Business-Software mit EU-Hosting: So vermeiden Sie den US-Cloud-Zwang
„Gehostet in der EU“ klingt nach Sicherheit. Es beantwortet aber nur eine Frage: wo die Daten liegen. Hier erfahren Sie, wie Sie Business-Software erkennen, bei der Sie die Kontrolle über Ihre Daten behalten, und wie Sie vermeiden, an einen US-Anbieter gebunden zu sein.
Das Wichtigste in Kürze
- Der Standort des Rechenzentrums ist nur ein Teil der Antwort. Auch Sitz, Eigentümer und Zugriffe des Anbieters zählen.
- Das US-Recht (CLOUD Act) kann US-Anbieter nach verbreiteter Auslegung auch für Daten in der EU in die Pflicht nehmen.
- Fünf Fragen helfen bei der Prüfung: Eigentümer, Datenorte, Unterauftragnehmer, Schlüssel und Ausstieg.
- Wege aus der Abhängigkeit sind EU-Anbieter, Selbstbetrieb oder eine Mischung aus beidem.
Was „US-Cloud-Zwang“ bedeutet
Gemeint ist die Abhängigkeit von Software, die nur als Dienst eines US-Konzerns nutzbar ist. Selbst wenn dessen Rechenzentrum in der EU steht, bleibt der Anbieter dem Recht seines Heimatlandes unterworfen. Für Betriebe mit sensiblen Kunden-, Mitarbeiter- oder Gesundheitsdaten ist das ein Punkt, den sie bewusst abwägen sollten.
Das ist keine Anklage gegen einzelne Produkte. Es geht darum, dass Sie wissen, was Sie vereinbaren, und eine Wahl haben.
Der rechtliche Hintergrund: CLOUD Act und Data Privacy Framework
Der CLOUD Act ist ein US-Gesetz von 2018. Er erlaubt US-Behörden, von US-Anbietern Daten herauszuverlangen, die sich in deren Besitz oder unter deren Kontrolle befinden. Nach verbreiteter Auslegung gilt das auch dann, wenn die Daten in einem Rechenzentrum in der EU liegen und der Anbieter dort eine Tochterfirma betreibt.
Das heißt nicht, dass solche Zugriffe stattfinden. Microsoft betont, einen solchen Fall bisher nicht gehabt zu haben. Allerdings erklärte Microsoft France im Juni 2025 vor dem französischen Senat, eine Nichtweitergabe an US-Behörden nicht garantieren zu können. Ein Rechenzentrum in der EU, wie es etwa die „EU Data Boundary“ von Microsoft vorsieht, regelt, wo Daten liegen. Es ändert nichts daran, dass der Anbieter ein US-Unternehmen ist.
Für Übermittlungen in die USA stützen sich viele Anbieter auf das EU-US Data Privacy Framework. Das Gericht der EU hat eine Klage dagegen im September 2025 abgewiesen, der Beschluss gilt damit weiter. Ein Berufungsverfahren beim Europäischen Gerichtshof ist anhängig. Wie es ausgeht, lässt sich heute nicht sagen.
Fünf Fragen, mit denen Sie Anbieter prüfen
- Wem gehört der Anbieter? Eine Tochterfirma in der EU kann einen Mutterkonzern außerhalb der EU haben.
- Wo liegen Daten, Sicherungen und Protokolle, und von wo greift der Support zu? Fragen Sie nach einer vollständigen Liste der Standorte.
- Welche Unterauftragnehmer gibt es? Jede weitere Firma ist ein weiterer Rechtsrahmen.
- Wer hält die Schlüssel? Verschlüsselung hilft nur, wenn nicht der Anbieter allein darüber verfügt. Fragen Sie genau nach, was verschlüsselt wird und was nicht.
- Wie kommen Sie wieder heraus? Vollständiger Export in offenen Formaten, ohne Zusatzkosten.
Drei Wege zu mehr Datenhoheit
- EU-Anbieter nutzen. Sie vermeiden die Verwaltung der Technik und prüfen Sitz, Eigentümer und Verträge.
- Selbst betreiben. Sie behalten die volle Kontrolle, tragen aber auch Betrieb, Updates und Sicherheit. Mehr dazu in Open-Source-Workspace selbst betreiben.
- Beides verbinden. Beginnen Sie bei einem EU-Anbieter und ziehen Sie später auf eine eigene Instanz um, wenn Software und Formate das zulassen.
Wichtig ist, dass der Wechsel zwischen diesen Wegen jederzeit möglich bleibt. Offene Formate und einsehbarer Quellcode helfen dabei.
Checkliste für Vertrag und Einführung
- Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor
- Liste der Unterauftragnehmer und der Datenorte ist Teil des Vertrags
- Ablauf bei Löschung und Kündigung ist beschrieben
- Export aller Daten in offenen Formaten ist zugesichert
- Zugriffsrechte, Protokolle und Anmeldung mit zweitem Faktor sind eingerichtet
- Bei Bedarf ist eine Datenschutz-Folgenabschätzung bzw. Transfer-Risikoanalyse dokumentiert
Häufige Fragen
Reicht EU-Hosting, damit Software DSGVO-konform ist?
Nein. Der Standort des Rechenzentrums ist nur ein Kriterium. Wichtig sind außerdem Sitz und Eigentümer des Anbieters, der Auftragsverarbeitungsvertrag, die Unterauftragnehmer und Ihre eigene Nutzung.
Gilt der CLOUD Act auch für Daten in europäischen Rechenzentren?
Nach verbreiteter Auslegung kann er US-Anbieter auch für Daten verpflichten, die in der EU liegen, wenn der Anbieter sie besitzt oder kontrolliert. Das ist eine rechtliche Einschätzung. Lassen Sie Ihren Einzelfall beurteilen.
Ist das EU-US Data Privacy Framework gültig?
Es gilt derzeit. Das Gericht der EU hat eine Klage im September 2025 abgewiesen. Ein Berufungsverfahren beim Europäischen Gerichtshof ist anhängig, ein Urteil liegt nicht vor.
Muss ich selbst hosten, um unabhängig zu sein?
Nein. Auch ein EU-Anbieter kann passen, wenn Sie Sitz, Eigentümer und Verträge geprüft haben und jederzeit exportieren können. Selbstbetrieb gibt die meiste Kontrolle, verlangt aber Betriebsaufwand.
Wie oawad dazu passt
oawad setzt auf Daten in der EU, offenen Quellcode (Lizenz AGPL-3.0 geplant), Export in offenen Formaten und die Möglichkeit, auf eine eigene Instanz umzuziehen. Anbieter ist die breida software GmbH mit Sitz in Vösendorf, Österreich. Den genauen Standort des Rechenzentrums nennen wir vor der Veröffentlichung.
oawad ist in Entwicklung und noch nicht verfügbar.
Rechtshinweis: Dieser Beitrag gibt einen allgemeinen Überblick zum Stand November 2026 und ersetzt keine Rechts- oder Steuerberatung. Pflichten und Fristen können sich im Einzelfall unterscheiden oder ändern. Bitte klären Sie Ihren konkreten Fall mit Steuerberater:in oder Rechtsanwalt/-anwältin. Alle Angaben ohne Gewähr.