Nein, die DSGVO schreibt keinen Serverstandort in Deutschland oder der EU vor. Entscheidend ist stattdessen, ob und wie personenbezogene Daten in ein Land außerhalb der EU und des Europäischen Wirtschaftsraums gelangen. Ein Server in Frankfurt schützt allein nicht, wenn der Betreiber ein US-Unternehmen ist. Für die meisten Handwerks- und Gewerbebetriebe reicht ein seriöser Hosting-Anbieter mit Sitz und Rechenzentrum in der EU trotzdem als einfachster Weg, das Thema dauerhaft vom Tisch zu haben.
Was Artikel 44 ff. DSGVO tatsächlich regelt
Die Rechtsgrundlage für den Umgang mit Serverstandorten außerhalb der EU steht nicht im Bundesdatenschutzgesetz, sondern in der DSGVO selbst, konkret in Artikel 44 bis 49. Die Regel ist einfach formuliert: Eine Übermittlung personenbezogener Daten in ein Drittland ist nur zulässig, wenn eine der dort genannten Grundlagen greift, zum Beispiel ein Angemessenheitsbeschluss der EU-Kommission für das Zielland, Standardvertragsklauseln zwischen den beteiligten Unternehmen oder eine eng gefasste Ausnahme. Ohne eine dieser Grundlagen ist die Übermittlung unzulässig, selbst wenn der Kunde dem in den AGB pauschal zugestimmt hat.
Für eine Firmenwebsite bedeutet das: Sobald ein Kontaktformular, ein Analyse-Tool oder ein eingebundenes Widget Daten an einen Anbieter außerhalb der EU sendet, etwa in die USA, braucht dieser Anbieter eine der genannten Grundlagen. Der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, den ohnehin jeder Hosting-Anbieter unterschreiben muss, deckt diesen Fall allein nicht ab. Er regelt die Verarbeitung, nicht den Transfer in ein Drittland.
Warum der Serverstandort allein nicht entscheidet
Ein häufiges Missverständnis: Ein Rechenzentrum in Deutschland gilt automatisch als sicher. Steht hinter dem Anbieter aber ein US-Konzern, greift möglicherweise der US CLOUD Act. Er verpflichtet US-Unternehmen und ihre Tochtergesellschaften unter bestimmten Voraussetzungen zur Herausgabe von Daten an US-Behörden, unabhängig davon, wo der Server physisch steht. Ein Rechenzentrum in Frankfurt, das zu einem US-amerikanischen Mutterkonzern gehört, löst dieses Spannungsfeld nicht automatisch auf. Wer beim Hosting-Anbieter auf Nummer sicher gehen will, achtet deshalb nicht nur auf den Serverstandort, sondern auch auf Firmensitz und Konzernstruktur des Anbieters selbst.
Der aktuelle Stand beim EU-US Data Privacy Framework
Für Dienste, die tatsächlich in den USA verarbeiten, etwa ein US-Analyse-Tool oder ein US-Formular-Dienst, ist das EU-US Data Privacy Framework (DPF) seit Juli 2023 die gängige Rechtsgrundlage. Es beruht auf einem Angemessenheitsbeschluss der EU-Kommission und erlaubt zertifizierten US-Unternehmen die Datenverarbeitung ohne zusätzliche Standardvertragsklauseln. Im September 2025 hat das Gericht der Europäischen Union eine Nichtigkeitsklage des französischen Europaabgeordneten Philippe Latombe gegen diesen Beschluss abgewiesen, Latombe hat im Oktober 2025 Rechtsmittel beim Europäischen Gerichtshof eingelegt (Rechtssache C-703/25 P), das Verfahren war bis Mai 2026 weiter anhängig.
Zusätzliche Unsicherheit kam im Sommer 2026 hinzu: Am 29. Juni 2026 entschied der US Supreme Court in der Sache Trump gegen Slaughter, dass die bisherige Unabhängigkeit der Federal Trade Commission (FTC) mit der US-Verfassung nicht vereinbar ist, und stärkte damit den direkten Einfluss des Präsidenten auf die Behörde. Die Unabhängigkeit gerade dieser Aufsicht war eine zentrale Voraussetzung, auf die sich der Angemessenheitsbeschluss der EU-Kommission an mehreren Stellen stützt. Das DPF gilt zum jetzigen Zeitpunkt formal weiter, Juristen bewerten seine langfristige Bestandskraft aber als unsicher, ein weiteres Verfahren vor dem EuGH gegen das Framework selbst gilt als wahrscheinlich.
Für einen Handwerksbetrieb heißt das praktisch: Wer heute ausschließlich EU-Anbieter für Hosting, Formulare und Analyse einsetzt, muss sich um diese Entwicklung nicht kümmern. Wer auf US-Dienste setzt, sollte die Situation im Blick behalten und nicht davon ausgehen, dass die aktuelle Rechtsgrundlage dauerhaft unverändert bleibt.
Checkliste für die Wahl des Hosting-Anbieters
| Kriterium | Worauf achten |
|---|---|
| Firmensitz des Anbieters | EU-Unternehmen ohne US-Mutterkonzern reduziert die Drittstaat-Frage auf null |
| Rechenzentrum | Innerhalb der EU, idealerweise mit konkreter Standortangabe |
| Auftragsverarbeitungsvertrag | Nach Artikel 28 DSGVO, Pflicht bei jedem Anbieter |
| Backup-Standort | Auch Backups sollten innerhalb der EU liegen, nicht nur die Live-Daten |
| Eingebundene Drittdienste | Analyse-Tools, Formular-Plugins und Schriftarten einzeln prüfen, nicht nur das Hosting selbst |
Der letzte Punkt wird in der Praxis am häufigsten übersehen: Das Hosting selbst läuft oft sauber in der EU, während ein eingebundenes US-Analyse-Tool oder eine extern geladene Schriftart unbemerkt Daten in die USA sendet. Wer die eigene Website prüfen will, findet einen ersten Ansatzpunkt im Artikel zu Risiken einer ungepflegten Website, der auch auf technische Altlasten wie veraltete Plugins eingeht.
