EU-Hosting vs. US-Cloud — die realen Unterschiede für deutsche KMU

Warum die Frage 2026 komplizierter ist als 2022

Wer 2022 fragte „EU-Cloud oder US-Cloud?", bekam von jedem halbwegs informierten Datenschützer dieselbe Antwort: EU. Schrems II hatte gerade das Privacy Shield zerlegt, US-Anbieter waren rechtlich kaum zu rechtfertigen. Klare Lage.

2026 ist die Lage komplizierter — aber für KMU paradoxerweise klarer geworden, wenn man drei Dinge auseinanderhält. Dieser Artikel macht genau das: Schrems II vs. EU-US Data Privacy Framework, CLOUD Act vs. Auftragsverarbeitung, und Hosting-Entscheidung vs. SaaS-Entscheidung.

Die unbequeme Wahrheit: Es gibt 2026 keine rein juristische Antwort. Die richtige Hosting-Wahl hängt davon ab, welche Datenkategorie du wo verarbeitest und welches Bedrohungsmodell für dich realistisch ist. Ein Steuerberater hat ein anderes Bedrohungsmodell als ein Online-Shop für T-Shirts.

Säule 1 — Schrems II ist nicht weg, nur eingeschläfert

Das EuGH-Urteil von 2020 sagt: US-Behörden haben Zugriffsmöglichkeiten auf US-Anbieter, die mit dem EU-Grundrechtsniveau unvereinbar sind. Das US-Recht hat sich seit 2020 nicht grundlegend geändert. FISA Section 702 erlaubt weiterhin Massenüberwachung, der CLOUD Act zwingt US-Provider zur Herausgabe ihrer Kundendaten an US-Behörden, auch wenn Server in der EU stehen.

Was hat sich dann geändert?

Der EU-US Data Privacy Framework (DPF) trat im Juli 2023 in Kraft. Die EU-Kommission stellte fest: Mit dem neuen Privacy-Schutzgesetz von Biden (Executive Order 14086, plus Data Protection Review Court) gibt es jetzt einen „angemessenen Schutz" für EU-Daten in den USA. Damit dürfen DPF-zertifizierte US-Anbieter wieder ohne zusätzliche SCC-Klauseln EU-Daten verarbeiten.

Klingt wie Entwarnung — ist aber keine. Drei Punkte, die KMU 2026 wissen müssen:

• Der DPF kann jederzeit politisch widerrufen werden. Ein neues Schrems-Urteil oder eine andere US-Regierung kann ihn binnen Monaten kippen — wie schon das Privacy Shield. Wer komplette Geschäftsprozesse auf US-Anbieter aufbaut, hat ein latentes Klumpenrisiko.
• Der CLOUD Act bleibt unangetastet. US-Behörden können bei US-Anbietern weiterhin Datenherausgabe verlangen — auch von Daten, die in EU-Rechenzentren liegen.
• Aufsichtsbehörden in einigen Bundesländern (z. B. Baden-Württemberg, Hamburg) bewerten den DPF-Status zurückhaltend und prüfen US-Transfers nach wie vor strenger.

Konkret heißt das: DPF-Zertifizierung schafft rechtliche Zulässigkeit, aber keine rechtliche Sicherheit. Wer Patientenakten, Steuerdaten oder Mandantenkommunikation einem US-Anbieter anvertraut, muss damit rechnen, im Worst-Case in 12-24 Monaten umziehen zu müssen.

Säule 2 — CLOUD Act, der heimliche Show-Stopper

Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 wird in deutscher Wirtschaftspresse oft erwähnt, aber selten erklärt. Kurz: Wenn ein Unternehmen seinen rechtlichen Sitz in den USA hat, müssen seine Tochterfirmen weltweit auf US-Anordnung Kundendaten herausgeben — egal wo physisch gespeichert.

Beispiel aus der Praxis: Ein Hamburger Steuerberater nutzt Microsoft 365. Microsoft hat Frankfurt-Server, EU-AVV, alles formal sauber. Eine US-Strafverfolgungsbehörde stellt eine CLOUD-Act-Anfrage zu einem deutschen Mandanten, der Geschäfte mit den USA hat. Microsoft muss liefern — auch ohne deutsche Gerichtsbeteiligung.

In welcher Häufigkeit das passiert? Microsoft veröffentlicht Transparency Reports: 2023 erhielt Microsoft weltweit über 25.000 staatliche Datenanfragen, davon ein signifikanter Anteil aus den USA. Für die Mehrheit deutscher KMU-Daten ist das real eher unwahrscheinlich — aber das ist eine Risikoabwägung, kein juristisches Argument.

Säule 3 — Anbieter-Vergleich für deutsche KMU 2026

Konkrete Anbieter-Tabelle. Bewertet nach drei Achsen: rechtliche Sauberkeit, technische Reife, Preis-Realität für KMU.

Wichtig: Die Tabelle ist keine Empfehlung „alle EU = gut, alle US = böse". Sie zeigt, welche rechtliche Konstellation zu welchem Bedrohungsmodell passt.

Welcher KMU-Typ braucht was?

