Warum die Frage 2026 komplizierter ist als 2022
Wer 2022 fragte „EU-Cloud oder US-Cloud?“, bekam von jedem halbwegs informierten Datenschützer dieselbe Antwort: EU. Schrems II hatte gerade das Privacy Shield zerlegt, US-Anbieter waren rechtlich kaum zu rechtfertigen. Klare Lage.
2026 ist die Lage komplizierter — aber für KMU paradoxerweise klarer geworden, wenn man drei Dinge auseinanderhält. Dieser Artikel macht genau das: Schrems II vs. EU-US Data Privacy Framework, CLOUD Act vs. Auftragsverarbeitung, und Hosting-Entscheidung vs. SaaS-Entscheidung. Er gibt unsere Einschätzung wieder und ist keine Rechtsberatung.
| Rechtlicher Rahmen | Stand 2026 | Praktische Folge für deutsche KMU |
|---|---|---|
| Schrems II (EuGH 2020) | gilt unverändert weiter | Standardvertragsklauseln allein reichen nicht — zusätzliche technische Maßnahmen nötig |
| EU-US Data Privacy Framework (DPF) | aktiv seit Juli 2023 (Angemessenheitsbeschluss der EU-Kommission) | US-Transfer an DPF-zertifizierte Anbieter formal zulässig — aber widerrufbar |
| CLOUD Act (US-Recht) | seit 2018, durch DPF nicht aufgehoben | US-Anbieter können zur Herausgabe von Daten an US-Behörden verpflichtet werden — auch wenn diese in der EU gespeichert sind |
| EU AI Act + DSGVO-Kombination | gilt schrittweise seit 2025 | Bei KI-Workflows sind Datenfluss und Modellanbieter gemeinsam zu bewerten |
Eine rein juristische Antwort gibt es 2026 nicht. Die richtige Hosting-Wahl hängt davon ab, welche Datenkategorie Sie wo verarbeiten und welches Bedrohungsmodell für Sie realistisch ist. Ein Steuerberater hat ein anderes Bedrohungsmodell als ein Online-Shop für T-Shirts.
Säule 1 — Schrems II ist nicht weg, nur eingeschläfert
Das EuGH-Urteil von 2020 sagt: US-Behörden haben Zugriffsmöglichkeiten auf US-Anbieter, die mit dem EU-Grundrechtsniveau unvereinbar sind. Das US-Recht hat sich seit 2020 nicht grundlegend geändert. FISA Section 702 erlaubt weiterhin weitreichende Überwachung, und der CLOUD Act kann US-Provider zur Herausgabe ihrer Kundendaten an US-Behörden verpflichten, auch wenn die Server in der EU stehen.
Was hat sich dann geändert?
Der EU-US Data Privacy Framework (DPF) trat im Juli 2023 in Kraft. Die EU-Kommission stellte fest: Mit der Executive Order 14086 von Präsident Biden und dem neu geschaffenen Data Protection Review Court gibt es jetzt einen „angemessenen Schutz“ für EU-Daten in den USA. Damit dürfen DPF-zertifizierte US-Anbieter wieder ohne zusätzliche SCC-Klauseln EU-Daten verarbeiten.
Klingt wie Entwarnung — ist aber keine. Drei Punkte, die KMU 2026 wissen sollten:
- Der DPF kann politisch oder gerichtlich wieder kippen. Ein neues Schrems-Urteil oder eine andere US-Politik kann ihn binnen Monaten aushebeln — wie schon das Privacy Shield. Wer komplette Geschäftsprozesse auf US-Anbieter aufbaut, hat ein latentes Klumpenrisiko.
- Der CLOUD Act bleibt unangetastet. US-Behörden können bei US-Anbietern weiterhin Datenherausgabe verlangen — auch von Daten, die in EU-Rechenzentren liegen.
- Einzelne deutsche Aufsichtsbehörden äußern sich zum DPF weiterhin zurückhaltend.
Konkret heißt das: DPF-Zertifizierung schafft rechtliche Zulässigkeit, aber keine rechtliche Sicherheit. Wer Patientenakten, Steuerdaten oder Mandantenkommunikation einem US-Anbieter anvertraut, sollte einkalkulieren, im schlimmsten Fall innerhalb von 12–24 Monaten umziehen zu müssen.