Was ein AVV regelt und was nicht
Ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO ist mit jedem Hosting-Anbieter Pflicht, unabhängig davon, wo der Server steht. Er legt fest, wozu der Anbieter die Daten verarbeiten darf, welche technischen und organisatorischen Maßnahmen gelten und wie lange Daten gespeichert bleiben. Was er nicht regelt, ist die Frage des Drittstaat-Transfers. Diese beiden Themen werden in der Praxis häufig verwechselt: Ein unterschriebener AVV allein macht einen US-Anbieter nicht automatisch DSGVO-konform, dafür braucht es zusätzlich eine der in Artikel 44 ff. genannten Grundlagen.
Typische Dienste, die den Serverstandort unbemerkt aushebeln
Das Hosting selbst ist bei den meisten Betrieben inzwischen sauber geregelt, gerade weil das Thema in den letzten Jahren an Aufmerksamkeit gewonnen hat. Übersehen werden fast immer die kleinen, eingebundenen Zusatzdienste, die auf jeder Unterseite mitlaufen:
- Google Fonts von Google-Servern eingebunden. Das Landgericht München hat 2022 die dynamische Einbindung von Google Fonts ohne lokale Speicherung als Verstoß gegen das allgemeine Persönlichkeitsrecht gewertet und 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20), weil dabei die IP-Adresse des Besuchers automatisch an Google-Server in die USA übertragen wird. Die einfache Lösung: Schriftarten lokal auf dem eigenen Server einbinden statt über Googles Content-Delivery-Network.
- Eingebettete YouTube-Videos. Ein direkt eingebettetes Video lädt beim Seitenaufruf Ressourcen von YouTube-Servern nach, unabhängig davon, ob der Besucher das Video abspielt. Der erweiterte Datenschutzmodus reduziert das Ausmaß, ändert aber nichts am grundsätzlichen Drittstaat-Transfer.
- Google Maps als eingebettete Anfahrtskarte. Auch hier lädt die Karte beim Seitenaufruf automatisch Inhalte von Google, eine vorgeschaltete Bestätigung oder ein statischer Kartenausschnitt mit Link zu Google Maps reduziert diesen Effekt deutlich.
- Chat-Widgets und Live-Support-Tools. Viele dieser Dienste laufen technisch über US-Server, auch wenn die Website selbst komplett in der EU gehostet ist.
Keiner dieser Punkte macht eine Website automatisch rechtswidrig, sie zeigen aber, warum die Frage nach dem Serverstandort allein zu kurz greift. Relevant ist die gesamte Kette aller eingebundenen Dienste, nicht nur der Hauptserver, auf dem die Website selbst liegt.
So prüfst du die eigene Website in wenigen Schritten
- Beim aktuellen Hosting-Anbieter nachfragen, wo Firmensitz und Rechenzentrum liegen und ob ein US-Mutterkonzern dahintersteht.
- Die eigene Website im Browser mit den Entwicklertools öffnen und unter dem Reiter „Netzwerk” prüfen, welche externen Domains beim Laden der Seite Anfragen erhalten.
- Bei gefundenen US-Diensten wie Google Fonts oder eingebetteten Videos prüfen, ob eine lokale Alternative oder eine datenschutzfreundlichere Einbindung existiert.
- Den bestehenden Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter heraussuchen und kontrollieren, ob er noch aktuell ist.
- Bei Unsicherheit die Prüfung im Rahmen der nächsten Website-Betreuung mit erledigen lassen, statt sie auf unbestimmte Zeit zu verschieben.
Was das für den laufenden Betrieb bedeutet
Für die weit überwiegende Zahl der Handwerks- und Gewerbebetriebe ist die praktische Lösung unkompliziert: einen Hosting-Anbieter mit Sitz und Rechenzentrum in der EU wählen, den AVV unterschreiben und bei eingebundenen Zusatzdiensten wie Analyse-Tools oder Formular-Plugins ebenfalls auf EU-Anbieter oder eine geprüfte Rechtsgrundlage achten. Damit ist die Drittstaat-Frage in den allermeisten Fällen erledigt, ohne dass ein Betrieb die Entwicklungen rund um das Data Privacy Framework selbst weiterverfolgen muss. Bei Mr.Site läuft das Hosting standardmäßig in deutschen Rechenzentren, das nimmt die Drittstaat-Frage für Kunden von vornherein aus der Gleichung. Wer beim Aufbau einer neuen Website ohnehin die Hosting-Frage klärt, findet den Rahmen dazu im Abo-Modell oder unter Website erstellen lassen.
Ein Elektrobetrieb, der seine Website vor Jahren bei einem günstigen US-Anbieter angelegt hat, merkt von alldem im Alltag meist nichts, bis eine Anfrage der Aufsichtsbehörde oder ein Kundenhinweis das Thema auf den Tisch bringt. Ein Wechsel zu einem EU-Anbieter im Rahmen der nächsten Website-Pflege ist der unaufwendigste Zeitpunkt, das Thema dauerhaft zu klären, statt es unter Zeitdruck lösen zu müssen.