DSGVO-konformes Hosting in Deutschland: Optionen im Vergleich

Was bedeutet „DSGVO-konformes Hosting“?

Die DSGVO schreibt keinen Serverstandort vor. Sie verlangt, dass personenbezogene Daten rechtmäßig und sicher verarbeitet werden, dass mit jedem Dienstleister, der Daten in Ihrem Auftrag verarbeitet, ein Vertrag zur Auftragsverarbeitung besteht (Art. 28 DSGVO) und dass Übermittlungen in Länder außerhalb der EU nur unter den Voraussetzungen der Art. 44 ff. DSGVO stattfinden. Ein Hosting-Anbieter ist in aller Regel Auftragsverarbeiter: Schon eine gewöhnliche Website verarbeitet beim Abruf die IP-Adresse des Besuchers.

Für die Wahl eines Hosting-Modells stellen sich deshalb drei Fragen:

• Wer verarbeitet? Ein Anbieter, mit dem Sie einen Auftragsverarbeitungsvertrag schließen, oder Sie selbst auf eigenen Servern.
• Wo wird verarbeitet? Im Rechenzentrum, das im Vertrag steht — und bei allen Unterauftragnehmern, die der Anbieter einsetzt.
• Welchem Recht unterliegt der Anbieter? Ein Unternehmen mit Sitz in den USA bleibt an US-Recht gebunden, auch wenn der Server in Frankfurt steht.

Dieser Artikel erklärt die technische und praktische Seite. Er ersetzt keine Rechtsberatung: Ob eine konkrete Verarbeitung zulässig ist, beurteilen Ihr Datenschutzbeauftragter oder ein auf Datenschutz spezialisierter Rechtsanwalt.

Welche Hosting-Optionen gibt es für Betriebe?

Für Websites, Anwendungen und Datenbanken gibt es drei grundlegende Modelle. Sie unterscheiden sich weniger in der Technik als darin, wer den Betrieb verantwortet und welchem Recht der Betreiber unterliegt.

Europäische Anbieter

Anbieter mit Sitz in Deutschland wie IONOS, Hetzner oder STRATO unterliegen europäischem Recht. Wir nennen IONOS offen als unseren Partner: Domains und Mailverkehr von Rentavo-Services laufen darüber. Ob die Daten tatsächlich in Deutschland liegen, hängt vom gewählten Standort ab. Hetzner betreibt seine Cloud-Server etwa in Falkenstein und Nürnberg, aber auch in Helsinki, in den USA und in Singapur. Prüfen Sie deshalb bei jedem Anbieter, welcher Standort in Bestellung und Vertrag steht.

US-Anbieter mit Rechenzentrum in Deutschland

Die großen US-Cloudanbieter betreiben Regionen in Deutschland: Amazon Web Services die Region Europe (Frankfurt), Microsoft Azure die Region Germany West Central in Frankfurt, Google Cloud Regionen in Frankfurt und Berlin. Ihr Vorteil ist die Breite des Angebots — verwaltete Datenbanken, Speicher, KI-Dienste und Werkzeuge für nahezu jeden Zweck. Die gespeicherten Daten liegen bei entsprechender Konfiguration in Deutschland, der Anbieter bleibt aber ein US-Unternehmen.

Seit dem 15. Januar 2026 bietet AWS zusätzlich die European Sovereign Cloud an, mit einer ersten Region in Brandenburg. Nach Angaben von AWS ist sie von den übrigen Regionen getrennt und wird ausschließlich von Personal mit Wohnsitz in der EU betrieben. Solche Angebote ändern die Organisation des Betriebs; welche Zusagen rechtlich gelten, steht im Vertrag und sollte dort geprüft werden.

Eigene oder gemietete Server

Beim Selbstbetrieb läuft die Anwendung auf Servern, die Ihnen gehören oder die Sie in einem Rechenzentrum mieten. Sie bestimmen Standort, Software und Zugriffe vollständig. Dafür liegen Updates, Überwachung, Datensicherung und Ausfallvorsorge bei Ihnen oder bei Ihrem Dienstleister. Auch bei gemieteten Servern ist oft ein Auftragsverarbeitungsvertrag mit dem Rechenzentrumsbetreiber nötig — das hängt davon ab, welche Leistungen er erbringt.