Säule 2 — CLOUD Act, der heimliche Show-Stopper
Der US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) von 2018 wird in deutscher Wirtschaftspresse oft erwähnt, aber selten erklärt. Kurz: Hat ein Unternehmen seinen rechtlichen Sitz in den USA, können US-Behörden von ihm und seinen Tochterfirmen die Herausgabe von Kundendaten verlangen — egal, wo diese physisch gespeichert sind.
| Anbieter-Typ | CLOUD-Act-Verpflichtung | Konsequenz |
|---|---|---|
| AWS, Azure, Google Cloud (US-Mutter) | ja, betrifft auch EU-Regions | EU-Speicherort allein schützt nicht |
| AWS Frankfurt mit Sovereign Cloud | teilweise abgemildert | Vertragliche Schutzschilder, aber kein Freibrief |
| Microsoft EU Data Boundary | aktiv seit 2024 | Speicherung + Verarbeitung in EU, aber Mutter bleibt US-Recht unterworfen |
| EU-eigene Anbieter (OVH, Hetzner, IONOS, Hostinger) | nein (bei US-Töchtern gesondert prüfen) | kein direkter Zugriff über den CLOUD Act |
Ein Beispiel-Szenario: Ein Hamburger Steuerberater nutzt Microsoft 365. Microsoft hat Frankfurt-Server, EU-AVV, alles formal sauber. Eine US-Strafverfolgungsbehörde stellt eine CLOUD-Act-Anfrage zu einem deutschen Mandanten, der Geschäfte mit den USA hat. Microsoft kann dann zur Herausgabe verpflichtet sein, auch ohne Beteiligung eines deutschen Gerichts.
Wie häufig passiert das? Microsoft veröffentlicht dazu regelmäßig Transparency Reports mit Zahlen zu staatlichen Datenanfragen. Für die Mehrheit deutscher KMU-Daten ist ein solcher Zugriff real eher unwahrscheinlich — aber das ist eine Risikoabwägung, kein juristisches Argument.
Säule 3 — Anbieter-Vergleich für deutsche KMU 2026
Konkrete Anbieter-Tabelle. Bewertet nach drei Achsen: rechtliche Sauberkeit, technische Reife, Preis-Realität für KMU.
| Anbieter | Sitz | DPF-Status | CLOUD Act | AVV-Reife | KMU-Preis-Punkt |
|---|---|---|---|---|---|
| Hostinger | Litauen (EU) | nicht relevant | nein | gut, deutsche AVV-Vorlage verfügbar | 5–15 €/Mo VPS |
| Hetzner | Deutschland | nicht relevant | nein | sehr gut, ISO 27001 | 4–20 €/Mo Cloud |
| IONOS | Deutschland | nicht relevant | nein | sehr gut, BSI-IT-Grundschutz testiert | 5–25 €/Mo Cloud |
| Strato | Deutschland | nicht relevant | nein | gut | 4–15 €/Mo VPS |
| OVHcloud | Frankreich | nicht relevant | nein (Tochter in US-Recht für US-Region trennbar) | sehr gut | 4–25 €/Mo VPS |
| AWS Frankfurt | USA-Mutter | ja, DPF-zertifiziert | ja | ausgereift, komplex | 30–200+ €/Mo realistisch |
| Azure Frankfurt | USA-Mutter | ja, DPF-zertifiziert | ja | ausgereift, komplex | 25–150+ €/Mo realistisch |
| Google Cloud Frankfurt | USA-Mutter | ja, DPF-zertifiziert | ja | ausgereift | 20–150+ €/Mo realistisch |
| Supabase (PostgreSQL-as-a-Service) | USA-Mutter | ja, DPF-zertifiziert | ja | gut, EU-Region buchbar | 0–25 €/Mo |
| Vercel (Hosting für Next.js) | USA-Mutter | ja, DPF-zertifiziert | ja | gut | 0–20 €/Mo Hobby/Pro |
Wichtig: Die Tabelle ist keine Empfehlung „alle EU = gut, alle US = böse“. Sie zeigt, welche rechtliche Konstellation zu welchem Bedrohungsmodell passt.