• Handwerker, Online-Shop, Marketing-Agentur, allgemeine Dienstleistung: Drittland-Transfer mit DPF-zertifizierten US-Anbietern ist 2026 rechtlich vertretbar. Risiko liegt eher beim politischen Klumpenrisiko, nicht beim akuten Audit. Kosten und Convenience sprechen oft für US-SaaS.
• Steuerberater, Anwälte, Ärzte, Versicherungsmakler: Berufsgeheimnis (§ 203 StGB für Ärzte/Anwälte/Steuerberater) macht US-Anbieter nahezu unmöglich, da Verschwiegenheitspflicht über DSGVO hinausgeht. EU-Hosting ist hier praktisch Pflicht.
• B2B mit öffentlichen Auftraggebern, Kommunen, KRITIS-naher Mittelstand: Vergaberichtlinien fordern oft EU-Souveränität. Auch hier EU-Hosting bevorzugen, sonst fliegt man bei Ausschreibungen raus.
• KMU mit Verbraucher-PII (Endkundennamen, Adressen, Bewegungsdaten): Hier gilt: PII-Filter vor jedem Drittland-Call ist Pflicht (siehe DSGVO-Pillar). Damit wird die US-Anbieter-Frage entschärft, weil die KI nur maskierte Daten sieht.

Säule 4 — Was AVV wirklich leistet (und was nicht)

Ein Auftragsverarbeitungsvertrag ist kein Schutz vor Behördenzugriff. Er regelt: Der Anbieter darf Daten nur weisungsgemäß verarbeiten, muss bei Datenpannen melden, muss Löschung umsetzen, muss Audit-Rechte einräumen. AVVs sind formelle Pflicht — aber technisch wirkungslos gegen CLOUD-Act-Anfragen.

Für KMU ist die wichtigste AVV-Klausel: Kein KI-Training mit Kundendaten. Anthropic, OpenAI Enterprise und Azure-OpenAI bieten diese Klausel — kostenlose ChatGPT-Konten oder Standard-Gemini hingegen behalten sich Trainings-Nutzung vor. Für jeden KI-API-Call mit Kundendaten ist deshalb ein Business- oder Enterprise-Tier mit explizitem AVV-Anhang Pflicht.

Säule 5 — Migrations-Pfad: vom US-SaaS-Stack zu EU-souverän

Wenn du heute auf einem klassischen Mittelstand-Stack sitzt (Microsoft 365, HubSpot, Mailchimp, Google Workspace, vielleicht Asana oder Notion) und dich fragst, wie der Weg zu EU-Souveränität konkret aussieht — hier ein realistischer Phasen-Plan.

Phase 1 — Risiko-Sortierung (1 Woche)

Erst inventarisieren: Welche Tools haben welche Datenkategorien? Mache eine Tabelle: Tool, Datenkategorie (z. B. Kundenstammdaten, Mandantenkorrespondenz, interne Kommunikation), Hosting-Sitz, AVV-Status, Risikobewertung (rot/gelb/grün). Ohne diese Inventur ist jede Migration Bauchgefühl.

Phase 2 — Quick-Wins zuerst (2 Wochen)

Alles was rot ist und unkritisch zu migrieren: weg. Beispiele aus der KMU-Praxis: Mailchimp (US) → Brevo (EU) oder Mailjet (EU). Calendly (US) → Cal.com (EU-deployable) oder TidyCal (DPF, aber günstig). Notion-Workspaces mit sensiblen Notizen → Affine oder Outline self-hosted.

Phase 3 — Schwere Brocken (3-12 Monate)

Microsoft 365 zu wechseln ist für die meisten KMU nicht realistisch — Office, Excel, Teams sind operativ tief verankert. Pragmatisch: Microsoft 365 behalten, aber mit EU Data Boundary aktivieren plus E5-Tier mit Customer Lockbox plus klare Inventur, was wirklich in M365 liegt vs. was nicht. HubSpot-CRM zu wechseln ist machbar, wenn das CRM-Volumen klein ist — Pipedrive (Estland) oder TecArt (Deutschland) sind realistische Alternativen für unter 20 Sales-User.

Phase 4 — KI-Workflows souverän bauen (laufend)

Hier wird der Hosting-Vorteil konkret: Wer n8n auf Hostinger-VPS in Frankfurt fährt, plus Anthropic-API mit EU-Region und AVV, plus PII-Filter im Code-Node, hat einen Stack, der einem DSB ohne Schweißausbrüche vorgelegt werden kann.

Häufige Fehler bei der Hosting-Entscheidung

Fehler 1: „Wir nutzen ja AWS Frankfurt, das ist EU." Falsch. AWS Frankfurt ist physisch in Deutschland, AWS Inc. sitzt in Seattle. CLOUD Act greift. Das Frankfurt-Argument schützt nur gegen Latenz, nicht gegen Datenherausgabe.

Fehler 2: „Wir haben einen AVV, also alles gut." Der AVV ist Pflicht, aber er regelt vertragliche Pflichten. Gegen US-Behördenanfragen schützt er nicht. Wer Berufsgeheimnis hat (§ 203 StGB), riskiert mit US-Anbieter strafrechtliche Probleme — unabhängig vom AVV.