Die drei Hosting-Optionen im direkten Vergleich

Die Tabelle beschreibt die typische Lage, nicht jeden Vertrag. Ein europäischer Anbieter kann US-Unterauftragnehmer einsetzen, etwa für E-Mail-Versand oder Support-Werkzeuge. Ein eigener Server kann Daten nach außen geben, wenn eine Anwendung externe Dienste anbindet. Deshalb gehört die Liste der Unterauftragnehmer in jede Prüfung eines Hosting-Anbieters.

Dürfen Daten 2026 zu US-Anbietern fließen?

Ja, unter Voraussetzungen. Grundlage ist seit dem 10. Juli 2023 der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework. Er erlaubt Übermittlungen an US-Unternehmen, die an diesem Rahmen teilnehmen, ohne weitere Genehmigung. Lassen Sie sich die Teilnahme vom Anbieter bestätigen.

Die beiden Vorgänger dieses Rahmens hat der Europäische Gerichtshof für ungültig erklärt, zuletzt 2020 den Privacy Shield im Urteil Schrems II. Auch der aktuelle Rahmen wurde angegriffen: Das Gericht der Europäischen Union hat die Klage des französischen Abgeordneten Philippe Latombe am 3. September 2025 abgewiesen (Rechtssache T-553/23). Latombe hat dagegen Rechtsmittel beim Europäischen Gerichtshof eingelegt (Rechtssache C-703/25 P). Solange der Gerichtshof den Beschluss nicht für ungültig erklärt oder die Kommission ihn aufhebt, bleibt er in Kraft.

Für Anbieter, die nicht teilnehmen, und als Rückfallebene dienen die Standardvertragsklauseln der EU-Kommission nach dem Durchführungsbeschluss 2021/914. Wer sich auf sie stützt, muss nach Auffassung des Landesbeauftragten für den Datenschutz Niedersachsen vor der Übermittlung prüfen, ob im Drittland ein gleichwertiges Schutzniveau besteht, und andernfalls zusätzliche Maßnahmen ergreifen oder auf die Übermittlung verzichten. Manche Anbieter nehmen sie ohnehin in ihren Auftragsverarbeitungsvertrag auf — Vercel etwa, über den unsere Website ausgeliefert wird. Fragen Sie bei Ihrem Anbieter nach, welche Grundlage greift, wenn das Data Privacy Framework fällt. Dann brauchen Sie kurzfristig eine andere.

Warum bedeutet ein Rechenzentrum in Frankfurt nicht automatisch deutsches Recht?

Der Serverstandort sagt nichts darüber, welchem Recht der Anbieter unterliegt. Der US CLOUD Act von März 2018 verpflichtet Anbieter von Kommunikations- und Cloud-Diensten, die US-Recht unterliegen, Daten in ihrem Besitz, Gewahrsam oder unter ihrer Kontrolle auf eine behördliche oder gerichtliche Anordnung in US-Strafverfahren hin herauszugeben — ausdrücklich unabhängig davon, ob die Daten in den USA oder außerhalb gespeichert sind (18 U.S.C. § 2713).

Für einen Betrieb in Niedersachsen heißt das: Liegt die Datenbank bei einem US-Anbieter in Frankfurt, ist ein Zugriff nach US-Recht möglich. Das ist ein Restrisiko, kein Automatismus. Es betrifft Daten, die der Anbieter lesen kann, und es setzt eine behördliche oder gerichtliche Anordnung voraus. Wie schwer das Restrisiko wiegt, hängt von Ihren Daten ab. Drei Maßnahmen verkleinern es:

• Daten sparsam ablegen: Was nicht beim Anbieter liegt, kann auch nicht herausgegeben werden.
• Mit eigenem Schlüssel verschlüsseln: Daten, die vor dem Hochladen verschlüsselt werden und deren Schlüssel nur bei Ihnen liegt, kann der Anbieter nicht lesbar herausgeben.
• Anbieter nach Datenart wählen: Eine öffentliche Website verträgt einen US-Anbieter eher als Kundenakten, Gesundheitsdaten oder Unterlagen von Berufsgeheimnisträgern.