Welcher KMU-Typ braucht was?
- Handwerker, Online-Shop, Marketing-Agentur, allgemeine Dienstleistung: Drittland-Transfer mit DPF-zertifizierten US-Anbietern ist 2026 nach unserer Einschätzung rechtlich vertretbar. Das Risiko liegt eher beim politischen Klumpenrisiko, nicht beim akuten Audit. Kosten und Convenience sprechen oft für US-SaaS.
- Steuerberater, Anwälte, Ärzte: Für Berufsgeheimnisträger nach § 203 StGB gilt eine Verschwiegenheitspflicht, die über die DSGVO hinausgeht. US-Anbieter sind hier nach unserer Einschätzung nur schwer vertretbar, EU-Hosting ist die naheliegende Wahl. Details klären Sie am besten mit Ihrer Kammer oder Ihrer Kanzlei.
- B2B mit öffentlichen Auftraggebern, Kommunen, KRITIS-naher Mittelstand: Vergaberichtlinien fordern oft EU-Souveränität. Auch hier EU-Hosting bevorzugen, sonst drohen Nachteile bei Ausschreibungen.
- KMU mit Verbraucher-PII (Endkundennamen, Adressen, Bewegungsdaten): Hier ist ein PII-Filter vor jedem Drittland-Call nach unserer Einschätzung ein Muss (siehe DSGVO-Pillar). Damit wird die US-Anbieter-Frage entschärft, weil die KI nur maskierte Daten sieht.
Säule 4 — Was AVV wirklich leistet (und was nicht)
Ein Auftragsverarbeitungsvertrag ist kein Schutz vor Behördenzugriff. Er regelt: Der Anbieter darf Daten nur weisungsgemäß verarbeiten, muss bei Datenpannen melden, muss Löschung umsetzen, muss Audit-Rechte einräumen. AVVs sind formelle Pflicht — aber technisch wirkungslos gegen CLOUD-Act-Anfragen.
| Was der AVV leistet | Was der AVV nicht leistet |
|---|---|
| Vertragliche Pflicht zu Weisungsgebundenheit | Schutz vor staatlichem Zugriff (US, China, anderswo) |
| Meldepflicht bei Datenpannen | Garantie, dass Daten nicht für KI-Training genutzt werden (das muss extra vereinbart werden) |
| Recht auf Audit beim Anbieter | Praktische Durchsetzbarkeit von Audits bei Hyperscalern |
| Definition technisch-organisatorischer Maßnahmen | Verhinderung von Sub-Auftragsverarbeitern (nur Information darüber) |
| Klare Rollenverteilung Verantwortlicher / Auftragsverarbeiter | Schutz, wenn Anbieter Insolvenz anmeldet und Daten in andere Länder migriert |
Für KMU ist die wichtigste AVV-Klausel: Kein KI-Training mit Kundendaten. Anthropic, OpenAI Enterprise und Azure-OpenAI bieten diese Klausel — kostenlose ChatGPT-Konten oder Standard-Gemini hingegen behalten sich Trainings-Nutzung vor. Für KI-API-Calls mit Kundendaten sollten Sie deshalb ein Business- oder Enterprise-Tier mit ausdrücklichem AVV nutzen.
Säule 5 — Migrations-Pfad: vom US-SaaS-Stack zu EU-souverän
Wenn Sie heute auf einem klassischen Mittelstand-Stack sitzen (Microsoft 365, HubSpot, Mailchimp, Google Workspace, vielleicht Asana oder Notion) und sich fragen, wie der Weg zu EU-Souveränität konkret aussieht — hier ein realistischer Phasen-Plan.
Phase 1 — Risiko-Sortierung (1 Woche)
Erst inventarisieren: Welche Tools haben welche Datenkategorien? Legen Sie eine Tabelle an: Tool, Datenkategorie (z. B. Kundenstammdaten, Mandantenkorrespondenz, interne Kommunikation), Hosting-Sitz, AVV-Status, Risikobewertung (rot/gelb/grün). Ohne diese Inventur ist jede Migration Bauchgefühl.