Fehler 3: „EU-Hosting ist immer DSGVO-konform." Auch falsch. Ein Hetzner-Server ist nicht von sich aus DSGVO-konform. DSGVO-Konformität entsteht durch organisatorische und technische Maßnahmen oben drauf — Verschlüsselung, Zugriffskontrolle, Lösch-Routinen, Audit-Logs. Hosting ist nur die Basis.

Fehler 4: „Self-Hosted ist sicherer als SaaS." Kommt darauf an, wer es betreibt. Ein professionell betriebener SaaS mit ISO 27001 und SOC 2 ist sicherer als ein selbstgehosteter Server, dessen Patches drei Monate hinterherhinken. Self-Hosting heißt: Verantwortung übernehmen für Updates, Backups, Monitoring, Härtung.

Fehler 5: „Wir warten ab, bis sich die Lage klärt." Sie wird sich nicht klären. Datenschutz ist ein Prozess, kein Endzustand. Wer 2026 nicht anfängt, sich strukturiert mit Hosting-Souveränität auseinanderzusetzen, hat 2027 dasselbe Problem — nur größer.

Praxis-Beispiel: Migration eines Marketing-Workflows

Konkretes Bild, wie eine Migrations-Entscheidung aussieht. Ausgangslage: Eine 12-Personen-Marketing-Agentur in München nutzt für einen Kunden-Newsletter-Workflow Mailchimp (US, DPF-zertifiziert), HubSpot (US, DPF-zertifiziert) und ChatGPT-Pro (US, kein AVV).

Risiko-Sortierung: ChatGPT-Pro ohne AVV ist ein klares Rot — keine Geschäftsdaten reinwerfen. Mailchimp und HubSpot sind formal gelb (DPF, aber CLOUD Act). Der Workflow leitet Kundennamen, E-Mails und Themen-Interessen durch alle drei.

Pragmatischer Pfad: ChatGPT-Pro → Anthropic-Claude-API mit EU-Region (sofortiger Switch, ein Tag Aufwand). Mailchimp → Brevo (EU, Migration in 2 Wochen, ähnliche Funktionen). HubSpot → bleibt, da Sales-Team es nicht aufgeben will, aber mit zusätzlicher EU-Datenmaskierung im KI-Workflow: Bevor Daten an Claude gehen, läuft ein PII-Filter, der Klarnamen durch Tokens ersetzt. Damit landen bei Claude nur Branchen-Profil und Themen-Interessen, keine identifizierbaren Personen.

Ergebnis: Datenfluss ist sauber dokumentierbar, AVVs liegen vor, technische Maßnahme (Filter) reduziert Drittland-Transfer auf das Minimum. Bei einem DSB-Audit wäre das verteidigbar.

Audit-Checkliste — was du bis Ende 2026 auf Papier haben solltest

• [ ] Inventur aller Tools mit Datenkategorien und Hosting-Sitz
• [ ] AVV mit jedem Drittland-Anbieter, der Personenbezugsdaten verarbeitet
• [ ] Dokumentation, warum für jede Datenkategorie der gewählte Anbieter rechtlich passt
• [ ] Bei US-Anbietern: DPF-Status geprüft, Risikobewertung dokumentiert
• [ ] Technische Maßnahmen (Verschlüsselung, PII-Filter, Audit-Log) für KI-Workflows aktiv
• [ ] Plan B: Welcher EU-Anbieter ist Backup, falls DPF kippt?
• [ ] Mitarbeiter-Schulung „Welche Daten gehen wohin" — mindestens 1× pro Jahr
• [ ] Externe DSB-Prüfung mindestens alle 24 Monate

Wer diese Liste 2026 nicht abhaken kann, ist nicht automatisch im Bußgeldrisiko — aber bei einem Audit oder einem Datenleck steht er ohne Dokumentation da. Und Dokumentations-Mangel ist nach DSGVO eine eigene Bußgeldkategorie.

Fazit: Die Hosting-Entscheidung ist eine Risiko-Entscheidung

Es gibt 2026 keinen Anbieter, bei dem alles automatisch DSGVO-konform ist. Es gibt nur Anbieter, bei denen die rechtlichen Voraussetzungen gegeben sind, plus organisatorische und technische Maßnahmen, die du selbst dazu bauen musst.

Für die meisten deutschen KMU ist die pragmatische Antwort: EU-Hosting für Daten mit Berufsgeheimnis oder hoher Sensitivität, US-Anbieter mit DPF-Zertifizierung und PII-Filter für alles andere. Self-Hosting auf Hostinger-VPS in Frankfurt plus n8n plus Anthropic-EU-Region ist 2026 für KMU der schlankste Stack, der einem DSB-Audit standhält und gleichzeitig moderne KI-Workflows erlaubt.

Wer wissen will, wie sein konkreter Stack aussehen würde — Branche, Mitarbeiterzahl, Datenkategorien, KI-Bedarf — kann den Fragebogen ausfüllen oder direkt einen Termin buchen. Daraus kommt eine konkrete Empfehlung mit AVV-Liste, Tool-Vorschlägen und Migrations-Reihenfolge, statt allgemeiner Compliance-Beratung.