Dieselbe Frage stellt sich bei KI-Diensten, denen Sie Dokumente zur Auswertung übergeben — mehr dazu im Ratgeber KI im Mittelstand. In unserer Fallstudie zur KI-Dokumentenprüfung war die Verarbeitung ausschließlich in der EU von Anfang an eine Anforderung.

Worauf sollten Sie bei der Wahl des Hosting-Anbieters achten?

Diese Punkte klären Sie vor dem Vertragsschluss, nicht nach dem ersten Datensatz:

• Auftragsverarbeitungsvertrag: Er liegt vor, bevor echte Daten fließen. Der Landesbeauftragte für den Datenschutz Niedersachsen stellt dafür eine Formulierungshilfe bereit.
• Standort: Rechenzentrum und Region sind in Vertrag oder Bestellung festgelegt, nicht nur im Werbetext.
• Unterauftragnehmer: Die Liste ist vollständig, mit Sitz und Zweck, und Sie erfahren von Änderungen.
• Drittlandübermittlung: Für jede Übermittlung außerhalb der EU ist die Grundlage benannt, etwa Data Privacy Framework oder Standardvertragsklauseln.
• Sicherheitsnachweise: zum Beispiel ein Testat nach dem C5-Kriterienkatalog des BSI, der Mindestanforderungen an sicheres Cloud Computing festlegt und von Wirtschaftsprüfern geprüft wird, oder eine Zertifizierung nach ISO/IEC 27001.
• Datensicherung: Wo liegen die Sicherungen, wie lange, und wie kommen Sie im Ernstfall heran? Unabhängig davon gehört eine eigene Kopie außerhalb des Anbieters in jedes Backup-Konzept nach 3-2-1.
• Ausstieg: Export in offenen Formaten und nachweisbare Löschung nach Vertragsende.

Welche Hosting-Option passt zu Ihrem Betrieb?

Eine allgemeine Empfehlung gibt es nicht, aber eine sinnvolle Reihenfolge der Fragen:

1. 01

   Daten einordnen

   Welche personenbezogenen Daten verarbeitet die Anwendung, und wie schutzbedürftig sind sie? Kontaktformular und Terminbuchung sind etwas anderes als Personalakten oder Patientendaten.

2. 02

   Bedarf an Diensten klären

   Braucht die Anwendung nur Server, Datenbank und Speicher, reicht ein europäischer Anbieter in aller Regel aus. Verwaltete Spezialdienste sprechen eher für einen großen Anbieter — dann mit bewusst geprüfter Grundlage für die Übermittlung.

3. 03

   Betriebsverantwortung festlegen

   Selbstbetrieb lohnt sich, wenn Auflagen es verlangen oder bereits eigene Server vorhanden sind. Er setzt voraus, dass jemand Updates, Überwachung und Sicherung verlässlich übernimmt. Ob ein eigener Server im Büro überhaupt noch sinnvoll ist, beschreibt der Ratgeber Server im Büro oder Cloud?.

4. 04

   Verträge prüfen und dokumentieren

   Auftragsverarbeitungsvertrag, Unterauftragnehmer und Übermittlungsgrundlage werden vor dem Start geprüft und im Verzeichnis der Verarbeitungstätigkeiten festgehalten.

Bei individuell entwickelten Anwendungen ist die Wahl des Hostings Teil der Architektur. In Projekten für Individualsoftware legen wir sie beim Anlegen der Umgebung fest, weil sich die Region bei manchen Diensten nachträglich nicht mehr ändern lässt. Wie der Selbstbetrieb einer Supabase-Datenbank konkret aussieht, zeigt der Ratgeber Supabase selbst hosten. Unsere Arbeitsweise beschreibt die Seite Supabase in Entwicklung und Betrieb.