Phase 2 — Quick-Wins zuerst (2 Wochen)
Alles, was rot ist und sich unkritisch migrieren lässt: weg. Beispiele aus der KMU-Praxis: Mailchimp (US) → Brevo (EU) oder Mailjet (EU). Calendly (US) → Cal.com (EU-deployable) oder TidyCal (DPF, aber günstig). Notion-Workspaces mit sensiblen Notizen → Affine oder Outline self-hosted.
Phase 3 — Schwere Brocken (3-12 Monate)
Microsoft 365 zu wechseln ist für die meisten KMU nicht realistisch — Office, Excel, Teams sind operativ tief verankert. Pragmatisch: Microsoft 365 behalten, aber mit EU Data Boundary aktivieren plus E5-Tier mit Customer Lockbox plus klare Inventur, was wirklich in M365 liegt vs. was nicht. HubSpot-CRM zu wechseln ist machbar, wenn das CRM-Volumen klein ist — Pipedrive (Estland) oder TecArt (Deutschland) sind realistische Alternativen für unter 20 Sales-User.
Phase 4 — KI-Workflows souverän bauen (laufend)
Hier wird der Hosting-Vorteil konkret: Wer n8n auf einem EU-Server betreibt, den KI-Anbieter per AVV absichert und vor jedem KI-Call einen PII-Filter im Code-Node einsetzt, hat einen Stack, den man einem DSB ohne Schweißausbrüche vorlegen kann.
So arbeiten wir auch selbst: Die FlowBrain-Website und unser n8n laufen auf einem Hostinger-VPS in Frankfurt am Main. Für die KI-Auswertung gehen nur maskierte Daten an Anthropic (USA), abgesichert über einen AVV mit Standardvertragsklauseln. E-Mails versenden wir über Resend (USA) mit Standardvertragsklauseln. Wie solche Workflows aufgebaut sind, zeigen wir unter n8n-Workflows.
Häufige Fehler bei der Hosting-Entscheidung
Fehler 1: „Wir nutzen ja AWS Frankfurt, das ist EU.“ Zu kurz gedacht. AWS Frankfurt ist physisch in Deutschland, AWS Inc. sitzt in Seattle. Der CLOUD Act kann greifen. Das Frankfurt-Argument hilft bei der Latenz, schützt aber nicht vor einer Herausgabeanordnung.
Fehler 2: „Wir haben einen AVV, also alles gut.“ Der AVV ist Pflicht, aber er regelt vertragliche Pflichten. Gegen US-Behördenanfragen schützt er nicht. Für Berufsgeheimnisträger (§ 203 StGB) kommt die strafrechtlich abgesicherte Schweigepflicht hinzu; ein AVV allein deckt diese nach unserer Einschätzung nicht ab.
Fehler 3: „EU-Hosting ist immer DSGVO-konform.“ Auch falsch. Ein Hetzner-Server ist nicht von sich aus DSGVO-konform. DSGVO-Konformität entsteht durch organisatorische und technische Maßnahmen oben drauf — Verschlüsselung, Zugriffskontrolle, Lösch-Routinen, Audit-Logs. Hosting ist nur die Basis.
Fehler 4: „Self-Hosted ist sicherer als SaaS.“ Kommt darauf an, wer es betreibt. Ein professionell betriebener SaaS mit ISO 27001 und SOC 2 ist sicherer als ein selbstgehosteter Server, dessen Patches drei Monate hinterherhinken. Self-Hosting heißt: Verantwortung übernehmen für Updates, Backups, Monitoring, Härtung.
Fehler 5: „Wir warten ab, bis sich die Lage klärt.“ Sie wird sich nicht klären. Datenschutz ist ein Prozess, kein Endzustand. Wer 2026 nicht anfängt, sich strukturiert mit Hosting-Souveränität auseinanderzusetzen, hat 2027 dasselbe Problem — nur größer.
Beispiel-Szenario: Migration eines Marketing-Workflows
Ein durchgespieltes Szenario (kein reales Kundenprojekt) zeigt, wie eine Migrations-Entscheidung aussehen kann. Ausgangslage: Eine 12-Personen-Marketing-Agentur in München nutzt für einen Kunden-Newsletter-Workflow Mailchimp (US, DPF-zertifiziert), HubSpot (US, DPF-zertifiziert) und ChatGPT-Pro (US, kein AVV).
