreibe die Website und die Werkzeuge, die ich für Kunden einrichte, auf einem Server in Deutschland. Was dazu konkret gilt, steht auf der Seite Transparenz.

KI-Dienste mit EU-Region und AVV

Große Anbieter bieten für Geschäftskunden teils Verarbeitung in EU-Regionen und Auftragsverarbeitungs-Verträge an, zum Beispiel Microsoft mit Azure OpenAI oder Google mit Workspace. Bei Anthropic und OpenAI hängt es vom Tarif und den Vertragsbedingungen ab. Prüfen Sie vor dem Einsatz drei Dinge: die Region der Verarbeitung, den AVV und ob Ihre Eingaben zum Training verwendet werden. Die Angebote ändern sich oft; verlassen Sie sich auf die aktuellen Vertragsunterlagen des Anbieters, nicht auf diesen Ratgeber.

n8n Self-Hosted

n8n ist Open-Source und kann komplett auf eigenem Server laufen. Wenn Sie n8n auf einem EU-VPS hosten, bleiben die Workflows selbst in Ihrer Hand. Sobald ein Workflow personenbezogene Daten an einen externen Dienst schickt, gelten für diesen Dienst wieder AVV und Drittlandregeln. Wie ich n8n für Betriebe einrichte und betreibe, steht auf der Seite n8n-Agentur.

Was heikel ist

Direkter Zugriff auf KI-Schnittstellen von US-Anbietern

Beim direkten Zugriff auf die Schnittstelle eines US-Anbieters (zum Beispiel api.openai.com) prüfen Sie Verarbeitungsregion, AVV und Trainingsnutzung. Ob das zulässig ist, hängt vom Anbieter, seiner Zertifizierung und Ihrer Datenart ab; bei sensiblen Daten bleibt es riskant.

Cloud-Anbieter ohne feste EU-Region

Ohne eine ausdrücklich gewählte EU-Region können Daten bei großen Cloud-Anbietern weltweit verteilt gespeichert werden. Prüfen Sie außerdem, ob alle Dienste, die Sie nutzen, in der gewählten Region laufen; einzelne Dienste, etwa globale CDN- oder Anmeldedienste, können Daten außerhalb der Region verarbeiten.

US-Tracking auf der Website

Google Analytics 4, Facebook Pixel, LinkedIn Insight Tag und ähnliche Dienste senden Daten an US-Anbieter. Das geht mit Einwilligung über ein Cookie-Banner und einem AVV, bleibt aber eine Einzelfallfrage. Eine Alternative sind selbst gehostete Statistik-Werkzeuge.

US-CDN ohne EU-First-Konfiguration

Cloudflare, Fastly, KeyCDN: meist mit globaler Verteilung. Bei sensiblen Daten (Gesundheits-, Finanz-, Behörden-Daten) sollten Sie das besonders sorgfältig prüfen.

Was ich besonders sorgfältig prüfe

Messenger im Kundenkontakt

Wer personenbezogene Daten über WhatsApp oder die WhatsApp Business API austauscht, braucht eine Rechtsgrundlage, einen AVV und eine Klärung, wohin die Daten fließen. Klären Sie das vorab mit Ihrer Datenschutzberatung.

Tracking-Pixel von Plattformen mit Datenabfluss in Drittländer

Tracking-Pixel von Plattformen, die Daten in Drittländer übertragen (zum Beispiel TikTok), nutzen Sie nur mit wirksamer Einwilligung und nach rechtlicher Prüfung.

Kostenlose KI-Tarife ohne AVV

Kostenlose Tarife von KI-Diensten bieten in der Regel keinen AVV und keine Zusagen zur Datenverarbeitung. Für interne Tests sind sie okay, für Kundendaten sind sie ungeeignet.

Praktische Empfehlung für KMU

Drei Stufen-Plan:

Stufe 1 (sofort, niedrigster Aufwand): Website-Hosting auf einem deutschen Provider mit AVV. Effekt: Das Hosting selbst löst keine Drittland-Übermittlung mehr aus.

Stufe 2 (3 bis 6 Monate, mittlerer Aufwand): KI-Verarbeitung auf Anbieter mit EU-Region und AVV umstellen. Effekt: Die KI-Verarbeitung ist vertraglich und technisch sauber geregelt.

Stufe 3 (6 bis 12 Monate, höherer Aufwand): n8n self-hosted statt Make.com oder Zapier. Zusätzliche Kosten: ein eigener Server (VPS). Effekt: weniger Abhängigkeit von einzelnen Anbietern.

Ich starte bei Kunden meist mit Stufe 1 und Stufe 2 und berate zu Stufe 3, wenn das Volumen den Aufwand rechtfertigt.

Was bei Ihnen realistisch ist

Wenn Sie aktuell auf US-Cloud laufen und sich nicht sicher sind, ob Ihre Verarbeitungsvorgänge DSGVO-konform sind, ist der erste Schritt eine Bestandsaufnahme. Im Erstgespräch sehe ich mir Ihr Hosting-, Tracking- und KI-Setup an und nenne Ihnen die Top-3-Risiken. Direkt mit mir als Builder. Wenn Sie heute noch von US-Diensten abhängen, plane ich die Umstellung auf EU-Anbieter mit Ihnen.

Weiterlesen: KI DSGVO-konform im Unternehmen einsetzen, die DSGVO-Checkliste für Ihre Website und meine Seite zum IT-Service.