Risiko-Sortierung: ChatGPT-Pro ohne AVV ist ein klares Rot — keine Geschäftsdaten hineinkopieren. Mailchimp und HubSpot sind formal gelb (DPF, aber CLOUD Act). Der Workflow leitet Kundennamen, E-Mails und Themen-Interessen durch alle drei.
Pragmatischer Pfad: ChatGPT-Pro → Anthropic-Claude-API mit AVV (schneller Wechsel, etwa ein Tag Aufwand). Mailchimp → Brevo (EU, Migration in 2 Wochen, ähnliche Funktionen). HubSpot bleibt, weil das Sales-Team es nicht aufgeben will, aber mit zusätzlicher Datenmaskierung im KI-Workflow: Bevor Daten an Claude gehen, läuft ein PII-Filter, der Klarnamen durch Tokens ersetzt. Damit landen bei Claude nur Branchen-Profil und Themen-Interessen, keine identifizierbaren Personen.
Ergebnis: Der Datenfluss ist sauber dokumentierbar, AVVs liegen vor, die technische Maßnahme (Filter) reduziert den Drittland-Transfer auf das Minimum. Gegenüber einem DSB ließe sich das nach unserer Einschätzung gut begründen.
Audit-Checkliste — was Sie bis Ende 2026 auf Papier haben sollten
- ☐ Inventur aller Tools mit Datenkategorien und Hosting-Sitz
- ☐ AVV mit jedem Drittland-Anbieter, der Personenbezugsdaten verarbeitet
- ☐ Dokumentation, warum für jede Datenkategorie der gewählte Anbieter rechtlich passt
- ☐ Bei US-Anbietern: DPF-Status geprüft, Risikobewertung dokumentiert
- ☐ Technische Maßnahmen (Verschlüsselung, PII-Filter, Audit-Log) für KI-Workflows aktiv
- ☐ Plan B: Welcher EU-Anbieter ist Backup, falls DPF kippt?
- ☐ Mitarbeiter-Schulung „Welche Daten gehen wohin“ — mindestens 1× pro Jahr
- ☐ Externe DSB-Prüfung mindestens alle 24 Monate
Wer diese Liste 2026 nicht abhaken kann, ist nicht automatisch im Bußgeldrisiko — aber bei einem Audit oder einem Datenleck steht er ohne Dokumentation da. Und fehlende Dokumentation kann nach DSGVO selbst ein Bußgeld auslösen.
Fazit: Die Hosting-Entscheidung ist eine Risiko-Entscheidung
Es gibt 2026 keinen Anbieter, bei dem alles automatisch DSGVO-konform ist. Es gibt nur Anbieter, bei denen die rechtlichen Voraussetzungen gegeben sind, plus organisatorische und technische Maßnahmen, die Sie selbst dazu bauen müssen.
Für die meisten deutschen KMU ist die pragmatische Antwort: EU-Hosting für Daten mit Berufsgeheimnis oder hoher Sensitivität, US-Anbieter mit DPF-Zertifizierung und PII-Filter für alles andere. Ein schlanker Stack, der sich gegenüber einem DSB gut begründen lässt und trotzdem moderne KI-Workflows erlaubt, ist nach unserer Einschätzung: n8n auf einem EU-Server (bei uns ein Hostinger-VPS in Frankfurt am Main), KI über Anthropic (USA) nur mit maskierten Daten und AVV, dazu ein PII-Filter vor jedem KI-Call.
Wer wissen will, wie sein konkreter Stack aussehen würde — Branche, Mitarbeiterzahl, Datenkategorien, KI-Bedarf —, kann den Fragebogen ausfüllen oder direkt ein kostenloses Erstgespräch vereinbaren. Daraus entsteht eine konkrete Empfehlung mit AVV-Liste, Tool-Vorschlägen und Migrations-Reihenfolge statt allgemeiner Compliance-Beratung; eine Rechtsberatung ersetzt sie nicht.